Ordinanza ingiunzione o revoca n. 234 del 11/04/2024

Comune di Madignano: videosorveglianza nell’atrio comunale e uso disciplinare delle immagini

Il Garante ha esaminato il trattamento di immagini raccolte tramite una telecamera installata nell’atrio della sede del Comune di Madignano. Il procedimento trae origine da una segnalazione di una dipendente e riguarda sia la liceità dell’installazione e dell’uso dell’impianto di videosorveglianza, sia l’utilizzo delle immagini in un procedimento disciplinare.

Origine del procedimento e istruttoria

La dipendente ha segnalato che la telecamera era stata collocata in prossimità dei sistemi di rilevazione delle presenze, in assenza di accordo con le organizzazioni sindacali, e che le immagini sarebbero state utilizzate per contestazioni disciplinari relative al mancato rispetto dell’orario di servizio e ad altre violazioni dei doveri d’ufficio.

Nel corso dell’istruttoria il Comune ha fornito ricostruzioni difensive non coerenti tra loro: inizialmente ha riferito che l’impianto era destinato alla tutela del patrimonio comunale e dell’incolumità dei dipendenti; successivamente ha sostenuto che la finalità fosse di pubblica sicurezza e accertamento dei reati; ha infine richiamato i c.d. controlli difensivi e il regolamento comunale sulla videosorveglianza.

Quadro normativo richiamato

Il Garante ha richiamato:

• gli artt. 5, 6, 12, 13 e 88 del GDPR;
• l’art. 114 del Codice privacy;
• l’art. 4 della l. n. 300/1970, nei commi 1 e 3.

È stato ribadito che, quando una telecamera può riprendere anche i lavoratori nei luoghi di lavoro, il trattamento è lecito solo se ricorrono le condizioni poste dalla disciplina sui controlli a distanza: finalità ammesse, accordo sindacale oppure autorizzazione dell’Ispettorato del lavoro, oltre all’adeguata informativa ai lavoratori. Il Garante ha anche richiamato la propria precedente prassi e le linee guida europee in materia di videosorveglianza.

Liceità del trattamento e controlli a distanza

Dall’istruttoria è emerso che la telecamera è stata installata nell’atrio del Comune tra due mesi indicati nel provvedimento e collegata all’impianto nel mese successivo, a seguito di un’aggressione subita da un’assistente sociale e da un assessore. Tuttavia, l’autorizzazione dell’Ispettorato territoriale del lavoro di Cremona è intervenuta solo successivamente.

Ne consegue che, nel periodo anteriore all’autorizzazione, il Comune ha trattato immagini dei lavoratori in assenza dei presupposti richiesti dall’art. 4, comma 1, della l. 300/1970. Il Garante ha quindi ravvisato una violazione degli artt. 5, par. 1, lett. a), 6 e 88 GDPR, nonché dell’art. 114 del Codice, in relazione all’art. 4 Statuto dei lavoratori.

Il Garante ha escluso che il caso potesse essere ricondotto alla sicurezza urbana o alla pubblica sicurezza:

• non risultava alcun patto con la Prefettura che legittimasse l’installazione per la sicurezza urbana;
• la Polizia locale non può svolgere, di propria iniziativa, funzioni di pubblica sicurezza generale;
• non vi era prova di un’attività di polizia giudiziaria svolta su impulso e sotto la direzione dell’autorità giudiziaria.

Mancata informativa ai lavoratori e ai visitatori

Sul piano della trasparenza, il Garante ha ricordato che la videosorveglianza richiede sia l’informativa di primo livello, tramite cartelli, sia un’informativa estesa, facilmente accessibile e contenente tutti gli elementi dell’art. 13 GDPR.

Il Comune ha sostenuto che l’obbligo fosse assolto tramite il regolamento comunale sulla videosorveglianza e la cartellonistica. Il Garante ha però rilevato che tale regolamento:

• non conteneva tutti gli elementi informativi essenziali richiesti dal GDPR;
• era stato approvato prima della disciplina attuale;
• non spiegava in modo specifico la finalità e la base giuridica del trattamento svolto all’interno della sede comunale;
• non poteva sostituire una vera informativa ex artt. 12 e 13 GDPR.

È stata quindi accertata la violazione degli artt. 5, 12 e 13 GDPR anche nei confronti di lavoratori, utenti e visitatori della sede comunale.

Utilizzo delle immagini nel procedimento disciplinare

Nel corso dell’istruttoria è stato accertato che le immagini della telecamera sono state utilizzate per contestazioni disciplinari nei confronti della dipendente. In particolare, una nota del Segretario comunale all’Ufficio procedimenti disciplinari della Provincia di Cremona ha richiamato la visione delle telecamere da parte del Sindaco per verificare la fondatezza delle segnalazioni ricevute.

Il Garante ha chiarito che l’eventuale uso successivo dei dati nel rapporto di lavoro è consentito solo se i dati sono stati originariamente raccolti lecitamente e se l’interessato è stato previamente informato delle modalità di utilizzo. Nel caso concreto, invece:

• la raccolta era avvenuta in violazione dell’art. 4, comma 1, l. 300/1970;
• il provvedimento disciplinare era stato adottato prima dell’autorizzazione dell’Ispettorato del lavoro;
• non era stata fornita un’adeguata informazione ex art. 4, comma 3, l. 300/1970.

È stata quindi accertata anche la violazione degli artt. 5, par. 1, lett. a) e b), 6 e 88 GDPR, nonché dell’art. 114 del Codice, in relazione all’art. 4, comma 3, dello Statuto dei lavoratori.

Valutazione complessiva dell’Autorità

Il Garante ha concluso che le violazioni derivano da un’unica condotta illecita e ha ritenuto non possibile l’archiviazione. È stata quindi dichiarata l’illiceità del trattamento effettuato dal Comune di Madignano per violazione degli artt. 5, 6, 12, 13 e 88 GDPR, nonché dell’art. 114 del Codice, con riferimento all’art. 4, commi 1 e 3, della l. 300/1970.

Misure correttive e termine di adempimento

Ai sensi dell’art. 58, par. 2, lett. d), del GDPR, il Garante ha ordinato al Comune di:

• fornire a tutti gli interessati, cioè lavoratori e visitatori, un’idonea informativa sul trattamento effettuato mediante la telecamera;
• includere tutti gli elementi informativi essenziali previsti dall’art. 13 GDPR.

È stato inoltre richiesto al Comune di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alle misure imposte.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha applicato una sanzione amministrativa pecuniaria pari a 3.000 euro, richiamando l’art. 83, paragrafi 2, 3 e 5, del GDPR. La quantificazione ha tenuto conto:

• della natura del trattamento, svolto in modo non conforme alla disciplina sui controlli a distanza;
• della mancata dimostrazione dell’avvenuta informativa agli interessati;
• del livello di gravità ritenuto alto;
• delle ridotte dimensioni del Comune, con circa 2.700 abitanti;
• dell’assenza di precedenti violazioni pertinenti;
• del fatto che la violazione ha riguardato una specifica articolazione interna dell’ente.

Il Garante ha ritenuto la sanzione effettiva, proporzionata e dissuasiva. È stata inoltre prevista la possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice.

Pubblicazione del provvedimento e tutela giurisdizionale

È stata disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice. È stata inoltre ordinata l’annotazione nel registro interno dell’Autorità. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.