Prescrizioni del Garante n. 27 del 26/01/2023

Agema s.r.l. – mancato riscontro a istanza di accesso e cancellazione relativa a videosorveglianza

Il provvedimento trae origine da un reclamo presentato contro Agema s.r.l. in relazione a un sistema di videosorveglianza installato presso la sede della società. L’interessato lamentava sia la ripresa del proprio luogo di lavoro senza adeguata informativa, sia soprattutto la mancata risposta alla richiesta di esercizio dei diritti ex artt. 15 e 17 GDPR.

Fatti e istruttoria

L’interessato aveva chiesto, tramite PEC del 15 maggio 2019, di conoscere il titolare del trattamento, le finalità della videosorveglianza, le modalità e i tempi di conservazione delle immagini, nonché l’eventuale presenza di dati o immagini che lo riguardassero; contestualmente aveva chiesto la cancellazione dei dati e si era opposto al trattamento.

Nel corso dell’istruttoria la società ha sostenuto, in sintesi, che:

• il sistema era installato per esigenze di sicurezza e per specifici obblighi di settore;
• le telecamere non riprendevano la portineria;
• la telecamera più vicina era guasta o comunque non funzionante;
• l’impianto non registrava immagini, o non le registrava più dal 10 luglio 2018;
• l’interessato era già a conoscenza delle informazioni rilevanti, anche per pregresse comunicazioni e per vicende giudiziarie collegate.

La società ha inoltre affermato di avere fornito riscontro orale all’interessato, senza inviare una risposta formale.

Valutazioni del Garante sul diritto di accesso e sulla cancellazione

L’Autorità ha ritenuto che la società, in qualità di titolare del trattamento, fosse comunque tenuta a dare riscontro all’istanza ai sensi dell’art. 12 GDPR. Il riscontro deve infatti essere fornito per iscritto o con altri mezzi, anche elettronici; il ricorso a un riscontro orale è possibile solo se richiesto dall’interessato.

Il Garante ha osservato che l’istanza era stata trasmessa via PEC e che non risultava una richiesta dell’interessato di ricevere la risposta oralmente. Ha quindi escluso che il presunto colloquio orale potesse integrare un idoneo riscontro.

È stata inoltre ribadita la distinzione tra:

• informativa ex artt. 13 e 14 GDPR;
• diritto di accesso ex art. 15 GDPR.

Il fatto che l’interessato avesse ricevuto o conoscesse informazioni generali non esauriva il diritto di accesso, che impone al titolare di fornire informazioni calibrate sulla concreta operazione di trattamento riferita al richiedente.

Quanto alla domanda di cancellazione, il Garante ha rilevato che anche essa avrebbe richiesto un riscontro conforme all’art. 12 GDPR, fermo restando che, in considerazione della cessazione dell’attività del sistema e dell’assenza di registrazione almeno dal 10 luglio 2018, non sussistevano i presupposti per adottare un ordine di divieto o cancellazione sul merito del trattamento.

Esito del procedimento

All’esito dell’istruttoria il Garante ha dichiarato l’illiceità del trattamento limitatamente alla violazione dell’art. 12 GDPR in relazione agli artt. 15 e 17 GDPR, per mancato riscontro idoneo alle istanze dell’interessato.

La violazione è stata considerata di minore gravità, in particolare per:

• il numero di interessati coinvolti, pari a uno;
• l’assenza di precedenti violazioni pertinenti.

Non è stata irrogata una sanzione pecuniaria. L’Autorità ha invece adottato un ammonimento nei confronti di Agema s.r.l. ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy.

Provvedimenti e rimedi

Il Garante ha quindi:

• rilevato l’illiceità del trattamento per violazione dell’art. 12 GDPR in relazione agli artt. 15 e 17 GDPR;
• ammonito la società per non aver fornito un riscontro idoneo all’istanza dell’interessato;
• ritenuto ricorrenti i presupposti dell’art. 17 del regolamento n. 1/2019 sulle procedure interne.

È stata infine indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011.