Ordinanza ingiunzione o revoca n. 69 del 09/03/2023

Ordinanza ingiunzione per videosorveglianza illecita in un esercizio commerciale

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti del titolare di un’impresa individuale esercente il commercio al dettaglio di frutta e verdura, in relazione all’uso di una telecamera di videosorveglianza installata nei locali dell’attività. Il procedimento è scaturito da un controllo della Guardia di Finanza, che ha rilevato la presenza di un impianto funzionante in assenza di cartelli informativi e senza la preventiva autorizzazione richiesta dalla disciplina lavoristica.

Origine del procedimento e svolgimento dell’istruttoria

La Guardia di Finanza di Seregno, con verbale trasmesso al Garante dal Nucleo speciale tutela privacy e frodi tecnologiche, ha segnalato che presso il punto vendita era presente una telecamera interna idonea a riprendere sia l’area aperta al pubblico sia i dipendenti. Dal verbale emergeva inoltre che non risultava richiesta, prima dell’installazione, l’autorizzazione dell’Ispettorato territoriale del lavoro, necessaria quando il sistema può comportare controllo a distanza dell’attività dei lavoratori.

L’Autorità ha quindi avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR, nonché dell’art. 114 del Codice privacy. L’impresa, nelle difese, ha sostenuto che la telecamera non fosse funzionante né collegata al sistema informatico e che fosse stata installata solo a fini deterrenti; successivamente ha documentato la rimozione dell’impianto e del monitor.

Trattamento esaminato e disciplina applicabile

Il Garante ribadisce che l’impiego di sistemi di videosorveglianza può integrare un trattamento di dati personali e deve rispettare i principi generali del GDPR, in particolare il principio di trasparenza. In tale prospettiva, gli interessati devono essere informati in modo chiaro e preventivo dell’accesso a una zona videosorvegliata mediante idonei cartelli informativi, secondo il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e le Linee guida EDPB n. 3/2019.

Quando la videosorveglianza può incidere sul rapporto di lavoro, il quadro normativo richiede inoltre il rispetto dell’art. 4 della l. 300/1970, richiamato dall’art. 114 del Codice: l’installazione è lecita solo previa stipula di accordo sindacale o, in mancanza, previa autorizzazione dell’Ispettorato del lavoro. Il provvedimento sottolinea che tale procedura costituisce una condizione indefettibile di liceità.

Valutazioni sull’illiceità del trattamento

Sulla base del verbale della Guardia di Finanza, il Garante ha ritenuto comprovato che la telecamera fosse attiva e funzionante, capace di effettuare riprese in tempo reale e registrazione di immagini nitide dell’intera area aperta al pubblico, comprensive di clienti e dipendenti. Il verbale, redatto da pubblico ufficiale, fa piena prova fino a querela di falso dei fatti accertati e delle dichiarazioni rese in presenza dei verbalizzanti.

L’Autorità ha inoltre rilevato l’assenza del cartello informativo ex art. 13 GDPR e la mancata attivazione della procedura di garanzia prevista per i controlli a distanza dei lavoratori. Ne deriva che il trattamento è stato svolto in violazione:

• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo del principio di trasparenza;
• dell’art. 13 GDPR, per omessa informativa;
• dell’art. 114 del Codice privacy, per mancato rispetto dell’art. 4 della l. 300/1970.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha escluso che la violazione potesse essere qualificata come minore, considerando natura, gravità e durata dell’illecito, il grado di responsabilità del titolare e le modalità con cui l’Autorità ne è venuta a conoscenza. Sono stati valorizzati anche l’assenza di precedenti specifici e la circostanza che il titolare avesse successivamente rimosso la telecamera, sebbene la documentazione fosse pervenuta solo in un secondo momento.

Ai fini dell’art. 83 GDPR, l’Autorità ha considerato altresì le condizioni economiche del contravventore, ricavate dal bilancio 2022. All’esito, ha determinato la sanzione amministrativa pecuniaria in euro 3.000,00 per le violazioni accertate.

Dispositivo, pagamento e impugnazione

Il Garante ha dichiarato l’illiceità del trattamento effettuato tramite il sistema di videosorveglianza e ha ordinato al titolare dell’impresa individuale il pagamento della sanzione di euro 3.000,00 entro 30 giorni dalla notifica del provvedimento, con avvertimento delle conseguenze esecutive in caso di inadempimento.

È stata inoltre richiamata la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice, con pagamento della metà della sanzione entro il termine per proporre ricorso. Il provvedimento dispone la pubblicazione sul sito internet del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019. Avverso l’ordinanza è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.