Ordinanza ingiunzione o revoca n. 139 del 07/03/2024

Videosorveglianza illecita in un pubblico esercizio per omessa informativa e mancata previa autorizzazione

Il Garante ha dichiarato l’illiceità del trattamento di dati personali effettuato dalla titolare del pubblico esercizio "Rocky Bar" di Montescaglioso, in relazione a un impianto di videosorveglianza installato all’interno del locale. Il procedimento è scaturito da un controllo della Questura di Matera e si è concluso con l’irrogazione di una sanzione amministrativa pecuniaria e con la pubblicazione del provvedimento sul sito dell’Autorità.

Origine del procedimento e accertamenti

La Squadra Amministrativa della Divisione P.A.S.I. della Questura di Matera, con nota dell’11 novembre 2022, ha trasmesso il verbale di un controllo effettuato il 29 ottobre 2022 presso l’esercizio commerciale. Dall’accertamento risultavano:

• un impianto di videosorveglianza con 2 telecamere funzionanti, collocate all’interno del locale;
• un monitor posizionato in un locale/deposito attiguo per la visione delle riprese;
• l’assenza di cartelli informativi, sia all’interno sia all’esterno del locale;
• la mancanza dell’autorizzazione dell’Ispettorato del lavoro o dell’accordo sindacale previsto dall’art. 4 della l. 20 maggio 1970, n. 300.

Avvio del procedimento e difese

Esaminati gli atti, l’Ufficio ha avviato il procedimento ai sensi dell’art. 166, comma 5, del Codice per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

La titolare ha poi sostenuto che, successivamente al controllo:

• erano stati apposti cartelli informativi idonei;
• era stata ottenuta, in data 28 novembre 2022, l’autorizzazione all’installazione delle telecamere da parte dell’Ispettorato territoriale del lavoro di Potenza-Matera.

Quadro normativo richiamato

Il Garante ha ricordato che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali e deve rispettare i principi dell’art. 5 GDPR, in particolare il principio di trasparenza. In materia di informativa, ha richiamato l’art. 13 GDPR e il provvedimento generale dell’8 aprile 2010 sulla videosorveglianza, nonché le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati, secondo cui le informazioni essenziali devono essere rese già sul segnale di avvertimento, in modo visibile, intelligibile e leggibile.

Per i trattamenti nell’ambito del rapporto di lavoro, l’Autorità ha richiamato:

• l’art. 88 GDPR;
• l’art. 114 del Codice privacy;
• l’art. 4 della l. n. 300/1970, che consente impianti dai quali possa derivare anche controllo a distanza dei lavoratori solo per esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale, e soltanto previa intesa sindacale o autorizzazione amministrativa.

È stato inoltre richiamato l’art. 83, par. 5, lett. d), GDPR per la sanzionabilità della violazione, nonché l’art. 171 del Codice per il profilo penalmente rilevante della mancata osservanza dell’art. 4 dello Statuto dei lavoratori.

Valutazione del Garante

Dall’istruttoria è emerso che, al momento del controllo:

• le telecamere erano attive e funzionanti;
• non vi erano idonei cartelli informativi;
• il sistema non risultava ancora installato nel rispetto della cornice di garanzie prevista per il controllo a distanza dei lavoratori.

Il Garante ha quindi ritenuto comprovato un trattamento di dati personali effettuato:

• in assenza della prescritta informativa, in violazione dell’art. 13 GDPR;
• senza il previo rispetto della disciplina speciale di settore, in violazione dell’art. 114 del Codice privacy, in relazione all’art. 4 della l. n. 300/1970.

Illiceità del trattamento e criteri sanzionatori

L’Autorità ha dichiarato l’illiceità del trattamento ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR.

Nella determinazione della sanzione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• natura, gravità e durata della violazione;
• responsabilità connessa all’omesso adempimento informativo;
• assenza di precedenti specifici;
• successiva regolarizzazione documentata dalla parte;
• condizioni economiche del contravventore, valutate con riferimento al bilancio di esercizio 2023.

Il Garante ha ritenuto che la violazione non potesse essere qualificata come "minore" e ha determinato la sanzione in euro 2.000,00, ritenuta proporzionata, effettiva e dissuasiva.

Dispositivo

Il provvedimento ha disposto:

• la dichiarazione di illiceità del trattamento effettuato mediante il sistema di videosorveglianza del "Rocky Bar";
• l’ordine di pagamento della sanzione amministrativa pecuniaria di euro 2.000,00;
• il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019.

Tutela giurisdizionale

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.