Ordinanza ingiunzione o revoca n. 560 del 30/01/2023

Società sportiva dilettantistica A R.L Spartan Gym: videosorveglianza in palestra senza informativa e senza autorizzazione

Il Garante ha esaminato il trattamento di dati personali effettuato tramite un impianto di videosorveglianza installato presso la sede operativa di una palestra gestita dalla società sportiva dilettantistica A R.L Spartan Gym. Il procedimento è nato da una segnalazione ed è stato sviluppato a seguito di accertamento della Guardia di finanza, che ha riscontrato telecamere funzionanti senza adeguata segnalazione e senza la previa attivazione delle garanzie previste per i controlli a distanza dei lavoratori.

Origine del procedimento e accertamenti

In una prima segnalazione veniva lamentata la presenza di telecamere nella palestra senza cartelli informativi e senza il rispetto dell’art. 4 della l. 300/1970. L’attività ispettiva svolta dalla Guardia di finanza il 13 luglio 2022 ha confermato la presenza di un impianto di videosorveglianza composto da 4 telecamere funzionanti, collocate all’interno e all’esterno della struttura. Dal verbale è emersa:

• la mancanza dei cartelli informativi sulla presenza delle telecamere;
• la mancanza dell’informativa estesa sul trattamento;
• l’assenza di richiesta di autorizzazione all’Ispettorato del lavoro, nonostante le telecamere fossero idonee a riprendere i dipendenti durante l’attività lavorativa.

Successivamente il Garante ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1, lett. a), 13 e 88 del GDPR e dell’art. 114 del Codice.

Difese della società

Nelle memorie difensive la società ha rappresentato di aver provveduto, subito dopo il controllo, ad apporre 3 cartelli informativi all’interno e all’esterno della struttura, di aver comunicato ai dipendenti la presenza delle telecamere interne e di aver avviato la procedura di autorizzazione presso l’Ispettorato del lavoro.

Quadro giuridico richiamato

Il Garante ha ricordato che l’uso di sistemi di videosorveglianza può comportare un trattamento di dati personali soggetto ai principi generali del GDPR, in particolare al principio di trasparenza di cui all’art. 5, par. 1, lett. a), e all’obbligo informativo di cui all’art. 13.

Per la videosorveglianza in ambito lavorativo sono stati richiamati:

• l’art. 88 GDPR, che consente norme nazionali più specifiche per la protezione dei lavoratori;
• l’art. 114 del Codice privacy, che richiama l’art. 4 della l. 300/1970;
• l’art. 4 dello Statuto dei lavoratori, secondo cui gli impianti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei dipendenti possono essere utilizzati solo per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, previa intesa sindacale o autorizzazione dell’Ispettorato del lavoro.

Sono state richiamate anche le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati e il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010, in relazione alla necessità di cartelli visibili e facilmente leggibili prima dell’accesso alla zona videosorvegliata.

Valutazione del Garante sulla illiceità del trattamento

L’Autorità ha accertato che il sistema di videosorveglianza era attivo e funzionante, che non risultava apposto alcun cartello informativo conforme all’art. 13 GDPR e che l’installazione era avvenuta senza la previa autorizzazione dell’Ispettorato del lavoro.

Ne consegue che il trattamento è stato dichiarato illecito per violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di trasparenza e liceità;
• art. 13 GDPR, per mancanza dell’informativa;
• art. 114 del Codice privacy, in relazione all’art. 4 della l. 300/1970.

Il Garante ha escluso che fosse sufficiente la mera consapevolezza dei lavoratori circa la presenza delle telecamere. È stato ribadito che, in ambito lavorativo, il consenso dei dipendenti non equivale né sostituisce la procedura di garanzia prevista dalla legge, anche alla luce della tutela di interessi collettivi e superindividuali.

Sanzione amministrativa e criteri di quantificazione

Ai sensi dell’art. 58, par. 2, lett. i), del GDPR e dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria, richiamando i criteri dell’art. 83, par. 2, GDPR e i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1.

Nella quantificazione sono stati considerati:

• la natura, gravità e durata della violazione;
• la responsabilità connessa alla mancata informativa e alla mancata attivazione della procedura di garanzia;
• l’assenza di precedenti specifici a carico della società;
• la collaborazione mostrata con la trasmissione di scritti difensivi e documentazione;
• le condizioni economiche del contravventore, desunte dal bilancio di esercizio 2022.

La sanzione è stata determinata in euro 3.000 per la violazione degli artt. 5 e 13 GDPR e dell’art. 114 del Codice.

Provvedimenti finali e impugnazione

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla società tramite l’impianto di videosorveglianza;
• ordinato il pagamento della sanzione di euro 3.000 entro 30 giorni dalla notifica;
• ricordato la facoltà di definire la controversia mediante pagamento in misura ridotta pari alla metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. 150/2011;
• disposto la pubblicazione del provvedimento sul sito istituzionale.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.