Ordinanza ingiunzione o revoca n. 21 del 01/12/2022

Ordinanza ingiunzione per videosorveglianza senza informativa

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti della ditta individuale Caradonna Consuelo Giuseppe, titolare della "Gioielleria Caradonna", in relazione all’utilizzo di un impianto di videosorveglianza privo dell’informativa agli interessati. Il procedimento origina da un controllo della Questura di Roma e si conclude con la dichiarazione di illiceità del trattamento, l’irrogazione di una sanzione amministrativa pecuniaria e l’ordine di adeguare la segnaletica informativa.

Fatti e origine del procedimento

La Questura di Roma, con verbale del 20 aprile 2021 trasmesso all’Autorità il 4 maggio 2021, ha accertato presso l’esercizio commerciale la presenza di un sistema di videosorveglianza attivo e funzionante, composto da tre telecamere interne e due esterne. Il titolare del trattamento è stato individuato nella impresa individuale Caradonna Consuelo Giuseppe. In sede di controllo è stata rilevata l’assenza dell’informativa di cui all’art. 13 GDPR. Con nota del 10 settembre 2021 il Garante ha avviato il procedimento ai sensi dell’art. 166, comma 5, Codice privacy, contestando la violazione degli artt. 13 e 5, par. 1, lett. a), GDPR. L’impresa non ha presentato osservazioni o difese.

Inquadramento giuridico della videosorveglianza

L’Autorità ribadisce che l’uso di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. Tale trattamento deve rispettare i principi dell’art. 5 GDPR, in particolare il principio di trasparenza, che impone che gli interessati siano informati prima di accedere a una zona videosorvegliata.

A tale fine il Garante richiama:

• il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, con particolare riferimento al punto 3.1;
• le FAQ dell’Autorità sulla videosorveglianza;
• le Linee guida EDPB n. 3/2019, che prevedono un sistema informativo su due livelli, con le informazioni essenziali sul segnale di avvertimento e gli ulteriori dettagli mediante altri mezzi.

Le informazioni devono essere collocate in modo visibile, intelligibile e chiaramente leggibile, prima dell’accesso all’area sorvegliata, per consentire agli interessati di comprendere la portata della sorveglianza e adeguare il proprio comportamento.

Violazione accertata

Dall’istruttoria è emerso che l’impianto installato presso la gioielleria era operativo ma privo dei cartelli informativi richiesti. Il Garante qualifica questa condotta come violazione:

• dell’art. 13 GDPR, per mancata informativa agli interessati;
• dell’art. 5, par. 1, lett. a), GDPR, per violazione del principio di trasparenza.

L’assenza di collaborazione del destinatario nel corso del procedimento ha impedito di verificare l’eventuale successivo adempimento degli obblighi di legge.

Potere sanzionatorio e determinazione della sanzione

L’Autorità esercita il potere di cui all’art. 58, par. 2, lett. i), GDPR e all’art. 166 Codice privacy, adottando una ordinanza ingiunzione ai sensi dell’art. 18 della legge n. 689/1981. La violazione è sanzionata ai sensi dell’art. 83, par. 5, GDPR.

La sanzione amministrativa pecuniaria è quantificata in euro 2.000,00. Nel determinarla il Garante considera, ai sensi dell’art. 83, par. 2, GDPR:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare per l’omesso adempimento dell’obbligo informativo;
• l’assenza di precedenti specifici in materia di protezione dei dati personali;
• la mancata partecipazione e cooperazione con l’Autorità.

È richiamato anche il principio di cui all’art. 83, par. 1, GDPR, secondo cui la sanzione deve essere effettiva, proporzionata e dissuasiva.

Dispositivo, prescrizioni e termini

Il Garante:

• dichiara l’illiceità del trattamento effettuato tramite il sistema di videosorveglianza presso la "Gioielleria Caradonna" per violazione degli artt. 5, par. 1, lett. a), e 13 GDPR;
• ordina alla ditta individuale di pagare euro 2.000,00 a titolo di sanzione amministrativa pecuniaria;
• ingiunge di conformare il trattamento al GDPR, in particolare mediante l’apposizione di idonei cartelli informativi della presenza delle telecamere, se non già installati;
• dispone la pubblicazione del provvedimento sul sito internet del Garante ai sensi dell’art. 166, comma 7, Codice privacy e dell’art. 16, comma 1, del regolamento n. 1/2019.

È inoltre richiesto di comunicare le iniziative adottate e di fornire riscontro documentato entro 30 giorni dalla notifica, ai sensi dell’art. 157 Codice privacy. Il mancato riscontro può comportare l’applicazione della sanzione di cui all’art. 83, par. 5, lett. e), GDPR. È altresì richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine per proporre ricorso.