Provvedimenti n. 136 del 13/03/2025

Morganti s.n.c. - videosorveglianza esterna illecita presso struttura alberghiera

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento svolto da Morganti s.n.c. di Morganti Andrea & C. mediante un sistema di videosorveglianza installato presso la sede della società e dell'Hotel dei Galli a Senigallia. Il procedimento è stato avviato a seguito di un reclamo ed è stato supportato da accertamenti della Guardia di finanza, che hanno confermato la presenza di telecamere esterne idonee a riprendere anche aree di pertinenza di terzi.

Origine del procedimento e accertamenti

Il reclamo, pervenuto il 24 ottobre 2023, segnalava che le telecamere collocate all'esterno della struttura riprendevano non solo aree aziendali, ma anche spazi comuni e porzioni di proprietà di soggetti terzi, oltre a evidenziare carenze informative nei cartelli esposti. Su richiesta dell'Ufficio, la Guardia di finanza di Roma - Nucleo speciale tutela privacy e frodi tecnologiche ha trasmesso il verbale del controllo del 23 aprile 2024, dal quale risultava la presenza di due telecamere funzionanti: una posta su un palo nell'area di parcheggio a ripresa dell'accesso antistante la sbarra di ingresso e una sul muro dell'hotel a ripresa del parcheggio.

Il verbale riportava anche la presenza di cartelli informativi esterni e interni, con indicazione del titolare del trattamento, del referente, dei contatti, della finalità di tutela del patrimonio aziendale, del tempo di conservazione delle immagini pari a 24 ore con sovrascrittura automatica e dei diritti dell'interessato ex art. 15 GDPR. Tuttavia, veniva rilevato che la telecamera oggetto di reclamo riprendeva parzialmente la porta d'ingresso dei reclamanti e che le immagini consentivano una sommaria definizione dei soggetti ripresi, anche mediante zoom.

Difese presentate dalla società

Con memoria del 26 settembre 2024 la società ha contestato la ricostruzione del reclamo, sostenendo che l'area ripresa fosse soggetta a servitù perpetua di passaggio e che la telecamera registrasse solo in caso di movimento per il tempo minimo consentito dal sistema, pari a 8 secondi. Ha inoltre affermato che l'inquadratura non avrebbe consentito l'identificazione dei soggetti e che erano stati adottati i migliori accorgimenti possibili per controllare l'accesso all'hotel senza riprendere spazi privati.

La società ha anche rappresentato di aver già rimosso le due vecchie telecamere e installato un nuovo sistema di videosorveglianza con due telecamere posizionate in punti diversi e totalmente interni alla proprietà, dotato di tecnologia di crop per oscurare automaticamente aree esterne non rilevanti.

Quadro normativo richiamato

Il Garante ha ricordato che l'utilizzo di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell'art. 4, par. 1, n. 2, GDPR e deve rispettare i principi generali di cui all'art. 5 GDPR. In particolare, ha richiamato il provvedimento generale in materia di videosorveglianza dell'8 aprile 2010, punto 6.2.2.1, secondo cui le riprese di aree esterne devono limitare l'angolo visuale all'area effettivamente da proteggere, evitando la ripresa di luoghi circostanti e di elementi non rilevanti.

Sono state inoltre richiamate le Linee guida n. 3/2019, che affermano che la necessità di usare la videosorveglianza per proteggere i locali del titolare, in linea generale, si arresta ai confini della proprietà, salvo casi in cui sia necessario estendere le riprese nelle immediate vicinanze; in tali casi il titolare dovrebbe considerare misure tecniche come il blocco o la pixelatura delle aree non pertinenti.

Valutazioni del Garante

Sulla base del verbale di accertamento, l'Autorità ha ritenuto che l'impianto fosse attivo e funzionante e che le telecamere riprendessero anche aree di pertinenza di soggetti terzi, in particolare la porta d'ingresso dei reclamanti. Tale circostanza è stata considerata incompatibile con i principi di cui all'art. 5, par. 1, lett. a), GDPR, in quanto il trattamento non rispettava le prescrizioni specifiche in materia di videosorveglianza richiamate dall'Autorità.

Il Garante ha inoltre ritenuto che il trattamento fosse privo di una idonea base giuridica ai sensi dell'art. 6 GDPR. La successiva modifica dell'impianto, pur rappresentata dalla società, non ha inciso sull'accertamento dell'illiceità del trattamento già effettuato.

Decisione

Il Garante ha quindi dichiarato, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR, l'illiceità del trattamento effettuato da Morganti s.n.c. mediante il sistema di videosorveglianza installato presso la sede della società e dell'hotel gestito, sito in Senigallia, per violazione degli artt. 5, par. 1, lett. a), e 6 GDPR.

Nel dispositivo è stata inoltre disposta, ai sensi dell'art. 17 del regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u), GDPR. Il provvedimento reca infine l'indicazione dei rimedi giurisdizionali esperibili ai sensi dell'art. 78 GDPR, degli artt. 152 Codice privacy e 10 del d.lgs. 1° settembre 2011, n. 150.