Ordinanza ingiunzione o revoca n. 272 del 09/05/2024

Videosorveglianza illecita in un esercizio commerciale con ripresa dei lavoratori

Il Garante per la protezione dei dati personali ha accertato l’illiceità del trattamento effettuato dall’impresa individuale "Caffetteria 77" mediante un impianto di videosorveglianza installato presso l’esercente "Caffetteria 77 Torrcaffé". Il procedimento trae origine da un controllo della Polizia municipale del Comune di Reggio Emilia, che ha riscontrato la presenza di due telecamere attive e funzionanti, idonee a riprendere sia i clienti sia il personale dipendente, senza l’osservanza delle garanzie previste per il controllo a distanza dei lavoratori.

Accertamento e avvio del procedimento

L’Autorità ha ricevuto il verbale di controllo il 30 giugno 2023, successivamente protocollato il 3 luglio 2023. Il Garante ha quindi avviato il procedimento nei confronti dell’impresa, contestando la violazione del principio di liceità del trattamento, dell’art. 88 GDPR e dell’art. 114 del Codice privacy, in relazione alla disciplina dell’art. 4 della l. 300/1970. La prima notifica non è andata a buon fine per l’inattività della PEC dell’impresa; è stata poi effettuata una seconda comunicazione via raccomandata, regolarmente consegnata.

Quadro giuridico richiamato

Il provvedimento chiarisce che l’utilizzo di sistemi di videosorveglianza può integrare un trattamento di dati personali, che deve rispettare i principi generali dell’art. 5 GDPR e, in particolare, il principio di liceità di cui all’art. 5, par. 1, lett. a).

Quando l’impianto è idoneo a riprendere anche i dipendenti durante l’attività lavorativa, trova applicazione la disciplina speciale di cui all’art. 88 GDPR e all’art. 114 del Codice privacy, che rinvia all’art. 4 dello Statuto dei lavoratori. Il Garante richiama inoltre il proprio provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e le Linee guida 3/2019 del Comitato europeo per la protezione dei dati sul trattamento tramite dispositivi video.

Violazioni accertate

Dall’istruttoria è emerso che l’impianto installato nell’esercizio commerciale era idoneo a riprendere anche il personale dipendente, ma era stato attivato senza:

• accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali;
• in mancanza di tale accordo o di rappresentanze sindacali, autorizzazione dell’Ispettorato del lavoro.

Il Garante ha quindi ritenuto violati:

• l’art. 5, par. 1, lett. a) GDPR, per difetto di liceità;
• l’art. 88 GDPR, per inosservanza della disciplina nazionale più specifica;
• l’art. 114 del Codice privacy, in relazione all’art. 4 della l. 300/1970.

La violazione dell’art. 4 dello Statuto dei lavoratori è inoltre richiamata come penalmente sanzionata dall’art. 171 del Codice.

Valutazione del Garante

Il Garante ha escluso che la violazione potesse essere considerata minore, tenuto conto della natura, gravità e durata del trattamento illecito, del grado di responsabilità e delle modalità con cui l’Autorità è venuta a conoscenza dei fatti.

È stato rilevato che l’impresa non ha fornito riscontri all’Autorità né ha dimostrato di essersi adeguata alle procedure di garanzia previste dalla normativa lavoristica. La mancata comunicazione circa la cessazione del trattamento illecito ha indotto il Garante a considerarlo ancora in corso.

Provvedimenti adottati

All’esito del procedimento, il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’impresa tramite il sistema di videosorveglianza;
• disposto, ai sensi dell’art. 58, par. 2, lett. f) GDPR, il divieto del trattamento fino all’adeguamento alle disposizioni del Regolamento e del Codice, con attivazione delle misure di garanzia dell’art. 4 l. 300/1970;
• ordinato, ai sensi dell’art. 58, par. 2, lett. i) GDPR, il pagamento di una sanzione amministrativa pecuniaria di 3.000 euro;
• disposto la pubblicazione del provvedimento sul sito internet del Garante.

Criteri di quantificazione della sanzione

Nella determinazione dell’importo il Garante ha applicato i criteri dell’art. 83, par. 2 GDPR, valorizzando:

• la natura della violazione, attinente ai principi di base del trattamento e alla disciplina speciale sui lavoratori;
• l’assenza di precedenti specifici a carico dell’impresa;
• la mancata collaborazione nel corso del procedimento;
• la durata del trattamento illecito, considerato ancora in corso;
• le condizioni economiche del contravventore, desunte dalla dichiarazione dei redditi 2022.

L’Autorità ha ritenuto la sanzione effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1 GDPR.

Pagamento, definizione agevolata e adempimenti successivi

L’impresa è stata ingiunta a pagare la sanzione entro 30 giorni dalla notifica, con avvertenza che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà di definire la controversia versando la metà della sanzione entro il termine previsto per il ricorso. È stato inoltre richiesto di comunicare, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione al provvedimento e fornire riscontro documentato ai sensi dell’art. 157 del Codice.

Tutela giurisdizionale

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.