Ordinanza ingiunzione o revoca n. 138 del 07/03/2024

Hotel Milano di Foschi Eros e Righini Rina & C. Snc: videosorveglianza che riprendeva aree di terzi

Il Garante ha definito un procedimento sanzionatorio nei confronti della società che gestisce l’Hotel Milano di Bellaria-Igea Marina, per un impianto di videosorveglianza installato presso la sede dell’esercizio. L’istruttoria è nata da una segnalazione e da un controllo della Guardia di finanza, che ha evidenziato riprese anche di aree di proprietà di terzi e della strada pubblica.

Origine della segnalazione e accertamenti ispettivi

Nel giugno 2022 è pervenuta una segnalazione circa la non conforme installazione dell’impianto di videosorveglianza presso l’Hotel Milano. La segnalazione lamentava, da un lato, l’assenza di idonei cartelli informativi e, dall’altro, la ripresa di aree pertinenti all’Hotel Foschi, struttura antistante.

Su richiesta dell’Ufficio, la Guardia di finanza ha trasmesso il verbale del controllo svolto il 19 gennaio 2023. Dal sopralluogo è emersa la presenza di un sistema composto da 20 telecamere funzionanti. I rilievi fotografici hanno mostrato che alcune telecamere riprendevano anche l’ingresso dell’Hotel Foschi, con possibilità di filmare clienti in entrata e in uscita, nonché la strada pubblica.

Esiti delle verifiche e interventi successivi della società

Nel corso dell’accertamento, il legale rappresentante della società ha dichiarato che solo alcune telecamere potevano interessare zone non di pertinenza dell’Hotel Milano e ha manifestato l’intenzione di riposizionarle o oscurare le aree non pertinenti.

In relazione alla cartellonistica, è stato riferito che erano presenti due cartelli informativi e che si sarebbe provveduto a collocarne altri, poiché i precedenti risultavano perduti. Successivamente, la società ha trasmesso documentazione attestante sia l’oscuramento delle aree non di esclusiva proprietà, sia l’apposizione di nuovi cartelli informativi.

Avvio del procedimento e difese presentate

Sulla base degli elementi acquisiti, l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1, lett. c), e 6 GDPR.

La società, negli scritti difensivi, ha sostenuto che:

• il trattamento sarebbe stato circoscritto a un breve periodo, dalla installazione successiva al provvedimento autorizzativo del 9 dicembre 2022 fino all’oscuramento del 1° febbraio 2023;
• le immagini sarebbero state conservate per 24 ore con cancellazione automatica;
• la segnaletica informativa era presente ed era stata poi ulteriormente implementata;
• il sistema di conservazione era collocato in un locale tecnico accessibile solo ai soci;
• l’accesso avveniva con credenziali attribuite esclusivamente ai soci quali amministratori;
• la società aveva collaborato con l’Autorità e aveva già fornito documentazione integrativa sull’oscuramento delle telecamere non pertinenti.

Quadro normativo richiamato

Il Garante ha ricordato che l’uso di sistemi di videosorveglianza può integrare un trattamento di dati personali e che tale trattamento deve rispettare i principi di cui all’art. 5 GDPR, in particolare liceità e minimizzazione.

Sono state richiamate anche:

• il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, secondo cui le riprese di aree esterne devono limitare l’angolo visuale all’area effettivamente da proteggere, evitando luoghi circostanti e particolari non rilevanti;
• le Linee guida n. 3/2019, che indicano come generalmente la protezione dei locali del titolare finisca ai confini della proprietà, salvo casi particolari in cui può essere necessario estendere la videosorveglianza nelle immediate vicinanze, adottando comunque misure tecniche come il blocco o la pixelatura delle aree non rilevanti.

Valutazione dell’illiceità del trattamento

All’esito dell’istruttoria, l’Autorità ha ritenuto provato che l’impianto fosse idoneo a riprendere la strada pubblica e aree di proprietà di terzi, in particolare l’area di accesso dell’Hotel Foschi.

Il trattamento è stato quindi qualificato come illecito per violazione:

• dell’art. 5, par. 1, lett. c), GDPR, per difetto di minimizzazione;
• dell’art. 6 GDPR, per carenza di una base di liceità nei limiti in cui il trattamento eccedeva quanto necessario.

Il Garante ha escluso che la violazione potesse essere considerata minore, tenendo conto della natura, della gravità e della durata del trattamento, del grado di responsabilità del titolare e delle modalità con cui la violazione è emersa.

Sanzione amministrativa e criteri di quantificazione

Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha applicato una sanzione amministrativa pecuniaria, richiamando i criteri di cui all’art. 83, par. 1 e 2, GDPR.

Nella quantificazione sono stati considerati:

• la natura, gravità e durata della violazione;
• la condotta del titolare e la sua responsabilità connessa alla ripresa di aree pubbliche e di terzi;
• l’assenza di precedenti specifici;
• la cooperazione con l’Autorità e l’intervenuta modifica dell’angolo di ripresa;
• le condizioni economiche del contravventore, valutate sulla base della dichiarazione dei redditi 2023.

L’importo è stato determinato in euro 3.000,00.

Dispositivo, pagamento e rimedi

Il Garante ha dichiarato l’illiceità del trattamento effettuato dalla società tramite il sistema di videosorveglianza installato presso la sede e ha ordinato il pagamento della sanzione di euro 3.000,00 entro 30 giorni dalla notifica, con le modalità indicate in allegato.

È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento di un importo pari alla metà della sanzione entro il termine previsto per la proposizione del ricorso.

Pubblicazione e tutela giurisdizionale

È stata disposta la pubblicazione del provvedimento sul sito internet del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

Contro il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, oppure entro 60 giorni se il ricorrente risiede all’estero.