Ordinanza ingiunzione o revoca n. 208 del 10/04/2025

Aliseo s.r.l. - videosorveglianza aziendale e controllo dei lavoratori

Il provvedimento riguarda Aliseo s.r.l., destinataria di un’ordinanza ingiunzione per l’uso di un impianto di videosorveglianza installato presso la sede e due punti vendita. Il procedimento è stato avviato a seguito di un reclamo e di successivi accertamenti ispettivi, con i quali il Garante ha verificato plurime violazioni della disciplina privacy e lavoristica.

Origine del procedimento e attività istruttoria

Il reclamo, presentato il 20 aprile 2023 ai sensi dell’art. 77 GDPR, segnalava la presenza di telecamere presso la sede di Carpi e presso due esercizi commerciali, lamentando anche l’assenza di adeguate informative e l’uso del sistema per il controllo dei dipendenti, con possibilità di visione da remoto delle immagini da parte del titolare.

L’Ufficio ha quindi disposto un accertamento ispettivo tramite il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza, con accesso ispettivo svolto il 12 e 13 luglio 2023. Nel corso delle verifiche la società ha descritto l’impianto, dichiarando la presenza complessiva di 9 telecamere, alcune interne e altre esterne, installate tra fine 2022 e inizio 2023, funzionanti h24 e con accesso alle immagini tramite applicazione desktop su un PC aziendale.

Informative carenti e violazione degli obblighi di trasparenza

Il Garante ha accertato che, fino all’ispezione, le informative predisposte per i locali erano inidonee e in un caso mancanti. Le vetrofanie presenti non riportavano elementi essenziali come l’identità del titolare e le finalità del trattamento, in contrasto con il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e con l’art. 13 GDPR.

L’Autorità ha richiamato le Linee guida EDPB n. 3/2019 sul trattamento mediante dispositivi video, evidenziando che le informazioni di primo livello devono essere immediatamente accessibili, chiare e collocate in modo da consentire all’interessato di comprendere prima dell’ingresso nella zona videosorvegliata che è in corso una ripresa.

Per i dipendenti era stata predisposta un’informativa sottoscritta all’assunzione, ma essa conteneva indicazioni non corrette e incomplete, tra cui l’erronea indicazione di un tempo di conservazione pari a 24 ore. Inoltre ometteva profili rilevanti del trattamento, come la presenza dell’audio nei negozi e la ripresa dell’attività lavorativa.

Conservazione delle immagini e principi di minimizzazione

Dagli accertamenti è risultato che le immagini conservate risalivano a periodi ben più ampi rispetto a quanto dichiarato ai lavoratori. Il Garante ha ritenuto integrata la violazione dei principi di limitazione della conservazione e minimizzazione dei dati di cui all’art. 5, par. 1, lett. c) ed e), GDPR.

In termini generali, l’Autorità ha ribadito che le immagini da videosorveglianza devono essere conservate solo per il tempo necessario alla finalità perseguita e, di regola, cancellate dopo pochi giorni, preferibilmente tramite meccanismi automatici. Nel corso del procedimento la società ha comunque ridotto il periodo di conservazione a 48 ore.

Accesso alle immagini e istruzioni alla persona autorizzata

È stato accertato che l’accesso alle immagini live e registrate avveniva tramite un desktop applicativo installato su una postazione aziendale e che una dipendente poteva visualizzare le immagini. Tuttavia, la società non aveva inizialmente fornito le necessarie istruzioni a tale soggetto, come richiesto dall’art. 29 GDPR.

Solo in un momento successivo, con comunicazione del 17 ottobre 2023, la società ha prodotto la documentazione relativa alla designazione della dipendente quale soggetto autorizzato al trattamento. Il Garante ha dunque ritenuto accertata la violazione dell’art. 29 GDPR per il periodo antecedente l’adeguamento.

Videosorveglianza e controllo a distanza dei lavoratori

Un ulteriore profilo di illegittimità ha riguardato le telecamere interne dei due negozi, entrambe con microfono incorporato e collocate in modo da riprendere anche l’attività lavorativa delle dipendenti. Secondo l’Autorità, tale configurazione rendeva il sistema idoneo al controllo a distanza dei lavoratori.

Il Garante ha richiamato l’art. 88 GDPR e l’art. 114 del Codice privacy, che rinviano alla disciplina nazionale più specifica in materia di controlli a distanza, in particolare all’art. 4 della legge n. 300/1970. Poiché l’autorizzazione dell’Ispettorato territoriale del lavoro è stata rilasciata solo il 9 ottobre 2023, quindi dopo l’installazione e l’entrata in funzione dell’impianto, il trattamento è stato ritenuto illecito anche sotto questo profilo.

Valutazione finale del Garante

L’Autorità ha concluso che il trattamento effettuato mediante l’impianto di videosorveglianza era illecito per violazione dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della conservazione, nonché per violazione degli obblighi informativi, dell’art. 29 GDPR e della disciplina speciale sul controllo a distanza dei lavoratori.

Il Garante ha precisato che le misure correttive intervenute nel corso dell’istruttoria non erano sufficienti a determinare l’archiviazione del procedimento.

Sanzione pecuniaria e criteri di quantificazione

Ai fini della sanzione amministrativa pecuniaria, il Garante ha applicato l’art. 83, par. 1, 2, 3 e 5, GDPR, rilevando che, trattandosi dello stesso trattamento o di trattamenti collegati, l’importo complessivo non poteva superare il massimo edittale previsto per la violazione più grave.

Nella determinazione dell’importo sono stati considerati:

• la natura, gravità e durata della violazione, che ha riguardato dati di dipendenti per circa 10 mesi;
• l’assenza di precedenti violazioni pertinenti;
• il grado di cooperazione mostrato dalla società, che ha adottato misure correttive durante l’istruttoria;
• le condizioni economiche del contravventore, valutate sul volume d’affari del bilancio 2023.

La sanzione è stata fissata in euro 5.000,00.

Dispositivo e ulteriori determinazioni

Il Garante ha rilevato l’illiceità del trattamento effettuato da Aliseo s.r.l. in qualità di titolare del trattamento, per violazione degli artt. 5, par. 1, lett. a), c) ed e), 13 e 88 GDPR, nonché dell’art. 114 del Codice privacy.

È stato quindi ordinato il pagamento della sanzione amministrativa pecuniaria di euro 5.000,00 entro 30 giorni dalla notifica del provvedimento, con la possibilità di definizione agevolata mediante pagamento in misura ridotta ai sensi dell’art. 166, comma 8, del Codice.

Inoltre, l’Autorità ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, la pubblicazione del provvedimento e l’annotazione nel registro interno delle violazioni e delle misure adottate.