Prescrizioni del Garante n. 590 del 26/09/2024

Videosorveglianza priva di informativa presso "Samiur Internet Point"

Il provvedimento riguarda Salma Umme, titolare di un’impresa individuale che gestisce l’esercizio "Samiur Internet Point" in Genova. L’Autorità interviene a seguito di accertamento della Polizia locale, che ha rilevato un impianto di videosorveglianza attivo e funzionante senza la prevista informativa agli interessati.

Fatti e avvio del procedimento

Con nota dell’8 giugno 2021, la Polizia locale del Comune di Genova ha trasmesso al Garante una relazione di servizio segnalando la presenza di telecamere non segnalate da cartelli informativi presso l’esercizio sito in via Dondero n. 32. Dal verbale di accertamento n. 211591644, trasmesso il 12 novembre 2021, è emerso che il trattamento di dati personali tramite videosorveglianza era riferibile alla titolare dell’impresa individuale.

Sulla base di tali elementi, l’Ufficio ha notificato il 18 novembre 2021 l’avvio del procedimento ai sensi degli artt. 58, par. 2, e 83 GDPR, in relazione alla violazione degli artt. 13 e 5, par. 1, lett. a), GDPR. La destinataria, pur informata della facoltà di presentare scritti difensivi e documenti, non ha trasmesso alcuna osservazione.

Quadro giuridico richiamato

Il Garante ricorda che la videosorveglianza integra trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare i principi dell’art. 5 GDPR, in particolare quello di trasparenza. In tale ambito, gli interessati devono essere messi in condizione di sapere, prima di entrare nell’area controllata, che è in funzione un sistema di videosorveglianza.

Per adempiere a tale obbligo, il titolare deve predisporre cartelli informativi conformi al provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e alle Faq dell’Autorità. Vengono inoltre richiamate le Linee guida EDPB n. 3/2019, secondo cui le informazioni essenziali devono essere riportate sul primo livello di segnalazione, in modo visibile, intelligibile e chiaramente leggibile, mentre gli ulteriori dettagli possono essere forniti con altri mezzi.

Violazioni accertate

Dall’istruttoria è risultato che l’impianto installato presso il locale era effettivamente attivo e funzionante, ma privo delle informative richieste dall’art. 13 GDPR.

Il Garante ha quindi ritenuto integrata una violazione:

• dell’art. 13 GDPR, per omessa informativa agli interessati;
• dell’art. 5, par. 1, lett. a), GDPR, per violazione del principio di trasparenza.

La mancata produzione di documentazione difensiva o di elementi idonei a dimostrare l’adeguamento ha rafforzato la conclusione di illiceità del trattamento.

Valutazione del Garante e misure correttive

L’Autorità ha dichiarato l’illiceità del trattamento effettuato dalla titolare nell’esercizio dell’attività di impresa attraverso il sistema di videosorveglianza installato presso il punto vendita.

In esercizio dei poteri correttivi di cui all’art. 58, par. 2, lett. d), GDPR, il Garante ha prescritto di:

• informare adeguatamente gli interessati della presenza dell’impianto;
• apporre cartelli recanti l’informativa ex art. 13 GDPR;
• indicare in modo chiaro e trasparente il titolare del trattamento e le finalità perseguite.

L’adeguamento deve avvenire entro 60 giorni dalla notifica del provvedimento, con trasmissione all’Autorità di un riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice privacy.

Esito finale e rimedi

Il Garante ha disposto l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal regolamento del Garante n. 1/2019. Nel provvedimento è altresì richiamata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.

Non risulta irrogata in questa estrazione una specifica sanzione pecuniaria; il provvedimento evidenzia però che il mancato riscontro all’ordine di adeguamento può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), GDPR.