Ordinanza ingiunzione o revoca n. 321 del 06/10/2022

Ordinanza ingiunzione nei confronti di Alegar s.n.c. per omessa informativa nel sistema di videosorveglianza

Il Garante per la protezione dei dati personali ha sanzionato Alegar s.n.c., titolare di un bar, per avere installato e utilizzato un impianto di videosorveglianza senza fornire un’idonea informativa agli interessati. Il procedimento è stato avviato a seguito di segnalazione di un lavoratore e di successivo accertamento ispettivo della Guardia di finanza.

Origine della segnalazione e attività istruttoria

La segnalazione, presentata l’11 giugno 2019 ai sensi dell’art. 144 del Codice privacy, lamentava l’uso di telecamere nel locale in modo non conforme alla disciplina di protezione dei dati, con possibile controllo dell’attività lavorativa dei dipendenti e assenza di informativa. Il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza ha svolto un accertamento presso la sede della società il 13 e 14 luglio 2021.

Trattamento esaminato: sistema di videosorveglianza del locale

Dall’istruttoria è emerso che la società, quale titolare del trattamento, utilizzava un sistema di videosorveglianza composto da 11 telecamere, installate sia all’esterno sia all’interno del bar. Le riprese interessavano aree di ingresso, zone di somministrazione, scale verso il magazzino e magazzino alimenti/bevande. Le immagini erano visibili dal socio amministratore tramite smartphone con applicativo dedicato; non vi erano monitor collegati al DVR e la conservazione delle immagini era indicata in 24 ore.

Violazioni contestate: mancanza di informativa e trasparenza

L’Autorità ha accertato che il sistema di videosorveglianza, attivo da luglio 2019, era stato utilizzato in assenza di un’informativa idonea ai sensi dell’art. 13 GDPR. La società ha ammesso la mancata esposizione del cartello informativo breve e ha riferito che i cartelli precedentemente presenti erano stati accidentalmente rimossi durante pulizie straordinarie nel gennaio 2021, senza essere ripristinati prima della riapertura. Solo dopo l’accertamento ispettivo è stata esposta un’informativa semplificata, con rinvio al sito internet aziendale.

Il Garante ha ritenuto che tale comportamento integri la violazione:

• dell’art. 13 GDPR, per mancata informazione preventiva agli interessati;
• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo del principio di trasparenza;
• dell’art. 5, par. 1, lett. a), GDPR, anche sotto il profilo del principio di correttezza, con specifico riferimento al rapporto di lavoro.

Irrilevanza sostitutiva dell’accordo sindacale ex art. 4 Statuto dei lavoratori

La società aveva richiamato un accordo sindacale stipulato il 10 luglio 2019 con le rappresentanze dei lavoratori, sostenendo che esso, insieme alla planimetria delle telecamere, avesse assolto alla funzione informativa almeno verso i dipendenti. Il Garante ha escluso questa tesi, osservando che:

• l’accordo sindacale ha natura e finalità diverse dall’informativa privacy;
• i clienti del locale, pur essendo interessati, non possono conoscere il contenuto dell’accordo;
• l’accordo non contiene tutte le informazioni richieste dall’art. 13 GDPR, come i diritti esercitabili, il diritto di reclamo e i tempi di funzionamento del sistema.

Pertanto, la presa visione dell’accordo da parte dei dipendenti non vale a sostituire l’informativa dovuta agli interessati.

Valutazione del Garante sull’illiceità del trattamento

L’Autorità ha ritenuto non superati i rilievi contestati in avvio del procedimento e ha dichiarato illecito il trattamento effettuato mediante il sistema di videosorveglianza. La violazione non è stata considerata minore, in ragione della natura, gravità e durata della condotta, nonché del fatto che la mancanza di informativa riguardava un diritto fondamentale dell’interessato alla trasparenza del trattamento.

Sanzione amministrativa e criteri di quantificazione

Ai fini della quantificazione della sanzione, il Garante ha richiamato l’art. 83 GDPR, considerando:

• la natura della violazione, relativa a principi generali e all’informativa ex art. 13;
• la gravità e la durata del trattamento non conforme;
• il grado di responsabilità del titolare;
• la cooperazione prestata dalla società nel corso dell’istruttoria;
• le condizioni economiche del contravventore, società in nome collettivo;
• l’entità delle sanzioni irrogate in casi analoghi.

All’esito, è stata irrogata una sanzione amministrativa pecuniaria di euro 1.000.

Dispositivo: ordine di pagamento, definizione agevolata e pubblicazione

Il Garante ha ordinato alla società di pagare la sanzione di euro 1.000 entro 30 giorni dalla notifica del provvedimento, con avvertimento dell’adozione degli atti esecutivi in caso di mancato pagamento. È stata richiamata anche la facoltà di definizione della controversia con pagamento della metà della sanzione nei termini previsti dalla legge. Inoltre, il provvedimento è stato disposto in pubblicazione sul sito internet del Garante.