Ordinanza ingiunzione o revoca n. 178 del 21/03/2024

Imperatori Immobiliari s.r.l. - videosorveglianza senza informativa all’Hotel Imperatori

Il provvedimento riguarda la società Imperatori Immobiliari s.r.l., titolare della struttura ricettiva "Hotel Imperatori" di Roma, sanzionata per un trattamento di dati personali effettuato tramite impianto di videosorveglianza privo della prescritta informativa agli interessati. Il procedimento origina da un controllo della Questura di Roma, successivamente trasmesso alla Guardia di finanza e quindi all’Autorità garante.

Origine del procedimento e svolgimento istruttorio

Dal verbale del controllo del 10 dicembre 2022 è emerso che presso la struttura era presente un sistema di videosorveglianza funzionante, installato sia all’interno sia all’esterno dell’hotel, senza adeguati cartelli informativi. Con nota del 25 maggio 2023 il Garante ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

La società, con scritti difensivi del 27 giugno 2023, ha rappresentato che i cartelli erano stati temporaneamente rimossi per lavori di ristrutturazione e che il loro riposizionamento era stato ritardato da problemi logistici legati anche ad alcuni punti luce della reception. Ha inoltre documentato di avere provveduto subito dopo il controllo alla nuova affissione dei cartelli nei locali della reception, nei corridoi e all’ingresso.

Quadro normativo richiamato

Il Garante richiama il fatto che l’uso di sistemi di videosorveglianza può integrare un trattamento di dati personali, che deve rispettare i principi generali del GDPR, in particolare il principio di trasparenza di cui all’art. 5, par. 1, lett. a). In tale prospettiva, gli interessati devono essere informati prima di entrare in una zona videosorvegliata.

A tal fine viene ricordato che il titolare deve apporre cartelli informativi conformi alle indicazioni del provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e alle Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati, che prescrivono un’informazione di primo livello ben visibile, intelligibile e leggibile, collocata in posizione tale da consentire all’interessato di riconoscere facilmente la sorveglianza e valutare se entrare nell’area monitorata.

Valutazione dell’Autorità sull’illiceità del trattamento

All’esito dell’istruttoria, l’Autorità ha ritenuto accertato che l’impianto di videosorveglianza fosse attivo e funzionante e che non fosse presente alcun cartello contenente l’informativa ex art. 13 GDPR. Ne consegue che il trattamento è stato giudicato illecito perché effettuato in assenza della dovuta trasparenza verso gli interessati.

Secondo il Garante, la condotta contrasta con l’obbligo per il titolare di fornire tutte le informazioni relative alle caratteristiche essenziali del trattamento. La violazione non è stata considerata di minore entità, tenuto conto della natura, gravità e durata della stessa, nonché del grado di responsabilità e delle modalità con cui l’Autorità è venuta a conoscenza dei fatti.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 58, par. 2, lett. i), GDPR e l’art. 166 del Codice, irrogando una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR. Nella quantificazione sono stati considerati, ai sensi dell’art. 83, par. 2:

• la natura, gravità e durata della violazione, con riferimento all’inadempimento dell’obbligo di informativa;
• l’assenza di precedenti specifici a carico del titolare;
• la circostanza che la società abbia presentato difese e documentato l’avvenuta apposizione dei cartelli dopo il controllo;
• le condizioni economiche del contravventore, desunte dal bilancio 2022.

Sulla base di tali elementi, la sanzione è stata determinata in euro 4.000.

Dispositivo finale

Il Garante:

• dichiara l’illiceità del trattamento effettuato dalla società mediante il sistema di videosorveglianza installato presso l’Hotel Imperatori;
• ordina alla società di pagare la sanzione amministrativa pecuniaria di euro 4.000;
• ingiunge il pagamento entro 30 giorni dalla notifica del provvedimento, con avvertenza sugli effetti esecutivi in caso di mancato pagamento;
• richiama la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice;
• dispone la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e del regolamento n. 1/2019.

Impugnazioni

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.