Ordinanza ingiunzione o revoca n. 407 del 01/12/2022

Ordinanza ingiunzione per videosorveglianza interna priva di informativa e di autorizzazione

Il Garante per la protezione dei dati personali ha sanzionato la titolare dell’impresa individuale Naija Market International, esercente attività di minimercato a Modena, per l’uso di un sistema di videosorveglianza interna installato in due sedi commerciali in violazione della disciplina privacy e delle regole poste a tutela dei lavoratori. Il procedimento è stato avviato a seguito di una segnalazione della Polizia locale e sviluppato mediante ulteriori controlli della Guardia di finanza.

Origine dell’istruttoria e accertamenti svolti

In una prima fase, la Polizia locale del Comune di Modena aveva segnalato che, presso l’esercizio denominato "Joy Unique Collection" in via Francesco Crispi 6, erano presenti 3 telecamere funzionanti in assenza dei prescritti cartelli informativi. Dopo la mancata risposta alle richieste di informazioni dell’Ufficio, il Garante aveva avviato il procedimento sanzionatorio e delegato ulteriori verifiche alla Guardia di finanza.

Gli accertamenti successivi, eseguiti il 16 e 17 novembre 2021 presso le due sedi dell’impresa individuale site in Modena, via Francesco Crispi 6 e via Antonio Gramsci 11, hanno rilevato la presenza di:

• 3 telecamere funzionanti all’interno del locale di via Crispi 6;
• 8 telecamere funzionanti all’interno del locale di via Gramsci 11.

Dal verbale è emerso inoltre che nelle sedi operava personale dipendente e che non risultava richiesta, prima dell’installazione, la preventiva autorizzazione dell’Ispettorato territoriale del lavoro.

Difese presentate dalla titolare

Con scritti difensivi, la titolare ha sostenuto che le violazioni erano state commesse inconsapevolmente e in buona fede, affermando di non conoscere l’obbligo di ottenere l’autorizzazione dell’Ispettorato del lavoro. Ha inoltre rappresentato che, una volta acquisita contezza della normativa, avrebbe provveduto ad affiggere il cartello informativo e a richiedere la necessaria autorizzazione.

Il Garante ha tuttavia rilevato che tali affermazioni non erano state supportate da documentazione idonea a provarne l’effettiva attuazione.

Quadro normativo richiamato

Il provvedimento richiama il quadro europeo e nazionale applicabile ai sistemi di videosorveglianza e ai trattamenti effettuati nell’ambito del rapporto di lavoro.

Sul piano generale, l’Autorità richiama:

• l’art. 5 del GDPR, in particolare il principio di trasparenza;
• l’art. 13 del GDPR, relativo all’informativa agli interessati;
• l’art. 88 del GDPR e l’art. 114 del Codice privacy, che rinviano alla disciplina più specifica in materia di trattamento dei dati dei lavoratori;
• l’art. 4 della legge n. 300/1970, che richiede, per impianti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, l’accordo sindacale o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro;
• l’art. 157 del Codice privacy, relativo alle richieste informative del Garante.

Il provvedimento richiama anche il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010 e le Linee guida EDPB n. 3/2019 sul trattamento tramite dispositivi video, per ribadire l’esigenza di un’informazione preventiva, chiara e ben visibile agli interessati.

Valutazioni del Garante sull’illiceità del trattamento

Il Garante ha ritenuto comprovato che la titolare avesse effettuato un trattamento di dati personali mediante videosorveglianza:

• senza fornire la prescritta informativa mediante cartelli idonei;
• senza attivare la procedura di garanzia prevista dall’art. 4 della legge n. 300/1970;
• senza rispondere alle richieste istruttorie dell’Autorità.

Ne è derivata la dichiarazione di illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR e degli artt. 114 e 157 del Codice privacy. L’Autorità ha escluso che la violazione potesse essere considerata minore, valorizzando natura, gravità e durata della condotta e il grado di responsabilità del titolare.

Sanzione amministrativa pecuniaria

Ai sensi dell’art. 58, par. 2, lett. i), del GDPR e dell’art. 166 del Codice privacy, il Garante ha irrogato una sanzione amministrativa pecuniaria pari a 6.000 euro.

Nella determinazione dell’importo sono stati considerati, ai sensi dell’art. 83, par. 2, del GDPR:

• la natura, gravità e durata della violazione;
• l’inadempimento dell’obbligo di informare gli interessati;
• il mancato riscontro alle richieste del Garante ex art. 157 del Codice;
• l’omessa attivazione della procedura di garanzia prevista per gli impianti di videosorveglianza nei luoghi di lavoro;
• l’assenza di precedenti specifici;
• la mancata prova delle misure dichiarate nelle difese;
• le condizioni economiche del contravventore, valutate con riferimento al bilancio 2020.

Prescrizioni, termini e ulteriori effetti

Con l’ingiunzione, il Garante ha ordinato alla titolare di:

• conformare il trattamento alle disposizioni richiamate entro 60 giorni dalla ricezione del provvedimento, ove non vi avesse già provveduto, mediante apposizione di idonei cartelli informativi e adempimento della procedura prevista dall’art. 4, comma 1, della legge n. 300/1970;
• pagare la somma di 6.000 euro entro 30 giorni dalla notifica, con avvertimento delle conseguenze esecutive in caso di mancato pagamento.

È stata inoltre richiamata la possibilità, ai sensi dell’art. 166, comma 8, del Codice, di definire la controversia con il pagamento della metà della sanzione entro il termine previsto per il ricorso.

Il provvedimento dispone infine:

• la pubblicazione sul sito internet del Garante;
• l’obbligo per la titolare di comunicare, entro 90 giorni dalla notifica, le iniziative adottate e di fornire riscontro documentato ai sensi dell’art. 157 del Codice, con possibile applicazione della sanzione di cui all’art. 83, par. 5, lett. e), del GDPR in caso di omissione.

Tutela giurisdizionale

Contro il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 del GDPR e degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.