Ordinanza ingiunzione o revoca n. 181 del 21/03/2024

Estlevante s.r.l.s. - videosorveglianza in B&B senza informativa

Il Garante per la protezione dei dati personali ha esaminato un trattamento svolto mediante impianto di videosorveglianza installato presso la struttura ricettiva "Estlevante B&B" in Vieste. Il procedimento è stato avviato a seguito di una segnalazione della Polizia locale, che aveva rilevato la presenza di telecamere senza l’informativa prevista dall’art. 13 GDPR.

Origine del procedimento e istruttoria

La segnalazione, trasmessa il 26 febbraio 2021 dal Comando di Polizia locale del Comune di Vieste, riferiva che presso la struttura erano presenti due telecamere collocate sulla facciata dell’edificio, ma non risultava esposta alcuna informativa privacy. L’Ufficio del Garante ha quindi chiesto chiarimenti alla titolare della struttura ai sensi dell’art. 157 del Codice privacy, in particolare sul funzionamento delle telecamere, sulla loro idoneità a identificare gli interessati e sul rispetto della normativa applicabile.

La destinataria della richiesta ha risposto confermando che le telecamere erano funzionanti e astrattamente idonee all’identificazione delle persone. Ha precisato che l’impianto, installato a maggio 2019, era composto da due telecamere con inquadratura limitata agli spazi di esclusiva pertinenza della struttura, con registrazione attiva h24 e conservazione delle immagini per 24 ore. Ha inoltre dichiarato che l’installazione era stata effettuata per ragioni di sicurezza, a tutela dell’immobile e della clientela.

Difese della parte

Con gli scritti difensivi, la parte ha sostenuto che l’informativa fosse stata regolarmente apposta al momento dell’installazione e che la sua assenza al momento dell’ispezione fosse riconducibile a un evento accidentale, come un atto vandalico o eventi atmosferici, anche tenuto conto delle restrizioni dovute all’emergenza COVID-19. Ha inoltre sostenuto che il trattamento rientrasse nell’esenzione domestica di cui all’art. 2, par. 2, lett. c), GDPR, essendo posto in essere da una persona fisica per fini personali o domestici.

Quadro giuridico richiamato dal Garante

L’Autorità ha ricordato che l’uso di sistemi di videosorveglianza comporta un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve avvenire nel rispetto dei principi di cui all’art. 5 GDPR, in particolare del principio di trasparenza. In tale prospettiva, gli interessati devono essere informati della presenza del sistema e dei luoghi sorvegliati.

Il Garante ha richiamato:

• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, adottate il 29 gennaio 2020;
• il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010;
• le FAQ dell’Autorità in materia di videosorveglianza.

È stato ribadito che i cartelli informativi devono consentire agli interessati di riconoscere facilmente la sorveglianza prima di entrare nell’area ripresa, con le informazioni essenziali esposte in primo livello e ulteriori dettagli eventualmente forniti con strumenti di secondo livello, ai sensi anche dell’art. 12, par. 7, GDPR.

Valutazioni sull’illiceità del trattamento

All’esito dell’istruttoria, il Garante ha accertato che, al momento dell’accertamento della Polizia locale, l’impianto era privo dell’informativa richiesta dall’art. 13 GDPR, pur essendo le telecamere attive, funzionanti e idonee a identificare gli interessati. Ne è derivata la violazione degli obblighi di trasparenza e informazione di cui agli artt. 5, par. 1, lett. a), 12 e 13 GDPR.

L’Autorità ha escluso l’applicabilità dell’esenzione domestica, rilevando che la gestione di una struttura ricettiva non può essere qualificata come attività esclusivamente personale o domestica. Il trattamento, infatti, era svolto nell’ambito di un’attività commerciale; inoltre, nel corso del procedimento la struttura risulta essere stata ceduta a Estlevante s.r.l.s., subentrata nei rapporti attivi e passivi del cedente.

Ordinanza ingiunzione e sanzione

Ritenuta la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, il Garante ha esercitato i poteri di cui all’art. 58, par. 2, lett. i), GDPR e all’art. 166 del Codice privacy, adottando un’ordinanza ingiunzione ai sensi della legge n. 689/1981.

Ai fini della quantificazione della sanzione, sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare per l’omessa informativa;
• l’assenza di precedenti specifici;
• la circostanza che, nel corso del procedimento, la parte ha dichiarato di aver predisposto nuovi cartelli informativi.

Sulla base di tali elementi, la sanzione amministrativa pecuniaria è stata determinata in euro 2.000,00.

Dispositivo e rimedi

Il Garante ha dichiarato l’illiceità del trattamento effettuato da Estlevante s.r.l.s., con sede in Trinitapoli, tramite l’impianto di videosorveglianza installato presso il B&B, per violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Ha quindi ordinato alla società, nella persona del legale rappresentante pro tempore, di pagare la sanzione di euro 2.000,00 entro 30 giorni dalla notifica del provvedimento, con avvertenza che in caso di mancato pagamento saranno adottati gli atti esecutivi di cui all’art. 27 della legge n. 689/1981. È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine per proporre ricorso.

Infine, il Garante ha disposto la pubblicazione del provvedimento sul proprio sito internet, ai sensi dell’art. 166, comma 7, del Codice privacy e dell’art. 16 del regolamento del Garante n. 1/2019, precisando che avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.