Ordinanza ingiunzione o revoca n. 244 del 24/04/2024

Dly S.r.l. - videosorveglianza idonea al controllo dei lavoratori senza le garanzie di legge

Il Garante ha esaminato il trattamento di dati personali effettuato da Dly S.r.l. presso l’esercizio commerciale "DLY", nel Centro commerciale Tiburtino, in relazione a un impianto di videosorveglianza con 6 telecamere idonee a riprendere anche i dipendenti. Il procedimento origina da una segnalazione della Polizia locale e dagli accertamenti svolti dalla Guardia di finanza.

Origine del procedimento e accertamenti svolti

La segnalazione del 5 aprile 2023 ha indotto l’Autorità ad approfondire il funzionamento dell’impianto. Il verbale della Guardia di finanza del 5 luglio 2023 ha accertato che le telecamere erano regolarmente funzionanti, non brandeggiabili, a focale fissa, attive 24 ore su 24 e in grado di consentire la chiara identificazione dei soggetti ripresi. Le immagini erano accessibili sia da DVR sia da remoto tramite applicativo installato sullo smartphone privato della titolare e su quello del marito.

Trattamento esaminato e contesto lavorativo

Il sistema di videosorveglianza riprendeva non solo clienti e accessi al locale, ma anche il personale dipendente durante l’attività lavorativa. Per questa ragione, il trattamento ricadeva anche nell’ambito della disciplina speciale in materia di controlli a distanza dei lavoratori, oltre che nelle regole generali del GDPR e del Codice privacy.

Quadro normativo richiamato

Il Garante ha richiamato:

• l’art. 5, par. 1, lett. a) GDPR, sul principio di liceità;
• l’art. 88 GDPR, che consente norme nazionali più specifiche in materia di lavoro;
• l’art. 114 del Codice privacy, che rinvia all’art. 4 della legge n. 300/1970;
• l’art. 4 dello Statuto dei lavoratori, che consente impianti dai quali derivi anche la possibilità di controllo a distanza dei lavoratori solo per esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale, previa procedura di garanzia;
• l’art. 171 del Codice, quanto al rilievo penale della violazione.

Violazione accertata

È stato accertato che l’impianto era stato installato e utilizzato senza accordo con le rappresentanze sindacali e senza autorizzazione dell’Ispettorato del lavoro per il nuovo punto vendita. La società ha invocato una precedente autorizzazione del 2019, ma il Garante ha rilevato che si trattava di un titolo riferito a un diverso esercizio commerciale, con diverso contesto e diversa configurazione delle telecamere. Inoltre, le condizioni tecniche prescritte in quell’autorizzazione non risultavano rispettate, in particolare per la possibilità di visualizzare le immagini da smartphone.

Valutazioni sulla liceità del trattamento

Secondo l’Autorità, la presenza delle telecamere nel locale in cui operava personale dipendente rendeva necessario il rispetto delle misure di garanzia previste dall’art. 4 della legge n. 300/1970. In mancanza di tali presupposti, il trattamento è stato ritenuto illecito ai sensi dell’art. 5, par. 1, lett. a) GDPR, dell’art. 88 GDPR e dell’art. 114 del Codice. Il Garante ha escluso che la violazione potesse essere considerata minore, tenuto conto della natura, gravità e durata della condotta, nonché dell’assenza di riscontro sulla cessazione dell’illecito.

Condotta successiva e collaborazione della società

Dopo la contestazione, la società ha trasmesso copia della richiesta di autorizzazione inviata all’Ispettorato territoriale del lavoro il 15 gennaio 2024 e ha aggiornato i cartelli informativi secondo il modello delle Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati sui dispositivi video. Tuttavia, non ha fornito evidenza dell’esito della richiesta né della sospensione del trattamento nelle more del procedimento autorizzatorio.

Sanzione amministrativa e criteri di quantificazione

Ai fini della quantificazione della sanzione, il Garante ha considerato i criteri dell’art. 83, par. 2 GDPR, valorizzando:

• la natura e gravità della violazione, incidente sui principi di base del trattamento e sulla disciplina speciale del lavoro;
• l’assenza di precedenti specifici;
• la parziale collaborazione prestata;
• la durata della violazione e la mancata comunicazione circa la cessazione del trattamento;
• le condizioni economiche del contravventore, desunte dalla dichiarazione dei redditi 2022.

La sanzione è stata determinata in euro 5.000,00.

Provvedimenti correttivi e prescrizioni

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato tramite l’impianto di videosorveglianza;
• disposto, ai sensi dell’art. 58, par. 2, lett. f) GDPR, il divieto del trattamento fino all’adeguamento alla normativa applicabile e all’attivazione delle misure di garanzia previste dall’art. 4 L. 300/1970;
• ordinato il pagamento della sanzione di euro 5.000,00 ai sensi dell’art. 58, par. 2, lett. i) GDPR;
• stabilito il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• richiesto la comunicazione, entro 30 giorni, delle iniziative adottate per dare attuazione al provvedimento e un riscontro documentato ai sensi dell’art. 157 del Codice;
• disposto la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e del regolamento n. 1/2019.

Tutela giurisdizionale

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.