Ordinanza ingiunzione o revoca n. 244 del 08/06/2023

Mirva s.r.l. – sanzione per mancato riscontro alle richieste del Garante in un caso di videosorveglianza

Il provvedimento riguarda Mirva s.r.l. e trae origine da una segnalazione relativa a un impianto di videosorveglianza installato presso la sede legale della società. L’Autorità ha svolto accertamenti ispettivi e, parallelamente, ha contestato alla società la mancata collaborazione alle richieste istruttorie formulate nel corso dell’attività di verifica.

Origine della vicenda e attività istruttoria

La segnalazione, del 15 febbraio 2019, denunciava la presunta installazione illecita di un sistema di videosorveglianza presso la sede di Settimo Milanese, anche perché privo di adeguata informativa e idoneo a riprendere aree non di pertinenza della società.

L’Ufficio ha quindi inviato due richieste di informazioni alla società, in data 20 maggio 2019 e 5 settembre 2019, senza ricevere alcun riscontro. In conseguenza della mancata collaborazione, è stata richiesta l’assistenza della Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche.

Esiti dell’accertamento ispettivo

Nel corso dell’ispezione è stato rilevato un impianto composto da sei telecamere:

• due collocate all’interno del capannone;
• quattro poste a sorveglianza delle aree esterne.

Le telecamere interne erano in grado di riprendere l’attività lavorativa dei dipendenti. Il sistema risultava funzionante e presso la struttura era presente un solo cartello informativo, visibile a chi si accingeva a entrare nel capannone.

La società ha dichiarato che l’impianto non era di sua proprietà ma era stato dato in comodato da un istituto di vigilanza, che la finalità era la sicurezza di merci e persone, e che le immagini erano visualizzabili via internet anche dall’istituto di vigilanza, ma solo in caso di allarme. È stato altresì dichiarato che non era stata ottenuta una specifica autorizzazione dell’Ispettorato territoriale del lavoro.

Procedimento per i profili di liceità del trattamento

Sulla base degli esiti ispettivi, l’Ufficio ha avviato un secondo procedimento per l’adozione di provvedimenti correttivi in relazione alla possibile violazione del principio di liceità del trattamento, richiamando gli artt. 5, par. 1, lett. a), 4 della legge n. 300/1970, 114 del Codice privacy e 37 del Regolamento.

La notifica dell’atto di avvio è stata prima tentata a mezzo raccomandata A/R, poi tramite PEC, ma senza esito: il plico è risultato irreperibile e i messaggi PEC non sono stati consegnati per indirizzo non valido. Solo l’11 novembre 2021 la Guardia di finanza ha notificato alla società la nota di avvio del procedimento.

Il Garante ha però ritenuto tardiva la rinnovazione della notifica, applicando il principio giurisprudenziale secondo cui, in caso di primo esito negativo non imputabile al notificante, la riattivazione del procedimento notificatorio deve avvenire con immediatezza e comunque entro il limite di 60 giorni, anche tenendo conto della sospensione dei termini per l’emergenza Covid-19. Per tale ragione il procedimento è stato archiviato.

Violazione accertata e ordinanza ingiunzione

Quanto al procedimento sanzionatorio, il Garante ha invece accertato che Mirva s.r.l., non avendo fornito riscontro alle richieste istruttorie nei termini assegnati, ha violato l’art. 157 del Codice privacy, cioè l’obbligo di collaborazione con l’Autorità.

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la natura della violazione, relativa al dovere di leale collaborazione con l’Autorità;
• il carattere colposo della condotta;
• l’assenza di precedenti specifici a carico della società.

In applicazione dell’art. 58, par. 2, lett. i), e dell’art. 83, par. 5, lett. a), del GDPR, oltre che dell’art. 166, commi 3 e 7, del Codice, è stata irrogata una sanzione amministrativa pecuniaria di euro 5.000.

Prescrizioni finali, pagamento e tutela giurisdizionale

Il provvedimento ingiunge a Mirva s.r.l. di pagare la sanzione entro 30 giorni dalla notifica, secondo le modalità indicate in allegato, con avvertimento che in caso di mancato pagamento seguiranno gli atti esecutivi previsti dall’art. 27 della legge n. 689/1981.

È stata inoltre richiamata la facoltà di definizione agevolata della controversia mediante il pagamento della metà della sanzione, entro il termine previsto per l’opposizione. Il Garante ha infine disposto la pubblicazione del provvedimento sul sito istituzionale e ha ricordato la possibilità di proporre opposizione davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.