Ordinanza ingiunzione o revoca n. 201 del 10/04/2025

Unione Montana Appennino Parma Est: videosorveglianza nel Comando di Polizia locale, informativa e VIPD

Il Garante ha esaminato il trattamento di dati personali effettuato dall’Unione Montana Appennino Parma Est mediante una telecamera installata presso la sede della Polizia locale. Il procedimento è nato da un reclamo di un dipendente che lamentava l’assenza di adeguata informativa, la mancata valutazione d’impatto e l’illegittimo uso della videosorveglianza in un contesto lavorativo.

Origine del reclamo e oggetto delle contestazioni

Il reclamante ha segnalato che l’entrata pedonale del Comando era videosorvegliata h24 con registrazione e conservazione delle immagini. Ha contestato:

• l’assenza di cartello informativo di primo livello;
• la mancata informativa completa di secondo livello;
• l’assenza di una VIPD preventiva ex art. 35 GDPR;
• la possibile violazione dell’art. 4 della l. 20 maggio 1970, n. 300, poiché la telecamera poteva riprendere i lavoratori;
• una conservazione delle immagini oltre le 24 ore in relazione a un accesso al Comando del reclamante con il figlio minore.

Istruttoria e difese dell’Unione

In risposta alle richieste dell’Autorità, l’Unione ha dichiarato che la telecamera era stata installata nel febbraio 2016 e che la finalità era la tutela degli immobili nell’ambito della sicurezza urbana integrata, con base giuridica individuata nell’art. 6, par. 1, lett. e), GDPR. Ha sostenuto che il dispositivo riprendesse solo l’area di accesso agli uffici e parte del parcheggio, senza attività dei lavoratori, escludendo l’applicazione dell’art. 4 dello Statuto dei lavoratori.

L’ente ha inoltre riferito:

• un termine massimo di conservazione di 7 giorni;
• l’apposizione del cartello di primo livello nel mese di settembre dell’anno indicato in atti;
• la disponibilità dell’informativa estesa sul sito istituzionale;
• la redazione di una VIPD.

Successivamente ha anche affermato di aver concluso un accordo con le organizzazioni sindacali ai sensi dell’art. 4 della legge n. 300/1970 e di aver aggiornato le informative.

Qualificazione giuridica del trattamento e rapporto con l’art. 4 Statuto lavoratori

Il Garante ha ritenuto non pertinente il richiamo alla sicurezza urbana integrata. La telecamera, infatti, riprendeva soltanto un ingresso esterno alla sede e parte del parcheggio, senza assolvere alla funzione di prevenzione e contrasto della criminalità diffusa e predatoria tipica della disciplina sulla sicurezza urbana.

La finalità effettiva del trattamento è stata individuata nella tutela del patrimonio dell’amministrazione, che rientra nell’art. 4, comma 1, della l. n. 300/1970. Tale norma si applica anche ai luoghi di lavoro pubblici e richiede, per l’installazione di impianti audiovisivi che possano comportare controllo a distanza dei lavoratori, un accordo sindacale o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro.

Poiché la telecamera era in funzione fin dal 2016 senza tali garanzie, il trattamento è stato ritenuto illecito. Il Garante ha quindi ravvisato la violazione degli artt. 5, par. 1, lett. a), 6 e 88, par. 1, GDPR, nonché dell’art. 114 del Codice privacy, in relazione all’art. 4, comma 1, dello Statuto dei lavoratori.

Trasparenza: informativa di primo e secondo livello

L’Autorità ha accertato che per un lungo periodo, dal febbraio 2016 fino al mese di settembre dell’anno indicato in atti, non era presente alcun cartello di primo livello. Anche dopo la sua apposizione, il contenuto è stato giudicato non conforme perché richiamava finalità di sicurezza pubblica, sicurezza urbana, polizia giudiziaria e polizia amministrativa, non coerenti con il trattamento effettivamente svolto.

È stata inoltre ritenuta insufficiente l’informativa di secondo livello disponibile sul sito, poiché generica e riferita ai trattamenti istituzionali dell’ente, senza una specifica descrizione della videosorveglianza presso il Comando e delle sue reali finalità di sicurezza sul lavoro e tutela del patrimonio. Il Garante ha quindi contestato la violazione degli artt. 5, par. 1, lett. a), 12 e 13 GDPR.

Valutazione d’impatto sulla protezione dei dati

La VIPD prodotta in atti riguardava un perimetro diverso: videosorveglianza del territorio, lettura targhe, fototrappole, bodycam e dashcam. Non prendeva invece in esame il trattamento effettuato tramite la telecamera installata presso il Comando, benché tale trattamento coinvolgesse lavoratori e, potenzialmente, altri soggetti che accedono ai locali.

Il Garante ha ricordato che i trattamenti di videosorveglianza nel contesto lavorativo possono presentare rischi elevati, anche per la particolare vulnerabilità dei dipendenti e per il possibile monitoraggio sistematico dell’attività. Ne è derivata la violazione dell’art. 35 GDPR per mancata valutazione d’impatto specifica.

Contestazioni relative al procedimento disciplinare

Le contestazioni sull’uso delle immagini in un procedimento disciplinare sono state ritenute superate. L’Unione ha dichiarato che le immagini della telecamera non erano state utilizzate per dimostrare gli addebiti e che la presenza del minore era stata solo ipotizzata sulla base di una segnalazione di terzi.

Dagli atti è emerso che l’accertamento dell’orario di ingresso era stato effettuato tramite report del sistema di allarme, non tramite le immagini video. Su questo punto, quindi, il Garante non ha mantenuto la contestazione originaria.

Valutazioni finali, sanzione e criteri di quantificazione

Il Garante ha ritenuto che le dichiarazioni dell’ente non fossero sufficienti a giustificare l’archiviazione e ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, 12, 13, 35 e 88, par. 1, GDPR, nonché dell’art. 114 del Codice privacy in relazione all’art. 4, comma 1, della l. n. 300/1970.

Ai fini della sanzione, l’Autorità ha applicato l’art. 83, par. 3, GDPR, richiamando come violazione più grave quelle soggette al regime dell’art. 83, par. 5, GDPR. Ha considerato:

• la durata del trattamento dal 2016;
• l’ampio numero di interessati coinvolti;
• la natura colposa della violazione;
• l’assenza di dati particolari ex art. 9 GDPR;
• l’elevato livello di gravità;
• l’assenza di precedenti specifici;
• la buona cooperazione dell’Unione.

La sanzione amministrativa pecuniaria è stata fissata in euro 8.000.

Misure correttive e adempimenti

Oltre alla sanzione, il Garante ha ordinato all’Unione di modificare l’informativa di primo livello, eliminando i riferimenti alle finalità di “sicurezza pubblica – sicurezza urbana – polizia giudiziaria – polizia amministrativa” e sostituendoli con le finalità di sicurezza sul lavoro e tutela del patrimonio, come indicate nell’accordo sindacale poi concluso.

L’ente deve comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare esecuzione all’ingiunzione. Il provvedimento dispone anche la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione nel registro interno. È prevista la possibilità di definire la controversia pagando entro 30 giorni la metà della sanzione, nonché l’impugnazione davanti all’autorità giudiziaria ordinaria nei termini di legge.