Ordinanza ingiunzione o revoca n. 584 del 07/12/2023

Impresa individuale Mushtaq Rubina: videosorveglianza senza informativa

Il Garante per la protezione dei dati personali ha adottato un provvedimento sanzionatorio nei confronti dell’impresa individuale Mushtaq Rubina, con sede in Ancona, per l’uso di un sistema di videosorveglianza presso l’esercizio commerciale "Mushtaq Rubina Kebabish" senza idonea informativa agli interessati. Il procedimento trae origine da un controllo della Polizia Locale del Comune di Ancona, che ha accertato la presenza delle telecamere e l’assenza dei cartelli previsti.

Origine della segnalazione e avvio del procedimento

La Polizia Locale, con nota del 28 giugno 2022, ha trasmesso al Garante il verbale del controllo effettuato il 10 giugno 2022. L’Ufficio ha quindi avviato il procedimento sanzionatorio con nota del 25 ottobre 2022, contestando la possibile violazione degli artt. 5, par. 1, lett. a), e 13 del Regolamento (UE) 2016/679.

Quadro normativo richiamato

Il provvedimento richiama il principio di trasparenza e l’obbligo di informativa previsti dal GDPR, evidenziando che chi utilizza un impianto di videosorveglianza deve informare preventivamente gli interessati mediante cartelli idonei e visibili. Sono richiamati:

• il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010;
• le FAQ dell’Autorità sulla videosorveglianza;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali tramite dispositivi video.

Il Garante ribadisce che le informazioni essenziali devono essere rese in modo ben visibile e leggibile prima dell’accesso alla zona sorvegliata, affinché l’interessato possa comprendere tempestivamente l’esistenza della ripresa.

Accertamento dell’illecito

Dall’istruttoria è emerso che l’impianto di videosorveglianza era attivo e funzionante, ma non risultava apposto alcun cartello informativo conforme all’art. 13 GDPR. Il trattamento è stato quindi qualificato come illecito per violazione:

• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo del principio di trasparenza;
• dell’art. 13 GDPR, per omessa informativa agli interessati.

Il Garante osserva che l’inosservanza dell’obbligo informativo impedisce agli interessati di conoscere le caratteristiche essenziali del trattamento prima di essere ripresi.

Valutazione della gravità e quantificazione della sanzione

La violazione non è stata considerata minore, in ragione della natura, della gravità e della durata dell’inadempimento, nonché del grado di responsabilità del titolare e delle modalità con cui la violazione è emersa. Ai fini della quantificazione della sanzione ex art. 83 GDPR, l’Autorità ha valutato anche:

• l’assenza di precedenti specifici a carico dell’impresa;
• la mancata cooperazione nel corso del procedimento;
• il mancato riscontro circa l’adempimento dell’obbligo di legge;
• le condizioni economiche del contravventore, desunte dal bilancio di esercizio 2022.

Tenuto conto di tali elementi, la sanzione amministrativa pecuniaria è stata determinata in euro 2.000,00.

Provvedimenti conseguenti e adempimenti richiesti

Il Garante, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR e dell’art. 166 del Codice, ha dichiarato l’illiceità del trattamento e ha ordinato il pagamento della sanzione entro 30 giorni dalla notifica, con avvertenza circa gli atti esecutivi in caso di mancato pagamento.

È stata inoltre disposta:

• la pubblicazione del provvedimento sul sito istituzionale del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019;
• la comunicazione, entro 30 giorni, delle iniziative intraprese per dare attuazione al provvedimento e fornire riscontro documentato ai sensi dell’art. 157 del Codice.

Viene richiamata anche la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine per proporre ricorso.

Tutela giurisdizionale

Contro il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.