Ordinanza ingiunzione o revoca n. 262 del 22/05/2023

Impresa individuale "Spaziani Fabrizio" - videosorveglianza non conforme e sanzione amministrativa

Il Garante per la protezione dei dati personali ha sanzionato l’impresa individuale "Spaziani Fabrizio", titolare di una tabaccheria in Foligno, per l’uso di un sistema di videosorveglianza installato in modo non conforme alla disciplina in materia di protezione dei dati personali. Il procedimento è stato avviato a seguito di una segnalazione e di un successivo accertamento della Guardia di finanza, che hanno evidenziato la mancanza di adeguata informativa e la ripresa di spazi pubblici eccedenti l’area commerciale.

Origine del procedimento e accertamenti ispettivi

L’11 aprile 2022 è pervenuta una segnalazione circa l’installazione di telecamere non segnalate da idonei cartelli e potenzialmente idonee a riprendere una strada vicina all’esercizio commerciale. In seguito, il 28 luglio 2022, il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza ha effettuato un controllo presso l’impresa, rilevando un impianto composto da 6 telecamere funzionanti, di cui 4 interne e 2 esterne.

Dal verbale ispettivo è emerso che:

• non erano presenti cartelli informativi idonei, salvo un solo cartello interno al locale;
• il cartello presente era comunque incompleto, perché privo dell’indicazione del titolare del trattamento e delle finalità;
• le telecamere riprendevano anche ampi tratti di strada pubblica, oltre gli spazi immediatamente prospicenti il locale.

Il titolare ha dichiarato che le telecamere esterne riprendevano parte dell’area antistante l’esercizio, l’area del distributore di bibite, l’area del distributore di sigarette e, incidentalmente, parte di Via Campagnola.

Quadro normativo richiamato

Il provvedimento richiama il Regolamento (UE) 2016/679 e il Codice privacy, evidenziando che il trattamento mediante videosorveglianza deve rispettare i principi generali dell’art. 5 GDPR, in particolare il principio di trasparenza. Viene inoltre richiamato:

• l’art. 13 GDPR, relativo agli obblighi informativi verso gli interessati;
• il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, in particolare il punto 3.1 sui cartelli informativi e il punto 6.2.2.1 sulla limitazione dell’angolo visuale;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali tramite dispositivi video, che prevedono un sistema di informazione su due livelli e un segnale di avvertimento ben visibile, intelligibile e leggibile.

Valutazioni del Garante sulla videosorveglianza

Il Garante ha ritenuto che l’impianto fosse attivo e funzionante e che il trattamento di dati personali avvenisse senza che gli interessati fossero adeguatamente informati. La mancata apposizione di idonei cartelli informativi integra la violazione dell’art. 13 GDPR, poiché il titolare deve fornire agli interessati le informazioni essenziali prima dell’accesso all’area videosorvegliata.

Quanto alle riprese esterne, l’Autorità ha osservato che le telecamere riprendevano anche una consistente parte della strada pubblica antistante l’esercizio, in violazione del principio di minimizzazione e delle regole specifiche che impongono di limitare il campo di ripresa all’area effettivamente da proteggere, evitando la ripresa di luoghi circostanti e di elementi non rilevanti.

Esito delle difese e comportamento successivo

Con nota del 19 ottobre 2022, l’impresa ha dichiarato di avere già apportato modifiche e correzioni all’impianto, affermando di aver:

• apposto cartelli informativi conformi;
• ridotto l’angolo di visuale delle telecamere esterne.

A supporto sono state prodotte fotografie. Il Garante ha preso atto della cooperazione e dell’assenza di precedenti specifici, ma ha comunque qualificato come illecito il trattamento effettuato nei termini accertati in sede ispettiva.

Sanzione amministrativa e criteri di quantificazione

Richiamando gli artt. 58, par. 2, lett. i) e 83 GDPR, nonché l’art. 166 del Codice privacy, il Garante ha adottato un’ordinanza-ingiunzione e ha irrogato una sanzione amministrativa pecuniaria pari a euro 1.000,00.

Nella quantificazione sono stati considerati:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare per la mancata informativa;
• l’assenza di precedenti specifici;
• la cooperazione dell’impresa e gli interventi successivi di adeguamento.

Il provvedimento richiama anche il carattere effettivo, proporzionato e dissuasivo della sanzione ai sensi dell’art. 83, par. 1 GDPR.

Dispositivo e rimedi

L’Autorità ha:

• dichiarato l’illiceità del trattamento effettuato mediante il sistema di videosorveglianza, per violazione degli artt. 5, par. 1, lett. a) e 13 GDPR;
• ordinato all’impresa individuale "Spaziani Fabrizio" il pagamento di euro 1.000,00;
• ingiunto il pagamento entro 30 giorni dalla notifica, con avvertenza sulle conseguenze esecutive ai sensi dell’art. 27 della legge n. 689/1981;
• ricordato la facoltà di definizione agevolata con pagamento della metà della sanzione entro il termine previsto per il ricorso;
• disposto la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

Contro il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.