Provvedimenti n. 709 del 14/11/2024

Impresa individuale Gonzalez Canton Claudia - videosorveglianza presso struttura ricettiva senza informativa

Il provvedimento riguarda il trattamento di dati personali effettuato tramite un impianto di videosorveglianza installato presso la struttura ricettiva "Villa La Dolce vita by wonderful Italy". Il procedimento trae origine da un reclamo e da un successivo controllo della Guardia di finanza, che ha accertato la presenza di telecamere esterne senza idonei cartelli informativi.

Origine del procedimento e accertamenti

Con reclamo del 27 luglio 2023 veniva segnalata l’installazione di un sistema di videosorveglianza non conforme alla disciplina privacy, poiché le telecamere non sarebbero state segnalate da cartelli idonei. L’Ufficio disponeva un controllo in loco affidato al Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, che con verbale del 9 gennaio 2024 attestava:

• la presenza, all’esterno dei locali della struttura, di 3 telecamere installate su un palo all’interno del terreno di pertinenza e ben visibili dalla pubblica via;
• la presenza di ulteriori 12 telecamere lungo i quattro lati della struttura;
• l’assenza di cartelli informativi;
• l’assenza di telecamere all’interno della struttura.

Nel corso del controllo la titolare dichiarava che non era presente alcun cartello riportante l’informativa, impegnandosi a posizionarlo tempestivamente. Successivamente, con nota del 22 gennaio 2024, la stessa comunicava di aver installato idonei cartelli, producendo documentazione fotografica.

Contraddittorio e individuazione del titolare del trattamento

Con comunicazione di avvio del procedimento del 7 maggio 2024, l’Ufficio invitava il destinatario a presentare memorie difensive. La ditta sosteneva di non avere responsabilità, indicando come unico soggetto passivamente legittimato la società Emma Villas s.r.l., asseritamente incaricata della gestione della villa e della relazione con gli ospiti.

Il Garante ha tuttavia ritenuto che la titolarità del trattamento fosse riconducibile all’impresa individuale Gonzalez Canton Claudia. A tal fine ha valorizzato:

• l’informativa rilasciata ai clienti, nella quale il titolare del trattamento era indicato nella persona della titolare dell’impresa individuale;
• le dichiarazioni rese dalla stessa titolare alla Guardia di finanza, secondo cui il titolare del trattamento del sistema di videosorveglianza era la sua ditta individuale;
• il comportamento tenuto in sede ispettiva, con illustrazione del funzionamento del sistema, accesso alle immagini registrate e prelievo di fotogrammi tramite app installata sullo smartphone.

Quadro normativo applicato

L’Autorità richiama che l’utilizzo di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. Tale trattamento deve rispettare i principi generali dell’art. 5 GDPR, in particolare il principio di trasparenza di cui all’art. 5, par. 1, lett. a).

In materia di informativa, il provvedimento richiama:

• l’art. 13 GDPR, che impone al titolare di fornire agli interessati le informazioni sulle caratteristiche essenziali del trattamento;
• il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010, con particolare riferimento al punto 3.1 sui cartelli informativi;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, che prevedono informazioni essenziali ben visibili sul segnale di avvertimento e ulteriori dettagli tramite altri mezzi, in modo leggibile e comprensibile prima dell’accesso all’area sorvegliata.

Valutazioni dell’Autorità

Sulla base del verbale ispettivo, il Garante ha accertato che al momento del controllo l’impianto era funzionante ma privo dell’informativa richiesta. La condotta è stata quindi ritenuta in contrasto con:

• l’art. 13 GDPR, per mancata informazione agli interessati;
• l’art. 5, par. 1, lett. a), GDPR, per violazione del principio di trasparenza.

L’Autorità ha quindi qualificato come illecito il trattamento di dati personali effettuato dall’impresa individuale attraverso il sistema di videosorveglianza installato presso la struttura ricettiva.

Provvedimento finale e adempimenti conseguenti

Il Garante ha dichiarato, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR, l’illiceità del trattamento effettuato dalla impresa individuale Gonzalez Canton Claudia, per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

È stata inoltre disposta l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 58, par. 2, GDPR.

Il provvedimento ricorda infine che avverso lo stesso è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.