Prescrizioni del Garante n. 429 del 28/09/2023

Ammonimento per videosorveglianza domestica estesa a spazi pubblici

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da un privato tramite impianto di videosorveglianza installato presso la propria abitazione. Il procedimento è stato avviato a seguito di una segnalazione della polizia municipale di Arezzo relativa alla ripresa di porzioni di strada e aree di sosta pubbliche.

Origine dell’istruttoria e avvio del procedimento

A seguito della nota del 20 ottobre 2021, il Garante ha disposto una richiesta di informazioni ai sensi dell’art. 157 del d.lgs. 196/2003 e ha delegato accertamenti al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza. Dalle verifiche è emerso che l’impianto comprendeva quattro telecamere, due delle quali orientate verso l’esterno dell’immobile e idonee a riprendere la pubblica via.

Con comunicazione del 27 gennaio 2023 è stato avviato il procedimento sanzionatorio per la ripresa di aree non di diretta pertinenza e, in particolare, di spazi pubblici, ipotizzando la violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, del GDPR.

Difese dell’interessato e misure correttive

Nelle memorie difensive e in audizione il titolare ha rappresentato che l’installazione risaliva al 2014 e rispondeva a esigenze di tutela personale, familiare e patrimoniale, in un contesto di episodi di microcriminalità, furti, vandalismi e minacce. Ha inoltre dichiarato di avere affisso cartelli informativi e di aver utilizzato le registrazioni, in alcuni casi, per collaborare con l’autorità giudiziaria o con la polizia municipale.

Nel corso del procedimento ha poi adottato misure correttive, installando mascheramenti sulle telecamere esterne per limitare la ripresa alle sole aree di interesse e integrando l’informativa con l’indicazione del titolare del trattamento e dei tempi di conservazione delle immagini. In una successiva nota ha comunicato ulteriori restrizioni dell’angolo di ripresa, in particolare sulla telecamera n. 3.

Valutazione del Garante sul perimetro del trattamento domestico

L’Autorità ha richiamato il principio per cui i trattamenti effettuati da persone fisiche per finalità esclusivamente personali o domestiche sono esclusi dall’ambito di applicazione del GDPR ai sensi dell’art. 2, par. 2, e del considerando 18. Tuttavia, tale esclusione vale solo se la ripresa resta confinata alle pertinenze del titolare e non si estende a luoghi aperti al pubblico, aree comuni o spazi di terzi.

Il Garante ha chiarito che, quando il titolare intende estendere la ripresa oltre la propria esclusiva pertinenza, ciò è possibile solo in presenza di una situazione di rischio effettivo e di un legittimo interesse adeguatamente documentato, nel rispetto delle Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati e del Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010.

Nel caso concreto, l’istruttoria ha accertato che la ripresa di aree ultronee era avvenuta senza che fosse dimostrato un idoneo presupposto di liceità e senza prova di un legittimo interesse riferito a un rischio effettivo sufficiente a giustificare il trattamento.

Violazioni accertate

Il Garante ha quindi dichiarato l’illiceità del trattamento, almeno fino agli interventi correttivi successivi, per violazione dei principi di:

• liceità, ex art. 5, par. 1, lett. a), GDPR;
• minimizzazione dei dati, ex art. 5, par. 1, lett. c), GDPR;
• base giuridica del trattamento, ex art. 6, par. 1, GDPR.

L’Autorità ha inoltre rilevato che le immagini, pur non in alta qualità, risultavano idonee a identificare le persone che entravano nel campo di ripresa delle telecamere.

Qualificazione della violazione e decisione finale

Pur rilevando l’illiceità del trattamento, il Garante ha valorizzato le circostanze rappresentate dal titolare, ritenute meritevoli di considerazione, e ha preso atto del fatto che la condotta aveva cessato i propri effetti grazie alle modifiche apportate all’impianto.

Il caso è stato pertanto qualificato come “violazione minore” ai sensi dell’art. 83, par. 2, GDPR e del considerando 148. In applicazione dell’art. 58, par. 2, lett. b), GDPR, l’Autorità ha ritenuto sufficiente ammonire il titolare del trattamento, senza irrogare una sanzione amministrativa pecuniaria.

Disposizioni finali

Il provvedimento dispone l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, GDPR, secondo quanto previsto dall’art. 17 del regolamento del Garante n. 1/2019. È stata inoltre indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria nei termini di legge.