Ordinanza ingiunzione o revoca n. 308 del 23/05/2024

Videosorveglianza illecita presso un minimarket e sanzione al titolare

Il Garante ha esaminato l’impianto di videosorveglianza installato presso l’esercizio commerciale "Green Land African Minimarket", gestito dall’impresa individuale "Green Land African Market Di Owe Amenze". Il procedimento trae origine da un verbale di controllo della Polizia municipale di Reggio Emilia del 24 marzo 2023, trasmesso all’Autorità, che ha evidenziato riprese eccedenti della pubblica via e la possibile ripresa del personale dipendente senza le garanzie prescritte dalla normativa lavoristica.

Accertamento e avvio del procedimento

Dal verbale ispettivo è emerso che l’esercizio disponeva di due telecamere regolarmente funzionanti. La telecamera esterna inquadrava un’ampia porzione della strada pubblica, inclusa l’area del marciapiede opposto, mentre quella interna era idonea a riprendere clienti e dipendente. Il Garante ha quindi avviato il procedimento ai sensi degli artt. 58, par. 2, e 83 del GDPR, contestando le violazioni con nota del 7 novembre 2023.

Norme richiamate e quadro giuridico

L’Autorità ha richiamato i principi generali di cui all’art. 5 GDPR, in particolare il principio di liceità di cui all’art. 5, par. 1, lett. a), e la necessità di una base giuridica ex art. 6 GDPR per la ripresa di aree pubbliche. Ha inoltre richiamato il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e le Linee guida EDPB n. 3/2019 sul trattamento mediante dispositivi video.

Per quanto riguarda la ripresa dei lavoratori, il Garante ha ribadito che, quando un sistema di videosorveglianza consente anche il controllo a distanza dell’attività dei dipendenti, il trattamento è lecito solo nel rispetto dell’art. 4 della l. 300/1970; tale disciplina è resa specifica dall’art. 114 del Codice privacy ed è coerente con l’art. 88 GDPR, che consente norme nazionali più specifiche a tutela dei lavoratori.

Violazioni accertate

Il Garante ha ritenuto illecito il trattamento per due distinte ragioni:

• la telecamera esterna riprendeva un’area pubblica eccedente rispetto alla stretta pertinenza dell’esercizio, in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR;
• la telecamera interna poteva riprendere anche il personale dipendente senza che risultasse attivata la procedura di garanzia prevista dall’art. 4 della l. 300/1970, con conseguente violazione dell’art. 5, par. 1, lett. a), dell’art. 88 GDPR e dell’art. 114 del Codice.

L’Autorità ha osservato che la violazione non poteva essere qualificata come minore, tenuto conto della natura, gravità e durata del trattamento, nonché del grado di responsabilità del titolare.

Regolarizzazione successiva e valutazione finale

Nel corso dell’istruttoria l’impresa ha tenuto un comportamento collaborativo e ha trasmesso documentazione attestante la rimozione della telecamera esterna, l’aggiornamento del cartello di videosorveglianza e l’adeguamento alla disciplina dell’art. 4 dello Statuto dei lavoratori. Il Garante ha quindi preso atto della cessazione del trattamento illecito e della regolarizzazione del sistema, ma ha comunque ritenuto sussistente la violazione già consumata.

Sanzione amministrativa e criteri applicati

All’esito del procedimento è stata adottata ordinanza-ingiunzione con applicazione di una sanzione amministrativa pecuniaria di 1.000 euro. Nella quantificazione, ai sensi dell’art. 83, par. 2, GDPR, il Garante ha considerato:

• la natura e la gravità della violazione;
• l’assenza di precedenti specifici a carico dell’impresa;
• la collaborazione prestata durante il procedimento;
• la cessazione del trattamento illecito;
• le condizioni economiche del contravventore, valutate sulla base della dichiarazione dei redditi 2022.

L’Autorità ha richiamato anche i principi di effettività, proporzionalità e dissuasività della sanzione, previsti dall’art. 83, par. 1, GDPR.

Dispositivo e impugnazione

Il Garante ha dichiarato l’illiceità del trattamento, ha ordinato all’impresa il pagamento della sanzione di 1.000 euro entro 30 giorni dalla notifica e ha ricordato la possibilità di definizione agevolata mediante il pagamento della metà dell’importo nei termini di legge. È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale del Garante ai sensi dell’art. 166, comma 7, del Codice e del regolamento n. 1/2019.

Avverso il provvedimento è stato indicato il ricorso dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.