Ordinanza ingiunzione o revoca n. 408 del 01/12/2022

Impresa individuale "Woolen": videosorveglianza illecita e omessa informativa

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti del titolare e legale rappresentante dell’impresa individuale "Woolen", esercente attività di somministrazione di alimenti e bevande a Schio (VI). Il procedimento origina da un accertamento della polizia locale che ha rilevato un impianto di videosorveglianza funzionante, installato all’interno e all’esterno del locale, in assenza di adeguata informativa e senza la previa attivazione delle procedure di garanzia previste per i trattamenti nel contesto lavorativo.

Origine dell’accertamento e fatti contestati

Il verbale di controllo, effettuato il 13 aprile 2022 e trasmesso al Garante il 2 maggio 2022, descriveva:

• due telecamere interne al locale;
• una telecamera esterna, rivolta al plateatico del pubblico esercizio;
• un solo cartello informativo interno, collocato in modo non ben visibile, sotto una mensola adiacente al bancone di mescita;
• l’assenza di cartelli all’esterno;
• la mancata indicazione del titolare del trattamento nel cartello presente;
• la mancanza di autorizzazione dell’Ispettorato del lavoro o di accordo con le rappresentanze sindacali.

Nel corso del controllo, il titolare aveva dichiarato di aver incaricato una consulente del lavoro per richiedere l’autorizzazione all’Ispettorato del lavoro, ma non risultava che la procedura fosse stata effettivamente completata. L’impresa non ha presentato osservazioni nel procedimento avviato dal Garante.

Norme applicate e inquadramento giuridico

Il Garante ha ritenuto che il trattamento dei dati personali effettuato mediante l’impianto di videosorveglianza violasse:

• l’art. 5, par. 1, lett. a), GDPR, sotto il profilo della liceità;
• l’art. 13 GDPR, per inadeguata informativa;
• l’art. 88 GDPR, in relazione ai trattamenti nell’ambito del rapporto di lavoro;
• l’art. 114 del d.lgs. 196/2003, che richiama le tutele dell’art. 4 della l. 20 maggio 1970, n. 300.

L’Autorità ha ribadito che, quando gli impianti di videosorveglianza possono comportare anche un controllo a distanza dell’attività dei lavoratori, essi possono essere utilizzati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e soltanto previa stipula di accordo sindacale o, in mancanza, previa autorizzazione dell’Ispettorato del lavoro. L’attivazione di tale procedura è stata qualificata come condizione indefettibile di liceità.

Valutazione dell’illecito

All’esito dell’istruttoria, il Garante ha concluso che il trattamento era illecito perché:

• l’informativa sulla videosorveglianza non era resa in modo conforme, mancando cartelli idonei e chiaramente visibili;
• non risultava rispettata la disciplina speciale applicabile ai trattamenti effettuati nel contesto lavorativo;
• mancava la preventiva attivazione delle procedure di garanzia previste dall’art. 4, comma 1, l. 300/1970.

Il provvedimento richiama anche che la violazione di tali disposizioni può assumere rilievo penale ai sensi dell’art. 171 del Codice.

Sanzione amministrativa pecuniaria

Ai fini della quantificazione della sanzione, il Garante ha richiamato i criteri dell’art. 83, par. 2, GDPR e ha considerato:

• la natura della violazione, incidente sui principi generali del trattamento e sulle condizioni di liceità;
• la mancata cooperazione del titolare nel procedimento;
• l’assenza di precedenti specifici;
• le ridotte dimensioni dell’impresa.

Sulla base di tali elementi è stata applicata una sanzione amministrativa pecuniaria pari a euro 3.000. Il pagamento deve essere effettuato entro 30 giorni dalla notifica del provvedimento, con la possibilità di definizione in misura ridotta, ove ne ricorrano i presupposti di legge.

Ordini e prescrizioni

Oltre alla sanzione, il Garante ha ingiunto al titolare di:

• conformare il trattamento al Regolamento entro 60 giorni dal ricevimento del provvedimento;
• apporre cartelli informativi idonei circa la presenza delle telecamere;
• adempiere a quanto previsto dall’art. 4, comma 1, l. 300/1970.

È stato inoltre richiesto di comunicare, entro 90 giorni dalla notifica, le iniziative intraprese per dare attuazione al provvedimento e di fornire riscontro documentato ai sensi dell’art. 157 del Codice, con avvertimento che l’omesso riscontro può comportare la sanzione di cui all’art. 83, par. 5, lett. e), GDPR.

Pubblicazione del provvedimento e tutela giurisdizionale

L’Autorità ha disposto la pubblicazione del provvedimento sul sito web istituzionale, richiamando l’art. 166, comma 7, del Codice e l’art. 16 del regolamento del Garante n. 1/2019. Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.