Ordinanza ingiunzione o revoca n. 428 del 28/09/2023

Palombaro s.r.l. - videosorveglianza senza informativa nel ristorante

Il Garante ha esaminato un trattamento di dati personali effettuato dalla società che gestisce il ristorante "L’Ascensore" ad Ancona, a seguito di un controllo della Polizia Locale che aveva rilevato un impianto di videosorveglianza attivo ma privo di idonea segnaletica informativa. Il procedimento è stato avviato per possibile violazione del principio di trasparenza e dell’obbligo di informativa agli interessati.

Origine del procedimento e fatti accertati

Con nota del 29 giugno 2022, la Polizia Locale del Comune di Ancona ha trasmesso al Garante il verbale del controllo effettuato il 22 giugno 2022 presso l’esercizio commerciale. Nel verbale si dava atto della presenza di telecamere regolarmente funzionanti e dell’assenza di cartelli informativi adeguati.

L’Ufficio del Garante ha quindi notificato alla società l’atto di avvio del procedimento sanzionatorio, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR.

Difese della società

Nelle memorie difensive del 23 novembre 2022, la società ha dichiarato che:

• l’impianto era stato installato da circa un mese, con attivazione il 14 maggio 2022;
• il sistema era finalizzato alla tutela dei beni aziendali da possibili atti illeciti di terzi;
• dopo il controllo della Polizia Locale aveva provveduto ad apporre i cartelli informativi sia all’interno sia all’esterno del locale.

Il Garante ha preso atto di tale adeguamento, supportato da documentazione fotografica.

Quadro normativo richiamato

L’Autorità ha ricordato che l’uso di sistemi di videosorveglianza può integrare un trattamento di dati personali, soggetto ai principi generali del GDPR, in particolare:

• art. 5, par. 1, lett. a): liceità, correttezza e trasparenza;
• art. 13 GDPR: obbligo di fornire all’interessato le informazioni sul trattamento.

Sono state richiamate anche:

• il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010;
• le Linee guida EDPB n. 3/2019 sul trattamento di dati personali tramite dispositivi video, che prevedono un sistema informativo su due livelli e la necessità che l’avviso sia ben visibile, comprensibile e collocato prima dell’accesso alla zona sorvegliata.

Valutazione del Garante

Il Garante ha ritenuto che, al momento del controllo, il trattamento fosse illecito perché il sistema era operativo senza che fosse stata resa agli interessati l’informativa prevista dall’art. 13 GDPR.

Secondo l’Autorità, la condotta contrastava con il principio di trasparenza, poiché gli interessati devono essere informati in modo chiaro prima di entrare in un’area videosorvegliata, così da poter valutare la presenza delle telecamere e regolare il proprio comportamento.

Sanzione e criteri di quantificazione

Il Garante ha applicato l’art. 58, par. 2, lett. i), GDPR e l’art. 166 del Codice privacy, irrogando una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR.

Nella quantificazione della sanzione, determinata in euro 3.000,00, sono stati considerati i criteri dell’art. 83, par. 1 e 2, GDPR, in particolare:

• natura, gravità e durata della violazione;
• responsabilità del titolare per l’omesso adempimento informativo;
• assenza di precedenti specifici;
• intervento successivo di regolarizzazione con apposizione dei cartelli;
• condizioni economiche del contravventore, valutate sul bilancio d’esercizio 2022.

Il Garante ha escluso che la violazione potesse essere considerata "minore", anche alla luce della natura e della durata dell’inadempimento.

Dispositivo

L’Autorità ha quindi:

• dichiarato l’illiceità del trattamento effettuato dalla Palombaro s.r.l. mediante il sistema di videosorveglianza installato presso il ristorante;
• ordinato alla società di pagare la sanzione amministrativa pecuniaria di 3.000 euro;
• ingiunto il pagamento entro 30 giorni dalla notifica del provvedimento, con avvertenza circa le conseguenze esecutive in caso di mancato pagamento;
• ricordato la possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• disposto la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

Tutela giurisdizionale

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.