Ordinanza ingiunzione o revoca n. 835 del 19/12/2024

Centro Medico Green Life srl: videosorveglianza illecita senza informative e senza autorizzazione per il controllo dei lavoratori

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato dal Centro Medico Green Life srl mediante un impianto di videosorveglianza installato presso il poliambulatorio. Il procedimento trae origine da una segnalazione dei N.A.S. di Treviso e dall’accertamento del 16 gennaio 2024, nel corso del quale è stata rilevata la presenza di telecamere funzionanti, in assenza di cartelli informativi e senza preventiva autorizzazione dell’Ispettorato del lavoro o accordo sindacale.

Origine della segnalazione e attività istruttoria

Con nota del 18 gennaio 2024 il Comando dei Carabinieri per la tutela della Salute - N.A.S. di Treviso segnalava all’Autorità la presenza di un impianto di videosorveglianza non conforme alla normativa privacy. Dal verbale di controllo emergeva che presso la struttura erano installate quattro telecamere esterne e una interna. L’impianto risultava attivo al momento dell’ispezione, ma non segnalato da idonea informativa e non preceduto da autorizzazione dell’Ispettorato del lavoro, a fronte della presenza di un lavoratore dipendente.

Con nota del 23 aprile 2024 l’Ufficio avviava il procedimento contestando la violazione degli artt. 5, par. 1, lett. a) e 13 GDPR. La società, nelle memorie del 23 maggio 2024, rappresentava che il sistema era stato attivato da poche settimane, che la telecamera interna era stata rimossa e che l’intero impianto era stato spento; dichiarava inoltre di aver richiesto l’autorizzazione all’Ispettorato del lavoro il 29 aprile 2024 e di aver apposto i cartelli informativi, precisando che le telecamere non sarebbero state funzionanti fino al rilascio dell’autorizzazione.

Trattamento esaminato e norme richiamate

Il Garante ha qualificato l’uso dell’impianto di videosorveglianza come trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. Ha quindi ribadito che tale trattamento deve rispettare i principi generali di cui all’art. 5 GDPR, in particolare il principio di liceità e trasparenza.

Per quanto riguarda l’informativa, l’Autorità ha richiamato l’art. 13 GDPR e ha evidenziato che gli interessati devono essere informati della presenza della videosorveglianza prima di accedere all’area sorvegliata, mediante cartelli idonei conformi al provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e alle Linee guida EDPB n. 3/2019.

Sul versante lavoristico, il Garante ha richiamato l’art. 88 GDPR e l’art. 114 del Codice privacy, che rinviano alle norme nazionali di maggiore tutela in materia di controllo a distanza dei lavoratori. In particolare, ha fatto riferimento all’art. 4 della legge n. 300/1970, secondo cui l’installazione di impianti dai quali derivi la possibilità di controllo a distanza dell’attività dei dipendenti richiede l’accordo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro.

Valutazioni del Garante sull’illiceità del trattamento

L’Autorità ha ritenuto provato che, al momento del controllo, l’impianto fosse funzionante e privo delle informative necessarie, in violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR. Ha inoltre considerato illecito il trattamento anche per la mancanza della procedura di garanzia prevista dall’art. 4 della legge n. 300/1970, essendo la condizione dell’accordo sindacale o dell’autorizzazione amministrativa indefettibile per l’installazione di sistemi idonei a controllare i lavoratori.

Le memorie difensive e la documentazione prodotta non sono state ritenute idonee a superare i rilievi contestati né a giustificare l’archiviazione del procedimento. Il Garante ha quindi dichiarato l’illiceità del trattamento effettuato dalla società attraverso il sistema di videosorveglianza.

Sanzione amministrativa e criteri di quantificazione

Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR. Nella determinazione dell’importo ha richiamato i criteri dell’art. 83, par. 2, GDPR e i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1.

Sono stati considerati:

• la natura della violazione, concernente i principi generali del trattamento, in particolare liceità e trasparenza;
• la condotta della società, che si è conformata alla disciplina solo dopo l’accertamento dei Carabinieri e l’intervento dell’Autorità;
• la cooperazione con l’Autorità e l’assenza di precedenti specifici;
• le condizioni economiche del contravventore, valutate sulla base del bilancio 2023.

All’esito di tali valutazioni, il Garante ha determinato la sanzione in euro 5.000,00.

Dispositivo, pubblicazione e rimedi

Il provvedimento dichiara l’illiceità del trattamento effettuato dal Centro Medico Green Life srl e ordina il pagamento della sanzione di euro 5.000,00 entro 30 giorni dalla notifica, con avvertenza che, in caso di mancato pagamento, si procederà agli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981.

L’Autorità ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito istituzionale;
• l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal regolamento n. 1/2019.

È stata infine ricordata la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini previsti dalla legge e la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni se il ricorrente risiede all’estero.