Prescrizioni del Garante n. 773 del 12/12/2024

Maratonda srls: videosorveglianza priva di adeguata informativa

Il Garante per la protezione dei dati personali ha esaminato il trattamento di dati personali effettuato da Maratonda srls mediante un impianto di videosorveglianza installato presso l’esercizio commerciale "Il Bugigattolo" in Ancona. Il procedimento origina da una segnalazione della Polizia locale e dall’accertamento, effettuato l’8 settembre 2023, della presenza di una telecamera funzionante senza idonei cartelli informativi.

Origine del procedimento e attività istruttoria

Con nota del 23 ottobre 2023 la Polizia locale del Comune di Ancona segnalava all’Autorità la presunta non conformità dell’impianto di videosorveglianza presente presso l’esercizio commerciale riconducibile alla società. L’Ufficio avviava il procedimento con comunicazione del 30 gennaio 2024, invitando il titolare del trattamento a presentare memorie difensive.

La società, con nota del 29 febbraio 2024, rappresentava che i cartelli informativi e l’informativa estesa erano stati temporaneamente rimossi perché non pienamente conformi e in fase di aggiornamento da parte di una società incaricata. Sosteneva inoltre di aver poi riposizionato l’informativa completa e i cartelli aggiornati, producendo documentazione fotografica a supporto.

Trattamento esaminato e quadro normativo

Il provvedimento qualifica l’uso del sistema di videosorveglianza come trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. L’Autorità richiama in particolare:

• l’art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• l’art. 13 GDPR, relativo agli obblighi informativi nei confronti degli interessati;
• il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, con riferimento ai cartelli informativi da collocare in modo idoneo;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, che prevedono un’informativa a più livelli, con il primo livello sul segnale di avvertimento e con posizionamento tale da consentire all’interessato di accorgersi della sorveglianza prima di entrare nell’area videosorvegliata.

Valutazioni dell’Autorità

Sulla base del verbale di accertamento redatto dalla Polizia locale, il Garante ha ritenuto che al momento del controllo l’impianto fosse operativo ma sprovvisto delle informative richieste dal GDPR. Le difese della società non sono state considerate idonee a superare i rilievi, né a giustificare l’archiviazione del procedimento.

L’Autorità ha quindi affermato che il trattamento era illecito perché effettuato in violazione:

• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo della trasparenza;
• dell’art. 13 GDPR, per mancata/insufficiente informativa agli interessati.

Esito del provvedimento e misure disposte

Il Garante ha dichiarato, ai sensi degli artt. 57, par. 1, lett. f) e 83 GDPR, l’illiceità del trattamento effettuato da Maratonda srls mediante il sistema di videosorveglianza installato presso l’esercizio commerciale di Ancona.

Sono inoltre stati disposti:

• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019.

Profili di impugnazione

Il provvedimento richiama la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Osservazioni operative

Il caso conferma che, in materia di videosorveglianza, la presenza di telecamere senza adeguata segnaletica e informativa comporta una violazione autonoma degli obblighi di trasparenza. Per i titolari è essenziale che i cartelli siano posizionati in modo ben visibile, prima dell’accesso all’area sorvegliata, e che l’informativa di secondo livello sia coerente con quanto richiesto dal GDPR e dalle indicazioni dell’Autorità.