Ordinanza ingiunzione o revoca n. 293 del 06/07/2023

Ristorante Francesco s.r.l. - videosorveglianza illecita e sanzione pecuniaria

Il provvedimento riguarda il trattamento di dati personali effettuato da Ristorante Francesco s.r.l. mediante un sistema di videosorveglianza installato presso la sede di Genga (AN). L’istruttoria è stata avviata a seguito di un verbale della Guardia di finanza che segnalava la presenza di telecamere attive, la mancanza di adeguata informativa e l’assenza della previa autorizzazione richiesta per i trattamenti idonei a controllare a distanza i lavoratori.

Origine del procedimento e accertamenti

Il Garante ha acquisito il verbale trasmesso dal Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, relativo ai controlli svolti il 29 settembre e il 6 ottobre 2022 presso l’esercizio commerciale. Dal verbale risultava che l’impianto era composto da 7 telecamere funzionanti: due inquadravano l’ingresso superiore verso il parcheggio, due l’ingresso inferiore sulla strada pubblica, due erano poste all’interno del ristorante e una sul retro.

Dalla documentazione fotografica emergeva che le telecamere esterne erano idonee a riprendere ampi spazi della strada pubblica antistante l’esercizio. Inoltre, rispetto alla presenza di dipendenti nei locali videosorvegliati, risultava che non era stata richiesta alcuna autorizzazione all’Ispettorato del lavoro prima dell’installazione.

Norme richiamate e quadro giuridico

L’Autorità ha richiamato i principi generali dell’art. 5 GDPR, in particolare il principio di trasparenza e liceità, nonché l’obbligo di informativa di cui all’art. 13 GDPR. In materia di videosorveglianza ha inoltre richiamato il provvedimento generale dell’8 aprile 2010 e le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati, soprattutto in tema di cartelli informativi, inquadratura limitata alle aree effettivamente da proteggere e possibilità di oscurare o limitare aree non pertinenti.

Per i trattamenti nel contesto del rapporto di lavoro, il Garante ha richiamato l’art. 88 GDPR e l’art. 114 del Codice privacy, che rinvia alle garanzie dell’art. 4 della legge n. 300/1970. In base a tale disciplina, gli impianti dai quali derivi anche la possibilità di controllo a distanza dei lavoratori possono essere installati solo per specifiche esigenze e, comunque, previa procedura sindacale o autorizzazione dell’Ispettorato del lavoro.

Difese della società e regolarizzazione successiva

La società ha sostenuto di aver già collocato, prima del controllo, un cartello informativo all’inizio del percorso pedonale che conduce al parcheggio privato, negando l’intenzione di riprendere la strada comunale. Ha anche affermato di aver informato i dipendenti della presenza delle telecamere e di non aver ritenuto necessario richiedere l’autorizzazione all’Ispettorato del lavoro.

Successivamente al controllo, la società ha dichiarato di aver cessato le riprese audiovisive, di aver affisso nuovi cartelli informativi, di aver modificato l’orientamento delle telecamere esterne in modo da escludere la strada comunale e di aver presentato domanda di autorizzazione alla Direzione Territoriale di Ancona il 25 ottobre 2022, ottenendo l’autorizzazione il 31 ottobre 2022. Ha inoltre riferito che, al momento del procedimento, erano state riattivate soltanto le telecamere interne, mentre l’impianto nei locali di lavoro, pur autorizzato, non era ancora attivo.

Valutazioni del Garante sull’illiceità del trattamento

Il Garante ha ritenuto provato che il trattamento fosse stato effettuato:

• in assenza della prescritta informativa agli interessati, in violazione dell’art. 13 GDPR;
• con telecamere idonee a riprendere una parte consistente della strada pubblica, in contrasto con il principio di liceità e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• senza la preventiva autorizzazione dell’Ispettorato del lavoro, in violazione dell’art. 114 del Codice privacy e della disciplina dell’art. 4 della legge n. 300/1970.

L’Autorità ha espressamente dichiarato che la violazione non poteva essere considerata minore, alla luce della natura, della gravità e della durata del comportamento e del grado di responsabilità del titolare.

Sanzione, criteri di quantificazione e pubblicazione

Ai fini della quantificazione della sanzione, il Garante ha valutato i criteri di cui all’art. 83, par. 2, GDPR, tenendo conto della natura, gravità e durata della violazione, dell’assenza di precedenti specifici, della cooperazione prestata dalla società nel corso del procedimento e della regolarizzazione successiva, nonché delle condizioni economiche desunte dalla dichiarazione dei redditi 2023.

In applicazione dell’art. 83 GDPR e dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 5.000 per la violazione degli artt. 5 e 13 GDPR e dell’art. 114 del Codice. Ha inoltre disposto la pubblicazione del provvedimento sul sito internet istituzionale.

Dispositivo e rimedi

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato tramite l’impianto di videosorveglianza;
• ordina a Ristorante Francesco s.r.l. di pagare euro 5.000 a titolo di sanzione amministrativa pecuniaria;
• ingiunge il pagamento entro 30 giorni dalla notifica, con avvertimento sulle conseguenze esecutive in caso di inadempimento;
• ricorda la possibilità di definizione agevolata con pagamento della metà della sanzione entro il termine previsto per proporre ricorso;
• indica la possibilità di ricorrere all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.