Ordinanza ingiunzione o revoca n. 307 del 23/05/2024

Impresa individuale "Luigi De Benedictis" - videosorveglianza senza informativa e cartelli presso un esercizio commerciale

Il Garante per la protezione dei dati personali ha esaminato un trattamento effettuato mediante un sistema di videosorveglianza installato presso il pubblico esercizio denominato "Pescheria Da GINO", riferibile all’impresa individuale "Luigi De Benedictis", a Bari. Il procedimento trae origine da un accertamento della Questura di Bari che ha rilevato telecamere attive in assenza di idonea informativa agli interessati.

Accertamento e avvio del procedimento

Con nota trasmessa al Garante il 28 settembre 2023, la Questura di Bari – Commissariato Sezionale di P.S. "Bari Nuova Carrassi" – ha comunicato le risultanze dell’ispezione svolta nello stesso giorno presso l’esercizio commerciale. Nel corso del controllo sono state accertate tre telecamere regolarmente funzionanti, ma prive di cartelli informativi idonei a segnalare la presenza del sistema di videosorveglianza.

Sulla base del verbale, l’Ufficio ha notificato all’impresa l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 GDPR, in conformità all’art. 166, comma 5, del Codice, contestando la violazione degli artt. 13 e 5, par. 1, lett. a), GDPR. L’impresa non ha presentato scritti difensivi né altra documentazione.

Qualificazione del trattamento e quadro normativo

Il Garante ribadisce che l’utilizzo di un impianto di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR e deve rispettare i principi generali dell’art. 5, in particolare il principio di trasparenza.

In tale ambito, il titolare è tenuto a predisporre un’informativa idonea, normalmente tramite cartelli ben visibili, secondo quanto indicato nel provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e nelle FAQ pubblicate dall’Autorità. Sono richiamate anche le Linee guida EDPB n. 3/2019 sul trattamento di dati personali attraverso dispositivi video, che prevedono un’informativa a due livelli e l’esposizione delle informazioni essenziali sul segnale di avvertimento.

Violazioni accertate

Dall’istruttoria è emerso che le persone che accedevano nell’area sorvegliata non ricevevano alcuna informazione sulla presenza delle telecamere.

Le violazioni contestate e ritenute sussistenti sono state:

• violazione dell’art. 13 GDPR, per omessa informativa agli interessati;
• violazione dell’art. 5, par. 1, lett. a), GDPR, per lesione del principio di trasparenza.

Il trattamento è stato pertanto qualificato come illecito nei termini indicati in motivazione.

Valutazione del Garante e misure correttive

Il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, che il titolare conformi il trattamento al Regolamento, procedendo all’apposizione di idonei cartelli informativi recanti le informazioni sulla presenza delle telecamere.

La misura correttiva è collegata alla necessità di rendere gli interessati consapevoli, prima di entrare nell’area sorvegliata, dell’esistenza del sistema di videosorveglianza e delle relative caratteristiche essenziali.

Sanzione amministrativa pecuniaria

Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 1.000,00 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare per l’omessa informativa;
• l’assenza di precedenti specifici;
• la mancata partecipazione e cooperazione con l’Autorità;
• le condizioni economiche del contravventore, valutate sulla base della dichiarazione d’imposta riferita all’anno 2021;
• le sanzioni irrogate in casi analoghi.

Il Garante richiama anche il principio secondo cui la sanzione deve essere effettiva, proporzionata e dissuasiva, ex art. 83, par. 1, GDPR.

Pubblicazione del provvedimento, pagamento e riscontro

Il provvedimento dispone la pubblicazione sul sito internet del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019, rilevando anche i presupposti di cui all’art. 17 del medesimo regolamento.

È ordinato il pagamento della sanzione entro 30 giorni dalla notifica, con avvertimento che il mancato pagamento potrà comportare gli atti esecutivi previsti dall’art. 27 della legge n. 689/1981. È altresì richiamata la facoltà di definizione agevolata mediante pagamento della metà dell’importo nei termini previsti dall’art. 166, comma 8, del Codice e dall’art. 10, comma 3, del d.lgs. n. 150/2011.

Inoltre, il titolare deve comunicare entro 60 giorni le iniziative intraprese per dare esecuzione al provvedimento e fornire riscontro documentato ai sensi dell’art. 157 del Codice; l’eventuale omissione può comportare l’applicazione della sanzione di cui all’art. 83, par. 5, lett. e), GDPR.

Ricorso

È indicata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.