Ordinanza ingiunzione o revoca n. 382 del 20/06/2024

Max & Mix Ferrara s.r.l. - videosorveglianza senza informativa e sanzione del Garante

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato da Max & Mix Ferrara s.r.l. tramite un impianto di videosorveglianza installato presso la sede operativa di Ferrara, perché le telecamere erano attive ma non risultava apposta un’adeguata informativa mediante cartelli. Il provvedimento conclude un procedimento avviato a seguito di un controllo dei Carabinieri per la tutela del lavoro.

Origine del procedimento e fatti accertati

Il procedimento trae origine dal verbale trasmesso il 23 gennaio 2023 dal Comando dei Carabinieri per la tutela del lavoro di Ferrara, relativo a un controllo del 16 novembre 2022 presso la sede operativa della società in Via Darsena 77/C, Ferrara. In quell’occasione era stato rilevato un impianto di videosorveglianza composto da 32 telecamere, di cui 28 interne e 4 esterne, funzionanti ma prive di adeguati cartelli informativi.

L’Autorità ha poi avviato il procedimento sanzionatorio con comunicazioni del 16 maggio 2023 e dell’8 settembre 2023, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR.

Difese della società

La società ha presentato scritti difensivi sostenendo:

• di essere incorsa nell’infrazione in buona fede;
• di aver affidato i lavori di installazione dell’impianto a un’impresa terza, che aveva attestato la conformità dei lavori alla legge.

Ha inoltre prodotto copia dell’autorizzazione rilasciata dall’Ispettorato Territoriale del Lavoro di Ferrara-Rovigo per l’installazione dell’impianto di videosorveglianza presso la sede operativa.

Quadro normativo richiamato

Il Garante ha richiamato il fatto che l’utilizzo di sistemi di videosorveglianza può comportare un trattamento di dati personali e che tale trattamento deve rispettare i principi generali dell’art. 5 GDPR, in particolare il principio di trasparenza.

In materia di informativa, è stato ribadito che gli interessati devono essere informati prima di accedere a un’area videosorvegliata, mediante idonei cartelli informativi conformi al provvedimento generale dell’8 aprile 2010 in materia di videosorveglianza e alle Linee guida EDPB n. 3/2019 sul trattamento tramite dispositivi video, che prevedono un’informazione su due livelli e un segnale di avvertimento ben visibile, leggibile e collocato in modo da consentire all’interessato di riconoscere la sorveglianza prima di entrare nella zona ripresa.

Valutazione del Garante sull’illiceità del trattamento

All’esito dell’istruttoria è emerso che l’impianto era effettivamente attivo e funzionante e che non risultava apposto alcun cartello recante l’informativa di cui all’art. 13 GDPR.

L’Autorità ha quindi ritenuto provato che la società avesse effettuato un trattamento di dati personali tramite videosorveglianza in assenza della prescritta informativa, in contrasto con:

• l’art. 5, par. 1, lett. a), GDPR, sul principio di trasparenza;
• l’art. 13 GDPR, sull’obbligo di fornire agli interessati le informazioni essenziali del trattamento.

Il Garante ha anche precisato che la violazione non poteva essere considerata minore, avuto riguardo alla natura, gravità e durata della stessa, al grado di responsabilità e alla modalità con cui l’Autorità è venuta a conoscenza dei fatti.

Misure correttive ordinate

In applicazione dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al titolare di conformare il trattamento alle disposizioni del Regolamento, disponendo l’apposizione, ove non già effettuata, di idonei cartelli informativi della presenza delle telecamere.

Sanzione amministrativa pecuniaria

Il Garante ha adottato ordinanza-ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR, dell’art. 166 del Codice privacy e dell’art. 83, par. 5, GDPR, applicando una sanzione amministrativa pecuniaria di euro 5.000,00.

Nella quantificazione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare per l’omessa informativa;
• l’assenza di precedenti specifici in materia di protezione dei dati personali;
• la mancata dimostrazione dell’avvenuto adempimento all’obbligo di apposizione dei cartelli;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2023.

Adempimenti successivi, pubblicazione e tutela giurisdizionale

Il provvedimento dispone:

• il pagamento della sanzione entro 30 giorni dalla notifica;
• la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei casi previsti dall’art. 166, comma 8, del Codice privacy;
• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

È inoltre indicata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.