Ordinanza ingiunzione o revoca n. 200 del 11/04/2024

Impresa individuale "Piramide della Frutta di Ghanam Ehab" - videosorveglianza senza informativa

Il Garante per la protezione dei dati personali ha esaminato un trattamento di dati personali effettuato da un esercizio commerciale di Ancona tramite un impianto di videosorveglianza privo di idonei cartelli informativi. Il procedimento è stato avviato a seguito della trasmissione, da parte della Polizia Locale del Comune di Ancona, del verbale di un controllo eseguito il 12 agosto 2022.

Origine del procedimento e accertamenti

La Polizia Locale ha segnalato che presso il pubblico esercizio denominato "Piramide della Frutta" era presente un impianto di videosorveglianza regolarmente funzionante, composto da 4 telecamere, senza che risultassero affissi cartelli informativi conformi. L’Ufficio del Garante ha notificato l’atto di avvio del procedimento sanzionatorio al titolare del trattamento ai sensi dell’art. 166, comma 5, del Codice privacy. Il destinatario non ha presentato scritti difensivi né documentazione.

Quadro normativo richiamato

Il Garante ha ricordato che l’utilizzo di sistemi di videosorveglianza comporta un trattamento di dati personali che deve rispettare i principi dell’art. 5 GDPR, in particolare il principio di trasparenza di cui all’art. 5, par. 1, lett. a). È stato richiamato l’obbligo di informativa ex art. 13 GDPR, nonché il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e le Linee guida n. 3/2019 dell’EDPB, che prevedono informazioni essenziali sul segnale di avvertimento e ulteriori dettagli su un secondo livello informativo.

Illiceità del trattamento accertata

All’esito dell’istruttoria è stato ritenuto accertato che l’impianto di videosorveglianza era attivo e funzionante, ma privo di qualunque cartello recante l’informativa agli interessati. Ne è derivata la qualificazione del trattamento come illecito per violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. Il Garante ha escluso che la violazione potesse essere considerata minore, valorizzando natura, gravità e durata dell’inadempimento.

Sanzione amministrativa e criteri di quantificazione

In applicazione dell’art. 83 GDPR, il Garante ha determinato la sanzione in euro 1.000. Nella quantificazione sono stati considerati: la responsabilità del titolare per la mancata informativa; l’assenza di precedenti specifici in materia di protezione dei dati personali; la mancata cooperazione con l’Autorità e l’assenza di prova dell’adempimento; le condizioni economiche del contravventore, valutate con riferimento al bilancio di esercizio 2022. È stata richiamata l’esigenza che la sanzione sia effettiva, proporzionata e dissuasiva.

Provvedimenti correttivi e ulteriori obblighi

Il Garante ha ordinato, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare il trattamento mediante l’apposizione di idonei cartelli informativi della presenza delle telecamere, ove non già effettuata. Ha inoltre disposto la pubblicazione del provvedimento sul sito internet dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

Pagamento, termini e tutela giurisdizionale

L’impresa individuale è stata ingiunta a pagare euro 1.000 entro 30 giorni dalla notifica, con avvertenza delle conseguenze esecutive in caso di inadempimento. È stata altresì richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per il ricorso. Il Garante ha infine richiesto la comunicazione, entro 90 giorni, delle iniziative adottate per dare attuazione al provvedimento e ha indicato la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni, ovvero 60 giorni se il ricorrente risiede all’estero.