Ordinanza ingiunzione o revoca n. 58 del 02/03/2023

H&M Hennes & Mauritz s.r.l. – videosorveglianza nei punti vendita e controlli a distanza dei lavoratori

Il provvedimento riguarda H&M Hennes & Mauritz s.r.l. ed è stato adottato a seguito di una segnalazione sindacale e di successivi accertamenti ispettivi presso la sede e vari punti vendita della Società. L’Autorità ha esaminato la conformità dei sistemi di videosorveglianza installati nei negozi rispetto alla disciplina sui controlli a distanza dei lavoratori e ai limiti autorizzativi applicabili.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato in esito a una segnalazione presentata il 29 marzo 2019 da Filcams CGIL Roma-Lazio, che lamentava l’installazione di sistemi di videosorveglianza in più unità locali in modo non conforme alla legge.

Nel 2022, a seguito della cessazione dello stato di emergenza Covid-19, il Garante ha svolto accertamenti in loco presso la sede legale della Società il 28, 29 aprile e il 17, 18 maggio 2022. Durante l’istruttoria sono stati acquisiti verbali, documentazione interna, file riepilogativi dei punti vendita e dichiarazioni difensive della Società.

Trattamenti esaminati

Dalle verifiche è emerso che la Società, titolare del trattamento dei dati dei lavoratori, gestiva in modo centralizzato il sistema di videosorveglianza attraverso una piattaforma di registro dei trattamenti e una policy aziendale. Nei negozi erano presenti videocamere in back area e, in alcuni casi, anche in area vendita.

Secondo quanto dichiarato dalla Società, il sistema era utilizzato per finalità di sicurezza, tutela del patrimonio e prevenzione delle rapine; le immagini live erano accessibili a soggetti autorizzati e quelle registrate erano conservate per 24 ore, con accesso limitato e protetto da credenziali. La Società affermava inoltre che i dipendenti erano informati mediante informative brevi e complete.

Violazioni accertate: mancata procedura di garanzia ex art. 4 Statuto dei lavoratori

Il Garante ha accertato che, in diversi punti vendita, i sistemi di videosorveglianza sono stati installati e attivati prima della stipula di un accordo con le rappresentanze sindacali o del rilascio dell’autorizzazione dell’Ispettorato del lavoro, come richiesto dall’art. 4 della l. n. 300/1970.

In particolare, sono stati richiamati i seguenti punti vendita del Lazio:

• Roma Euroma 2
• Roma Porta di Roma
• Roma Roma Est
• Roma via del Corso
• Roma La Romanina
• Roma via di Valle Aurelia
• Roma via Tuscolana
• Roma Appio
• Roma Shopping Village Castel Romano
• Fiumicino Da Vinci
• Viterbo
• Latina

Per tali punti vendita gli impianti erano già attivi da anni e l’accordo quadro con Filcams CGIL Roma-Lazio è stato siglato solo il 31 maggio 2019, con successivi accordi singoli del 3 giugno 2019 o con autorizzazioni ITL rilasciate solo in date successive. Il Garante ha inoltre ricompreso tra i trattamenti illeciti altri punti vendita, tra cui:

• Le Fontane, Catanzaro
• Centro del Molise, Campobasso
• Costaverde, Molise
• Centro Gavinana, Toscana
• Lecce Mongolfiera, Puglia
• Centro Commerciale Due Valli, Torino Pinerolo

Per questi negozi, dal file Excel prodotto dalla Società è risultato che le autorizzazioni o gli accordi sono intervenuti dopo l’attivazione degli impianti.

L’Autorità ha sottolineato che la procedura ex art. 4 non è una mera formalità documentale, ma una garanzia sostanziale a tutela di interessi collettivi e della dignità dei lavoratori. L’informativa ai dipendenti, pur necessaria, non è sufficiente a legittimare il trattamento in assenza dell’accordo o dell’autorizzazione previsti dalla legge.

Violazioni accertate: trattamento oltre i limiti autorizzativi

Il provvedimento contesta anche trattamenti effettuati in violazione di quanto autorizzato:

• a Milano Duomo, la telecamera D4 relativa alla cassaforte ha conservato immagini oltre il limite di 24 ore previsto dall’accordo sindacale del 1 aprile 2015; durante l’ispezione sono state trovate registrazioni risalenti al 4, 5, 6, 13, 14 e 15 maggio 2022;
• a Stezzano, una modifica dell’impianto ha comportato la collocazione di una telecamera all’interno del negozio e l’impianto è rimasto attivo anche durante l’orario lavorativo, nonostante l’autorizzazione ITL imponesse che due telecamere interne dell’Area Staff restassero spente durante l’apertura al pubblico.

Il Garante ha osservato che, anche su questo punto, la Società avrebbe dovuto verificare il contenuto dell’autorizzazione e adeguare tempestivamente il trattamento, in applicazione del principio di responsabilizzazione di cui all’art. 5, par. 2, GDPR.

Valutazioni del Garante

L’Autorità ha ritenuto integrata la violazione del principio di liceità del trattamento di cui all’art. 5, par. 1, lett. a), GDPR, in combinato disposto con l’art. 88 GDPR e con l’art. 114 del Codice privacy.

Ha precisato che, nell’ambito del rapporto di lavoro, il trattamento dei dati dei dipendenti deve rispettare anche la disciplina speciale nazionale in materia di controlli a distanza. L’art. 88 GDPR consente agli Stati membri di mantenere norme più specifiche di tutela, e in Italia tale disciplina è assicurata dall’art. 114 del Codice, che rinvia all’art. 4 dello Statuto dei lavoratori.

Il Garante ha inoltre chiarito che la competenza dell’Ispettorato del lavoro sul profilo lavoristico non esclude la competenza dell’Autorità privacy, che può accertare l’illecito sotto il profilo della protezione dei dati personali e irrogare le conseguenti misure correttive e sanzionatorie.

Sanzione e criteri di quantificazione

La violazione non è stata considerata minore, in ragione:

• della natura della violazione, incidente sui principi generali del trattamento e sui trattamenti nell’ambito del rapporto di lavoro;
• della durata dei trattamenti illeciti, protrattisi per periodi significativi;
• del numero elevato di interessati coinvolti, indicato dalla Società in circa 543 dipendenti;
• della pluralità di punti vendita interessati e dei diversi profili di illegittimità;
• del fatto che la Società si è conformata alla disciplina solo a seguito degli interventi dell’Autorità e dell’Ispettorato del lavoro.

Ai fini dell’art. 83 GDPR il Garante ha valorizzato anche la cooperazione della Società e l’assenza di precedenti pertinenti, ma ha tenuto conto delle condizioni economiche dell’impresa e delle sanzioni già pagate in sede ITL per alcuni punti vendita. In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, è stata irrogata una sanzione amministrativa pecuniaria di euro 50.000.

Dispositivo finale

Il Garante:

• ha rilevato l’illiceità del trattamento effettuato da H&M Hennes & Mauritz s.r.l.;
• ha ordinato il pagamento della sanzione amministrativa pecuniaria di euro 50.000 entro 30 giorni dalla notifica;
• ha disposto la pubblicazione del provvedimento sul sito web del Garante;
• ha richiamato la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 Codice privacy e dell’art. 10 d.lgs. 150/2011.