Ordinanza ingiunzione o revoca n. 467 del 17/07/2024

Mark s.r.l.s. - videosorveglianza in esercizio commerciale senza informativa e senza autorizzazione preventiva

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato da Mark s.r.l.s. mediante un impianto di videosorveglianza installato presso il locale "The Lull Bar" di Bologna. Il procedimento è scaturito da un verbale della Questura di Bologna, trasmesso all’Autorità, relativo a un controllo congiunto con l’Ispettorato del Lavoro.

Origine del procedimento e accertamenti ispettivi

In seguito al controllo del 4 luglio 2023 presso l’esercizio pubblico, è stata riscontrata la presenza di un sistema composto da 10 telecamere, di cui 5 all’interno e 5 all’esterno del locale. L’impianto risultava attivo e funzionante, ma l’esercizio era sprovvisto della cartellonistica informativa prevista per le aree videosorvegliate.

A seguito della trasmissione del verbale, l’Ufficio del Garante ha avviato il procedimento sanzionatorio nei confronti della società, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR, nonché dell’art. 114 del Codice privacy. La società ha depositato scritti difensivi sostenendo di avere installato cartelli di segnalazione e producendo l’autorizzazione dell’Ispettorato Territoriale del Lavoro, ma senza fornire prova documentale dell’avvenuta affissione dei cartelli.

Quadro giuridico richiamato

Il provvedimento ricorda che l’uso di sistemi di videosorveglianza può comportare un trattamento di dati personali soggetto ai principi del GDPR, in particolare al principio di trasparenza. Per questo il titolare deve informare gli interessati con idonei cartelli prima dell’accesso alla zona videosorvegliata, secondo il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010 e le Linee guida EDPB n. 3/2019.

Il Garante richiama inoltre la disciplina del trattamento dei dati dei lavoratori. Quando la videosorveglianza consente anche il controllo a distanza dell’attività dei dipendenti, trovano applicazione l’art. 4 della l. 300/1970 e l’art. 114 del Codice privacy, che richiedono un previo accordo sindacale o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro. La violazione di tale disciplina è richiamata come penalmente sanzionata dall’art. 171 del Codice.

Violazioni accertate

L’Autorità ha ritenuto accertato che, al momento del controllo, mancavano:

• l’informativa resa mediante cartelli idonei ai sensi dell’art. 13 GDPR;
• la preventiva autorizzazione dell’Ispettorato del lavoro prevista per gli impianti che possono determinare controllo a distanza dei lavoratori.

Il provvedimento autorizzatorio prodotto dalla società è successivo al controllo ispettivo, sicché il trattamento è stato giudicato illecito al momento della sua effettuazione.

Valutazioni del Garante

Il Garante ha escluso che la violazione potesse essere qualificata come minore ai sensi del considerando 148 GDPR, valorizzando:

• la natura, gravità e durata della violazione;
• il grado di responsabilità del titolare;
• la mancanza di prova dell’adempimento dell’obbligo informativo;
• l’assenza di precedenti specifici a carico della società.

È stata considerata anche la situazione economica del contravventore, desunta dal bilancio 2023, ai fini della quantificazione della sanzione.

Provvedimenti adottati e sanzione

Il Garante ha:

• dichiarato l’illiceità del trattamento ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR;
• ordinato alla società il pagamento di una sanzione amministrativa pecuniaria di 5.000 euro;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di adeguare il trattamento mediante l’apposizione, ove non già effettuata, di idonei cartelli informativi;
• disposto la pubblicazione del provvedimento sul sito web del Garante.

È stato inoltre ricordato che il trasgressore può definire la controversia mediante pagamento in misura ridotta pari alla metà della sanzione, entro il termine previsto per l’opposizione, e che avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.