Prescrizioni del Garante n. 59 del 02/03/2023

Azienda agricola: videosorveglianza con riprese eccedenti le aree di pertinenza

Il Garante per la protezione dei dati personali ha esaminato un reclamo presentato da due vicini nei confronti di una azienda agricola, in relazione a un impianto di videosorveglianza installato presso l’immobile principale e un fabbricato agricolo. Il procedimento ha avuto origine da una richiesta di informazioni ex art. 157 del Codice e da accertamenti ispettivi svolti dalla Guardia di finanza.

Origine del reclamo e attività istruttoria

I reclamanti hanno contestato che le telecamere potessero riprendere anche aree di loro proprietà e pertinenza. Dagli accertamenti è risultato che il sistema era composto da due impianti separati e funzionanti: uno con 6 telecamere presso l’abitazione dei titolari e la corte esterna, l’altro con 4 telecamere presso un fabbricato agricolo. La finalità dichiarata del trattamento era la sicurezza e la tutela del patrimonio.

Trattamento accertato e criticità rilevate

L’istruttoria ha accertato che le telecamere riprendevano, oltre alle aree aziendali, alcuni tratti della strada poderale e porzioni di proprietà private confinanti. È stato inoltre rilevato un tempo di conservazione delle immagini pari a 12 giorni. Secondo le difese, l’installazione era stata motivata da ripetute intrusioni, danneggiamenti e segnalazioni alle autorità, e il sistema sarebbe stato poi oggetto di interventi correttivi con limitazione dell’angolo di ripresa e riduzione della conservazione delle immagini a un massimo di una settimana.

Valutazione giuridica del Garante

Il Garante ha ricordato che la videosorveglianza costituisce trattamento di dati personali quando, per collocazione e qualità delle immagini, consente l’identificazione di persone o la ripresa di luoghi. Il trattamento deve rispettare i principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), ed essere sorretto da un valido presupposto di liceità ai sensi dell’art. 6 GDPR.

È stato ribadito che l’angolo di visuale deve essere limitato alle sole aree da proteggere e che, ove necessario, l’eventuale ripresa di spazi immediatamente prospicienti deve essere strettamente necessaria e proporzionata, evitando comunque la captazione di aree di terzi non pertinenti. Il provvedimento richiama anche le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati, punto 27, in tema di oscuramento delle aree eccedenti.

Il Garante ha inoltre chiarito che l’eccezione per i trattamenti effettuati da persone fisiche per fini esclusivamente personali o domestici ex art. 2, par. 2, GDPR opera solo se il trattamento resta circoscritto alla sfera privata e non riprende spazi pubblici o aree di pertinenza di terzi. In linea con la giurisprudenza della Corte di giustizia, la ripresa di spazi pubblici fa uscire il trattamento dalla sfera domestica.

Violazioni accertate

Il Garante ha ritenuto che, almeno fino agli interventi correttivi successivamente eseguiti, il trattamento fosse illecito perché non conforme ai principi di liceità e minimizzazione e privo di adeguato presupposto di liceità, in ragione della ripresa di porzioni di proprietà altrui direttamente confinanti.

• violazione dell’art. 5, par. 1, lett. a) GDPR;
• violazione dell’art. 5, par. 1, lett. c) GDPR;
• violazione dell’art. 6 GDPR.

Qualificazione come violazione minore e misura adottata

Pur dichiarando l’illiceità del trattamento, il Garante ha valorizzato le circostanze concrete rappresentate nelle difese e il fatto che il trattamento aveva esaurito i propri effetti dopo gli interventi correttivi, con modifica dell’angolo di ripresa e della durata di conservazione delle immagini. Per questo ha qualificato il caso come violazione minore ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

In conseguenza di ciò, ha ritenuto sufficiente applicare un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza irrogare una sanzione pecuniaria. Ha inoltre disposto l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate.

Impugnazione

Il provvedimento è impugnabile dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.