Prescrizioni del Garante n. 806 del 19/12/2024

Videosorveglianza senza informativa presso un'autorimessa di Bari

Il provvedimento riguarda il titolare dell'impresa individuale che gestisce l'"Autorimessa Briga Giovanni" in Bari, in relazione a un impianto di videosorveglianza risultato attivo durante un controllo ispettivo. L'Autorità interviene a seguito della trasmissione del verbale dell'Ispettorato territoriale del lavoro di Bari e valuta la conformità del trattamento ai principi del GDPR, con particolare riguardo alla trasparenza e all'obbligo di informativa.

Origine dell'accertamento e avvio del procedimento

L'istruttoria prende le mosse dal controllo amministrativo eseguito il 21 aprile 2023 dall'Ispettorato territoriale di Bari, congiuntamente alla Questura di Bari, presso l'attività di autorimessa sita in Bari, Via Ponte n. 28. Nel verbale è stata accertata la presenza di un sistema di videosorveglianza composto da sei telecamere, attivo e funzionante, la cui titolarità del trattamento è stata imputata al titolare dell'impresa.

L'ITL ha rilevato:

• l'assenza dell'informativa di cui all'art. 13 GDPR;
• la mancata attivazione della procedura di garanzia prevista dall'art. 4 della legge n. 300/1970;
• l'adozione di prescrizioni e la comunicazione della notizia di reato.

Sulla base di tali elementi, il Garante ha notificato il 6 luglio 2023 l'avvio del procedimento per l'adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 GDPR, ai sensi dell'art. 166, comma 5, del Codice, contestando la violazione degli artt. 13 e 5, par. 1, lett. a), GDPR.

Difese presentate dal titolare

Con scritti difensivi del 26 luglio 2023, ai sensi dell'art. 18 della legge n. 689/1981, il titolare ha affermato di avere successivamente eseguito tutti gli adempimenti richiesti, inclusi quelli previsti dall'art. 4 dello Statuto dei lavoratori per l'installazione e l'utilizzo di impianti di videosorveglianza nei luoghi di lavoro. Ha inoltre riferito di avere presentato istanza all'ITL il 15 maggio 2023 e di avere ottenuto l'autorizzazione il 30 maggio 2023, sostenendo che l'impianto fosse così definitivamente regolarizzato anche sotto il profilo dell'informativa ex art. 13 GDPR.

La difesa ha ricondotto la violazione residua alla sola mancata predisposizione preventiva dell'informativa, attribuita a una mera dimenticanza e ritenuta temporalmente circoscritta.

Quadro normativo richiamato dal Garante

L'Autorità richiama il proprio consolidato orientamento secondo cui la videosorveglianza integra un trattamento di dati personali ai sensi dell'art. 4, par. 1, n. 2, GDPR. Di conseguenza, il trattamento deve rispettare i principi generali dell'art. 5 GDPR, con particolare attenzione al principio di trasparenza di cui all'art. 5, par. 1, lett. a), che impone agli interessati di essere informati prima di accedere a un'area videosorvegliata.

Il provvedimento richiama inoltre:

• il provvedimento generale del 8 aprile 2010 in materia di videosorveglianza;
• le Faq dell'Autorità;
• le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video.

Secondo tali fonti, il titolare deve predisporre cartelli informativi e un sistema di informativa su due livelli, con le informazioni più importanti rese visibili sul segnale di avvertimento e le ulteriori informazioni fornite con altri mezzi. Le indicazioni devono essere collocate in modo da consentire all'interessato di comprendere agevolmente la presenza della sorveglianza prima di entrare nell'area controllata.

Valutazione della condotta e dichiarazione di illiceità

Il Garante ritiene non accoglibili le difese del titolare, osservando che la regolarizzazione è avvenuta solo dopo gli accertamenti dell'ITL. Al momento del controllo, infatti, l'impianto era operativo e privo delle informative richieste dall'art. 13 GDPR.

Ne deriva la conclusione che la condotta sia incompatibile con:

• l'art. 13 GDPR, per omessa informativa agli interessati;
• l'art. 5, par. 1, lett. a), GDPR, per violazione del principio di trasparenza.

Il provvedimento dichiara quindi l'illiceità del trattamento effettuato dal titolare nell'esercizio dell'attività d'impresa, nei termini indicati in motivazione.

Dispositivi finali e rimedi

Non sono riportate nel testo sanzioni pecuniarie. L'Autorità dispone invece:

• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell'art. 154-bis, comma 3, del Codice e dell'art. 37 del regolamento del Garante n. 1/2019, tenuto conto dell'art. 166, comma 7, del Codice;
• l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u), GDPR.

È infine indicata la possibilità di proporre ricorso dinanzi all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all'estero.