Ordinanza ingiunzione o revoca n. 267 del 11/04/2024

BAR DEL PORTICO S.A.S. - videosorveglianza interna e controllo dei lavoratori senza le garanzie di legge

Il Garante ha esaminato il trattamento di dati personali effettuato dalla società che gestisce il bar, a seguito di un controllo della Guardia di finanza. L’impianto di videosorveglianza installato nei locali risultava attivo, composto da due telecamere interne e idoneo a riprendere sia i clienti sia il personale dipendente, con accesso alle immagini anche da smartphone del titolare.

Fatto e avvio del procedimento

Dall’ispezione del 1 giugno 2023 è emerso che le telecamere erano installate per finalità di sicurezza e tutela del patrimonio, ma senza che fossero stati preventivamente adempiuti gli obblighi previsti dall’art. 4 della legge n. 300/1970. La Guardia di finanza ha trasmesso il verbale al Garante, che con nota del 13 ottobre 2023 ha avviato il procedimento sanzionatorio per la possibile violazione del principio di liceità del trattamento e della disciplina speciale applicabile ai lavoratori.

La società non ha presentato scritti difensivi nel corso dell’istruttoria.

Quadro normativo richiamato

L’Autorità ha richiamato i principi generali del GDPR applicabili ai sistemi di videosorveglianza, in particolare l’art. 5, par. 1, lett. a), nonché l’art. 88 GDPR, che consente norme nazionali più specifiche per i trattamenti nel contesto lavorativo. In tale prospettiva, il legislatore nazionale ha previsto l’art. 114 del Codice privacy, che impone il rispetto dell’art. 4 dello Statuto dei lavoratori.

Il Garante ha inoltre richiamato il proprio provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, le FAQ pubblicate sul sito istituzionale e le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video.

Illiceità del trattamento in ambito lavorativo

Poiché l’impianto era idoneo a riprendere anche i dipendenti durante l’attività lavorativa, il trattamento poteva essere lecito solo nel rispetto della disciplina dell’art. 4 L. 300/1970. Il Garante ha ribadito che, quando un sistema di videosorveglianza consente anche il controllo a distanza dei lavoratori, l’installazione è subordinata alla previa stipula di un accordo con le rappresentanze sindacali ovvero, in mancanza, all’autorizzazione dell’Ispettorato del lavoro.

Nel caso concreto, tali garanzie non risultavano attivate. Di conseguenza, il trattamento è stato qualificato come illecito per violazione del principio di liceità, dell’art. 88 GDPR e dell’art. 114 del Codice privacy. L’Autorità ha osservato anche che la violazione dell’art. 4 dello Statuto dei lavoratori è penalmente sanzionata ai sensi dell’art. 171 del Codice.

Valutazione della gravità e sanzione amministrativa

Il Garante ha escluso che la violazione potesse essere considerata minore, richiamando natura, gravità e durata della condotta, il grado di responsabilità e le modalità con cui l’Autorità è venuta a conoscenza dei fatti. Ha inoltre valorizzato la mancata collaborazione della società, che non ha fornito alcuna difesa né prova dell’adeguamento a quanto dichiarato agli operanti della Guardia di finanza.

Ai fini della quantificazione della sanzione, sono stati considerati anche l’assenza di precedenti specifici e le condizioni economiche del contravventore, valutate sulla base della dichiarazione dei redditi per l’anno d’imposta 2022. La sanzione amministrativa pecuniaria è stata determinata in euro 1.000,00 per la violazione degli artt. 5, par. 1, lett. a), 88 GDPR e 114 del Codice.

Provvedimenti correttivi e prescrizioni finali

All’esito del procedimento, il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dalla società mediante il sistema di videosorveglianza;
• disposto, ai sensi dell’art. 58, par. 2, lett. f) GDPR, il divieto del trattamento fino all’adeguamento alle disposizioni del GDPR e del Codice, con attivazione delle misure di garanzia previste dall’art. 4 L. 300/1970;
• ordinato, ai sensi dell’art. 58, par. 2, lett. i) GDPR, il pagamento della sanzione di euro 1.000,00;
• ingiunto il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019;
• richiesto alla società di comunicare entro 30 giorni le iniziative adottate e di fornire riscontro documentato ex art. 157 del Codice.

È stato infine ricordato che avverso il provvedimento è proponibile ricorso davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.