Prescrizioni del Garante n. 201 del 11/04/2024

Videosorveglianza non conforme presso un esercizio commerciale

Il Garante ha esaminato il trattamento di dati personali effettuato da un’impresa individuale titolare di un esercizio commerciale denominato "Mastrogusto" in Roma, in relazione a un impianto di videosorveglianza installato presso la sede. Il procedimento è stato avviato a seguito di un reclamo e degli accertamenti della Guardia di finanza, che hanno rilevato criticità nell’informativa e nell’angolo di ripresa di una telecamera esterna.

Origine del procedimento e accertamenti svolti

Un interessato aveva segnalato che le telecamere presenti presso l’esercizio commerciale non erano segnalate da idonei cartelli e che riprendevano anche la strada pubblica. A seguito dell’intervento dell’Ufficio, la Guardia di finanza ha effettuato un controllo il 6 marzo 2023, trasmettendo poi il verbale all’Autorità. Dal controllo è emersa la presenza di un impianto con 6 telecamere collegate a DVR: una interna nell’area magazzino, quattro interne nell’area vendita e una esterna all’ingresso del negozio, idonea a riprendere il marciapiede di via dei Gracchi 193 e l’ingresso del condominio del reclamante.

Irregolarità rilevate sull’informativa e sulla videosorveglianza

Il verbale ha evidenziato la presenza di due cartelli informativi privi dell’indicazione del titolare del trattamento e delle finalità, oltre che non aggiornati alla disciplina vigente. Il titolare ha riconosciuto la mancanza degli elementi informativi prescritti e si è impegnato ad adeguare i cartelli. Quanto alla telecamera esterna, è stato dichiarato che essa riprendeva solo marginalmente il marciapiede e l’ingresso del condominio, con l’intenzione di ridurre l’angolo di ripresa all’area di pertinenza.

Quadro normativo richiamato

Il Garante ha ricordato che la videosorveglianza costituisce trattamento di dati personali quando consente l’identificazione degli interessati e che deve rispettare i principi del GDPR, in particolare il principio di trasparenza di cui all’art. 5, par. 1, lett. a). Sono stati richiamati anche gli artt. 6 e 13 GDPR, il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, in particolare sul contenuto e sulla collocazione dei cartelli informativi, e le Linee guida n. 3/2019 dell’EDPB, che prevedono informazioni di primo livello ben visibili e la necessità di limitare la ripresa alle sole aree effettivamente da proteggere.

Valutazione dell’illiceità del trattamento

All’esito dell’istruttoria, il Garante ha dichiarato illecito il trattamento effettuato dall’impresa individuale tramite l’impianto di videosorveglianza, per violazione degli artt. 5, 6 e 13 GDPR. In particolare, ha ritenuto non conforme la mancata apposizione di idonei cartelli informativi e la ripresa, sia pure marginale, di parte della strada pubblica mediante la telecamera esterna.

Qualificazione della violazione come minore e ammonimento

Pur accertando l’illiceità, l’Autorità ha ritenuto la condotta una "violazione minore". Tale valutazione si fonda su più elementi: la limitata estensione dell’area ripresa, l’idoneità dei cartelli presenti a consentire comunque agli interessati di ricondurre il trattamento al titolare nel contesto concreto, l’immediata rimozione della telecamera esterna e la correzione delle informative, nonché l’assenza di precedenti violazioni pertinenti. In ragione di ciò, il Garante ha ritenuto sufficiente un ammonimento.

Provvedimento finale e impugnazione

L’Autorità ha quindi ammonito l’impresa individuale titolare del trattamento per non aver apposto idonei cartelli informativi e per l’idoneità delle telecamere a riprendere parte della strada pubblica, ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice. È stato inoltre ricordato che avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice e 10 del d.lgs. 150/2011.