Ordinanza ingiunzione o revoca n. 502 del 26/10/2023

Videosorveglianza condominiale installata senza delibera: illecito del trattamento e sanzione all’amministratore

Il Garante ha esaminato un reclamo contro l’installazione di un impianto di videosorveglianza presso un condominio, disposta dall’amministratore in assenza della delibera assembleare prevista dall’art. 1122-ter c.c. Il procedimento ha portato alla dichiarazione di illiceità del trattamento effettuato dall’amministratore, al divieto del trattamento e all’irrogazione di una sanzione amministrativa pecuniaria di 1.000 euro.

Origine del reclamo e attività istruttoria

Il procedimento è stato avviato a seguito di reclamo ex art. 77 GDPR presentato da un condomino, che lamentava la presenza di telecamere installate nel condominio senza idonei presupposti di legittimità. L’Ufficio ha chiesto informazioni all’amministratore ai sensi dell’art. 157 del Codice, ma la richiesta non ha ricevuto riscontro. Successivamente è stato delegato il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza per notificare l’avvio del procedimento sanzionatorio e acquisire informazioni.

L’ispezione del 17 novembre 2021 ha accertato che nel condominio erano presenti due telecamere esterne, attive e funzionanti, con ripresa del parcheggio, del cancello di accesso e parziale visione della strada pubblica. Le telecamere erano state installate nel novembre 2020. I condomini erano stati informati tramite e-mail del 6 novembre 2020; inoltre, erano presenti cartelli informativi ai sensi dell’art. 13 GDPR, ma privi dell’indicazione del titolare del trattamento.

Archiviazione del profilo relativo alla mancata risposta al Garante

Quanto alla contestazione relativa alla mancata risposta alla richiesta di informazioni formulata dall’Autorità, il Garante ha preso atto della dichiarazione della parte secondo cui la nota non era stata ricevuta, osservando che la comunicazione era stata inviata a un indirizzo e-mail ordinario, non certificato. In assenza di prova contraria, il procedimento avviato per la violazione dell’art. 157 del Codice è stato archiviato.

Quadro normativo richiamato

Il Garante ha ricordato che la videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare i principi generali di cui all’art. 5 GDPR, in particolare:

• il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a);
• il principio di limitazione delle finalità.

Sono state richiamate le Linee guida EDPB n. 3/2019 sul trattamento dei dati mediante dispositivi video, che richiedono la specificazione delle finalità del trattamento e un’informativa adeguata agli interessati. È stato inoltre richiamato il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, con riferimento alla necessità di cartelli informativi idonei a rendere gli interessati consapevoli della sorveglianza in atto.

Sul piano della base giuridica, il Garante ha ricordato che, in concreto, la videosorveglianza può fondarsi soprattutto sull’art. 6, par. 1, lett. f), GDPR, cioè sul legittimo interesse, purché sussista una situazione reale, attuale e adeguatamente bilanciata con i diritti e le libertà degli interessati.

Videosorveglianza in ambito condominiale e ruolo della delibera

In ambito condominiale, l’installazione di impianti di videosorveglianza sulle parti comuni richiede la delibera dell’assemblea ai sensi dell’art. 1122-ter c.c., con le maggioranze previste dall’art. 1136, secondo comma, c.c. La delibera è lo strumento con cui i condomini definiscono le principali caratteristiche del trattamento, incluse modalità, finalità, tempi di conservazione e soggetti autorizzati alla visione delle immagini.

Il Garante ha rilevato che, nel caso esaminato, l’amministratore aveva avviato l’installazione delle telecamere senza la preventiva delibera, limitandosi in assemblea a invitare i condomini a produrre preventivi. Tale condotta è stata considerata eccedente i poteri dell’amministratore, il quale, come mandatario, può eseguire le delibere assembleari e gestire l’ordinaria amministrazione, ma non sostituirsi all’assemblea su una decisione che richiede specifica approvazione.

Individuazione del titolare del trattamento

Dalla documentazione emersa, il Garante ha ritenuto che, nel caso concreto, non fosse il condominio ma l’amministratore a qualificarsi come titolare del trattamento. Ciò perché l’amministratore aveva disposto l’installazione, definito l’angolo visuale delle telecamere e gestito la visualizzazione delle immagini tramite un’applicazione sul proprio smartphone, accessibile con credenziali note solo a lui.

Illiceità del trattamento

L’Autorità ha concluso che il trattamento dei dati personali effettuato tramite il sistema di videosorveglianza era illecito, poiché:

• era stato realizzato senza la delibera condominiale richiesta dalla normativa civilistica;
• non era sorretto da un idoneo presupposto di liceità ai sensi dell’art. 6 GDPR;
• non risultava giustificato da un legittimo interesse effettivo e attuale dell’amministratore;
• violava i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Il Garante ha precisato che il legittimo interesse a tutelare la proprietà da furti o atti vandalici avrebbe potuto eventualmente essere perseguito dal condominio, ma non dall’amministratore in via autonoma e in assenza dei presupposti richiesti.

Provvedimento correttivo: divieto del trattamento

Poiché non erano emerse successive comunicazioni attestanti l’adozione della delibera condominiale, il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto del trattamento mediante il sistema di videosorveglianza effettuato dall’amministratore. È stata però lasciata ferma la possibilità che il trattamento venga svolto dal condominio, previa adozione della deliberazione richiesta dall’art. 1122-ter c.c.

Sanzione amministrativa pecuniaria

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria pari a 1.000 euro per la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR.

Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione;
• la circostanza aggravante che l’adempimento omesso è espressamente previsto dall’art. 1122-ter c.c.;
• la mancata produzione, da parte dell’interessato, di documentazione idonea a dimostrare l’adozione di misure correttive o della delibera richiesta;
• l’assenza di precedenti specifici in materia di protezione dei dati personali.

Il Garante ha richiamato anche l’art. 83, par. 1 e par. 3, GDPR, precisando che la sanzione deve essere effettiva, proporzionata e dissuasiva e che, in caso di più violazioni collegate, l’importo complessivo non può superare il massimo edittale previsto per la violazione più grave.

Pubblicazione e adempimenti successivi

Il provvedimento è stato pubblicato sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019. È stato inoltre disposto che l’amministratore comunichi, entro 30 giorni dalla notifica, le iniziative intraprese per dare attuazione a quanto prescritto e fornisca un riscontro documentato ai sensi dell’art. 157 del Codice; l’eventuale mancato riscontro può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, lett. e), GDPR.

Tutela giurisdizionale

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.