Prescrizioni del Garante n. 559 del 30/11/2023

Fondazione Ospedale Poveri Infermi: ammonimento per inidoneo riscontro a istanza di accesso e trasmissione illecita di videoripresa

Il Garante ha esaminato il trattamento effettuato dalla Fondazione Ospedale Poveri Infermi nell'ambito di un sistema di videosorveglianza perimetrale installato presso la sede della casa di riposo. Il procedimento trae origine dal reclamo di un interessato che aveva chiesto accesso a una videoripresa del 9 agosto 2019, sostenendo di non avere ricevuto un riscontro adeguato e contestando anche la comunicazione del filmato a un terzo.

Origine del reclamo e attività istruttoria

Il reclamo è stato presentato ai sensi dell'art. 77 GDPR il 21 luglio 2020, con regolarizzazione del 17 agosto 2020, e riguardava l'esercizio del diritto di accesso ex art. 15 GDPR con riferimento a un video che ritraeva l'interessato e che era stato acquisito tramite il sistema di videosorveglianza della Fondazione. Il reclamante lamentava in particolare la violazione degli artt. 12 e 15 GDPR per il mancato riscontro idoneo all'istanza del 10 luglio 2020.

Nel corso dell'istruttoria la Fondazione ha sostenuto, in sintesi, che:

• l'impianto di videosorveglianza era stato installato nel settembre 2018 per la sicurezza perimetrale e la tutela dei locali;
• il video ripreso il 9 agosto 2019 era stato richiesto dalla cooperativa Kursana Piemonte s.c.s. e consegnato a quest'ultima;
• la registrazione sarebbe stata cancellata automaticamente entro 24 ore;
• il reclamante era dipendente della cooperativa e non della Fondazione.

Successivamente, a seguito di richiesta di informazioni ex art. 157 Codice privacy, la Fondazione ha ribadito che la casa di riposo era gestita dalla cooperativa e che il video era stato probabilmente copiato su chiavetta USB e consegnato alla stessa cooperativa, senza che la Fondazione ne conservasse copia.

Riscontro all'istanza di accesso: violazione degli artt. 12 e 15 GDPR

Il Garante ha ritenuto che la Fondazione, pur avendo interloquito con il reclamante, non abbia fornito un riscontro idoneo all'istanza di accesso.

In particolare, il titolare si è limitato a risposte generiche, senza fornire indicazioni precise su:

• conservazione del video;
• data di cancellazione;
• finalità della conservazione;
• soggetti che avevano avuto o potevano avere accesso al video;
• base giuridica e finalità della consegna a terzi;
• copia dell'informativa estesa relativa all'impianto di videosorveglianza.

Il Garante ha evidenziato che, ai sensi dell'art. 12 GDPR, il titolare deve agevolare l'esercizio dei diritti dell'interessato e fornire riscontro entro un mese, indicando, in caso di mancato accoglimento, i motivi dell'inottemperanza e i rimedi esperibili. L'art. 15 GDPR impone inoltre di fornire all'interessato copia dei dati personali oggetto di trattamento. La Fondazione non ha soddisfatto tali obblighi, ponendosi in contrasto con gli artt. 12 e 15 GDPR.

Trasmissione del video a terzi e violazione del principio di liceità

L'Autorità ha accertato anche che la Fondazione aveva trasmesso a Kursana Piemonte s.c.s. il video del 9 agosto 2019, pur non risultando individuabile una base giuridica idonea ai sensi dell'art. 6 GDPR.

Il Garante ha respinto la tesi del cosiddetto "interesse legittimante" della cooperativa, precisando che il legittimo interesse di cui all'art. 6, par. 1, lett. f), GDPR richiede una valutazione concreta, rigorosa e comparativa, non emersa nel caso di specie. In particolare, non è stato dimostrato che il trattamento fosse necessario né che fosse stato svolto un bilanciamento tra l'interesse del terzo e i diritti dell'interessato.

Per questo motivo, la comunicazione del video a un soggetto terzo è stata ritenuta effettuata in assenza di idonea condizione di liceità, con conseguente violazione dell'art. 6 GDPR.

Valutazioni del Garante e qualificazione della violazione

L'Autorità ha ritenuto che le dichiarazioni e la documentazione prodotte dalla Fondazione non fossero sufficienti a superare i rilievi contestati con l'atto di avvio del procedimento.

Pur rilevando l'illiceità del trattamento, il Garante ha considerato la fattispecie come una "violazione minore" ai sensi dell'art. 83, par. 2, GDPR e del Considerando 148, valorizzando:

• l'assenza di precedenti specifici a carico della Fondazione;
• il carattere episodico della condotta;
• il numero di interessati coinvolti, pari a uno;
• la natura del titolare, cioè una fondazione.

Provvedimento finale

In dispositivo, il Garante:

• ha rilevato l'illiceità del trattamento effettuato dalla Fondazione per violazione degli artt. 6, 12 e 15 GDPR;
• ha ammonito la Fondazione ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 del Codice privacy;
• ha ritenuto sussistenti i presupposti di cui all'art. 17 del Regolamento del Garante n. 1/2019.

Non è stata irrogata una sanzione pecuniaria. Il provvedimento è impugnabile davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. n. 150/2011.