Ordinanza ingiunzione o revoca n. 198 del 17/05/2023

M.S.M. Immobiliare s.r.l. - videosorveglianza senza adeguata informativa

Il provvedimento riguarda M.S.M. Immobiliare s.r.l. e l’utilizzo di un impianto di videosorveglianza installato presso un immobile di sua proprietà a Grumello del Monte (BG). L’istruttoria è stata avviata a seguito di segnalazione di un vicino confinante e di successivo accertamento della Guardia di finanza, che ha rilevato carenze nell’informativa resa agli interessati.

Origine dell’accertamento e avvio del procedimento

La segnalazione iniziale lamentava che le telecamere fossero idonee a riprendere anche aree eccedenti rispetto alla proprietà della società e che mancassero cartelli informativi adeguati. Il controllo del 24 maggio 2022 ha confermato la presenza di un impianto attivo e funzionante composto da 7 telecamere, di cui 5 esterne e 2 interne, e ha evidenziato che l’unico cartello rilevato era privo dell’indicazione del titolare del trattamento.

Sulla base di tali risultanze, il Garante ha notificato alla società l’avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, in relazione alla violazione degli artt. 5, par. 1, lett. a) e 13 GDPR.

Condotte della società nel corso dell’istruttoria

Nel corso delle operazioni di controllo, la società ha dichiarato che il cartello sul retro dell’immobile non era presente perché rimosso a seguito di un atto vandalico e che non era stata ancora predisposta la modulistica informativa, poiché l’immobile era in disuso. La società si è impegnata a predisporre quanto prima l’informativa e ad apporre cartelli conformi in prossimità di tutte le telecamere.

Successivamente, con scritti difensivi del 13 ottobre 2022, la società ha comunicato di aver provveduto ad apporre, presso ogni telecamera e presso ogni ingresso dello stabile, una coppia di cartelli informativi recanti l’area videosorvegliata, la finalità e i riferimenti del titolare del trattamento, fornendo adeguata prova documentale.

Quadro giuridico richiamato

Il Garante ha ricordato che l’impiego di sistemi di videosorveglianza può comportare un trattamento di dati personali e che tale trattamento deve rispettare, tra l’altro, il principio di trasparenza di cui all’art. 5, par. 1, lett. a) GDPR. In particolare, gli interessati devono essere informati dell’accesso a una zona videosorvegliata prima di entrarvi.

A tal fine, il titolare deve apporre cartelli informativi idonei secondo le indicazioni del provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e delle FAQ dell’Autorità. Sono state richiamate anche le Linee guida n. 3/2019 dell’EDPB sul trattamento dei dati personali attraverso dispositivi video, che prevedono un sistema informativo su due livelli e cartelli ben visibili, intelligibili e leggibili, posizionati in modo da consentire all’interessato di comprendere l’estensione della sorveglianza prima di accedere all’area controllata.

Valutazione del Garante

Dagli accertamenti è risultato che il trattamento era effettivamente in corso mediante un impianto di videosorveglianza funzionante e che, al momento del controllo, mancava un’informativa conforme all’art. 13 GDPR. La condotta è stata quindi ritenuta illecita perché in contrasto con:

• l’art. 5, par. 1, lett. a) GDPR, per difetto di trasparenza;
• l’art. 13 GDPR, per omessa o inadeguata informativa agli interessati.

Il Garante ha quindi dichiarato l’illiceità del trattamento effettuato da M.S.M. Immobiliare s.r.l. tramite il sistema di videosorveglianza installato presso l’immobile di sua proprietà.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha applicato il potere sanzionatorio previsto dagli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dall’art. 166 del Codice privacy, mediante ordinanza ingiunzione ai sensi dell’art. 18 della legge n. 689/1981.

Nel determinare l’importo, il Garante ha valorizzato i criteri dell’art. 83, par. 2, GDPR e ha considerato:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare per l’inadempimento dell’obbligo informativo;
• l’assenza di precedenti specifici in materia di protezione dei dati personali;
• la cooperazione della società, che ha successivamente installato cartelli adeguati e dimostrato di aver adempiuto all’obbligo di legge.

All’esito della valutazione complessiva è stata irrogata una sanzione amministrativa pecuniaria di euro 1.000.

Prescrizioni, pagamento e pubblicazione

La società è stata ingiunta a pagare la sanzione di euro 1.000 entro 30 giorni dalla notifica del provvedimento, con le modalità indicate in allegato, pena l’adozione degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. È stata altresì richiamata la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per proporre ricorso.

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul sito istituzionale ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16, comma 1, del regolamento n. 1/2019, ritenendo sussistenti i presupposti di cui all’art. 17 del medesimo regolamento.

Tutela giurisdizionale

Avverso il provvedimento è stata indicata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria, con ricorso da depositare entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice privacy e dell’art. 10 del d.lgs. n. 150/2011.