[doc. web n. 9718901]

Ordinanza ingiunzione nei confronti di Farpa s.r.l. - 16 settembre 2021

Registro dei provvedimenti
n. 330 del 16 settembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTA l’annotazione del 3 maggio 2019 inviata al Garante dalla Stazione dei Carabinieri di Ambrogio (FE), concernente il trattamento di dati personali effettuato attraverso un impianto di videosorveglianza installato dalla società Farpa s.r.l. presso le strutture socio-assistenziali casa famiglia “La Perla” e “Zaffiro”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. L’accesso ispettivo effettuato dai Carabinieri di Ambrogio (FE) e l’istruttoria del Dipartimento.

1.1. La Stazione dei Carabinieri di Ambrogio (FE) ha inviato a questa Autorità, in data 3 maggio 2019, l’annotazione relativa all’accesso ispettivo effettuato il 13 marzo 2019 presso le strutture socio-assistenziali casa famiglia “La Perla” e “Zaffiro” gestite dalla società Farpa s.r.l., (di seguito, la società), nel corso del quale è stato accertato che il sistema di videosorveglianza installato presentava delle caratteristiche difformi da quanto autorizzato dal provvedimento dell’Ispettorato Territoriale di Ferrara-Rovigo del 26 maggio 2017. In particolare è stato accertato che: le telecamere installate registravano anche l’audio ed erano state collocate in posizione diversa da quella autorizzata, tanto da riprendere i letti presenti nelle strutture; non era stato dato corretto adempimento all’obbligo di fornire l’informativa agli interessati (ospiti e familiari della struttura, personale operante all’interno della struttura); il sistema serviva per consentire, all’operatore del piano terra, di poter controllare gli ospiti del primo piano dalle ore 20 alle ore 8; né all’esterno né all’ingresso delle due strutture erano presenti cartelli informativi.

In data 2 agosto 2019 l’Autorità ha invitato la società a fornire chiarimenti in merito ai trattamenti effettuati attraverso il sistema di videosorveglianza e il 24 agosto 2019 la società ha dichiarato che:

a. “la «Casa Famiglia» è una «struttura di tipo familiare, caratterizzata da bassa intensità assistenziale, che accoglie fino a un massimo di 6 utenti e destinata ad una utenza composta da anziani, disabili, adulti in difficoltà […]” (v. nota del 24.8.2019, p. 2);

b. “quanto ai dati raccolti dal sistema audio-video di sorveglianza, questi seppur registrati su supporto hard disk, non venivano mai utilizzati o trattati in alcuna maniera. Infatti, il sistema sovrascriveva, in maniera automatica, sulle immagini precedenti, in base alla capienza del disco rigido, di tal ché quanto già registrato veniva cancellato per dar spazio alle nuove immagini” (v. nota cit., p. 3);

c. “la finalità dell’installazione del sistema di telecamera era solo quello di videosorveglianza, per la sicurezza: con volontà deterrente per eventuali maleintenzionati, al fine di identificare gli stessi. […] il monitor installato all’interno della saletta degli operatori addetti all’assistenza, rappresentava altresì, sul piano pratico, uno strumento idoneo a visionare quanto accadeva in altre stanze, per rendersi conto se vi fossero anomalie” (v. nota cit., p. 3);

d. “F.A.R.p.A. srl […], si affidava alle cure di una società che si vanta di essere esperta del settore. Solo col senno del poi, forse non si rivelava tale, tanto che dai controlli emergevano anomalie nella posa delle telecamere (montaggio delle stesse in punti diversi da quelli autorizzati) e la cartellonistica fornita risultava insufficiente, nonostante le rassicurazioni che l’impianto e i cartelli fossero a norma di legge, come da dichiarazione di conformità rilasciata al collaudo dei lavori” (v. nota cit., p. 3);

e. “dalla data 13/03/2019 e del sequestro penale, da parte dei Carabinieri di Ambrogio (FE), non è più presente alcun sistema di video sorveglianza delle strutture, nemmeno è intenzione della società F.A.R.p.A. srl di provvedere a nuova installazione […] Inoltre a far data dal 15/04/2019 al fine di evitare ulteriori fraintendimenti […], il [legale rappresentante] ne comunicava la sospensione all’Unione dei Comuni Terre e Fiumi” (v. nota cit., p. 4);

f. “non è più presente un sistema di captazione delle immagini ed audio nei locali interessati, sia per il sequestro penale degli strumenti e sia per la sospensione dell’attività” (v. nota cit., p. 4);

g. “in precedenza il sistema funzionava 24 ore” (v. nota cit., p. 4).

1.2. In data 8 gennaio 2020 l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla società delle presunte violazioni del Regolamento riscontrate, in particolare con riferimento agli artt. 5, par. 1, lett. a), 13, 88 del Regolamento e all’art. 114 del Codice.

In data 9 luglio 2020, presso la sede del Garante, si è svolta l’audizione della società, la quale ha rappresentato che:

a. “poiché la struttura si trova in un ambiente isolato, in cui si sono verificati anche tentativi di scasso e furto, al fine di dare sicurezza agli ambienti e agli ospiti della struttura, [si è] ritenuto necessario provvedere all’installazione dell’impianto di videosorveglianza, già nel 2017, affidando[si] a una società esperta nel settore […] a cui è stato chiesto un certificato di conformità”;

b. “nel corso del 2019 la società è stata sottoposta a diversi controlli da parte delle Forze di polizia e, in particolare, in una circostanza il Comando dei Carabinieri ha evidenziato alcune irregolarità nel sistema di videosorveglianza, provvedendo immediatamente al sequestro delle videocamere. Contemporaneamente […] è stato notificato [al legale rappresentante della società] un verbale di contestazione per violazione dell’art. 4 dello Statuto dei lavoratori […] che [si è] provveduto a oblare”;

c. “le telecamere, a fronte [dei controlli effettuati dai Carabinieri] non sono state più attivate e [si] rit[iene] di non doverne più fare uso”; “le immagini non sovrascritte al momento del funzionamento del sistema sono state distrutte”;

d. “il personale infermieristico e di assistenza non sono dipendenti di Farpa ma di [diversa società].

Ciò tuttavia, erano stati informati della presenza delle telecamere tramite i cartelli e sulla base delle indicazioni fornite dalla società [che ha installato il sistema di videosorveglianza]”;

e. “l’asserita violazione relativa all’errato posizionamento delle videocamere rispetto a quanto risultava dall’autorizzazione dell’Ispettorato non è certo riconducibile a Farpa, bensì alla società che materialmente ha provveduto all’installazione”;

f. la società ha agito in “buona fede e [in assenza di] dolo e colpa”, “nessuno dei trattamenti è oggi effettuato mediante le videocamere”.

2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi. Violazioni accertate.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”), emerge che la società ha fatto installare ed ha utilizzato un impianto di videosorveglianza, con specifiche caratteristiche non conformi a quanto prescritto nell’autorizzazione rilasciata dalla Direzione Territoriale del Lavoro di Ferrara-Rovigo sede di Ferrara con provvedimento n. 274/17 del 26 maggio 2017 né, più in generale, alla disciplina in materia di protezione dei dati personali. In particolare è emerso che: le telecamere del sistema di videosorveglianza sono state posizionate in modo differente rispetto a quanto autorizzato dall’Ispettorato; non è stato correttamente adempiuto l’obbligo di informativa nei confronti degli interessati (tra i quali anche lavoratori) considerato che è stata accertata l’assenza di informativa in merito al trattamento dei dati attraverso il sistema di videosorveglianza. Si rileva inoltre che era prevista la registrazione dell’audio, sebbene all’interno dell’autorizzazione rilasciata dall’Ispettorato del lavoro fosse stato precisato che “non sono consentite intercettazioni e/o registrazioni audio”.

In proposito, preliminarmente, con riferimento alla dichiarazione di Farpa s.r.l. di essere esente da responsabilità, considerate le rassicurazioni ricevute dalla società che si è occupata dell’installazione del sistema di videosorveglianza, si precisa che, in base all’art. 4, par. 1 del Regolamento (punto 7), il titolare del trattamento è “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali”. Ciò considerato, Farpa s.r.l. è il soggetto che riveste il ruolo di titolare del trattamento effettuato per mezzo del sistema di videosorveglianza installato e in uso, fino all’accertamento dei Carabinieri del 13 marzo 2019, presso le case-famiglia “La Perla” e “Zaffiro”.

Si precisa, inoltre, che i trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt. 6, par. 1, lett. c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, e, in particolare, del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore se del caso applicabili (art. 5, par. 1, lett. a) del Regolamento). Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori. Il legislatore nazionale ha approvato, quale disposizione più specifica, l’art. 114 del Codice che, tra le condizioni di liceità del trattamento, ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300. La violazione del richiamato art. 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. d) del Regolamento.

In base al richiamato art. 4, l. n. 300 del 1970 gli apparati di videosorveglianza “dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e l’installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo se preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro. L’attivazione e la conclusione di tale procedura di garanzia - con il conseguente rispetto stesso dell’accordo o dell’autorizzazione - è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. art. 171 del Codice).

Nel caso di specie la società, dopo avere presentato istanza ed aver ottenuto l’autorizzazione dell’Ispettorato del lavoro all’installazione del sistema di videosorveglianza, non si è attenuta a quanto in essa prescritto, installando un sistema di videosorveglianza con caratteristiche difformi da quanto autorizzato.

La condotta tenuta dalla data di installazione e attivazione del sistema di videosorveglianza e fino alla sua disinstallazione, a seguito dell’accertamento dei Carabinieri, configura, pertanto, la violazione del principio di liceità del trattamento (art. 5, par. 1, lett. a) del Regolamento in relazione all’art. 114 del Codice) e dell’art. 88 del Regolamento quanto alla disciplina applicabile in materia (v. Provv. 15 aprile 2021, n. 136, in www.garanteprivacy.it, doc. web n. 9586936; Provv. 29 ottobre 2020, n. 213, doc. web n. 9518849).

Con riferimento alla non meglio precisata dichiarazione della società, fornita in sede di audizione, secondo cui il personale infermieristico e di assistenza impiegato non sarebbe dipendente di Farpa s.r.l., ma di società terza, con la quale Farpa s.r.l. avrebbe stipulato un contratto di appalto, con riferimento al tempo dell’accertamento ispettivo, ciò risulta in contrasto con quanto accertato dalle forze dell’ordine e con l’attivazione, da parte di Farpa s.r.l., della procedura di cui all’art. 4 della l. 20 maggio 1970, n. 300 per ottenere l’autorizzazione all’installazione di un sistema di videosorveglianza presentata all’Ispettorato territoriale di Ferrara-Rovigo in data 5 maggio 2017, con integrazioni del 25 maggio 2017. La copia del contratto di appalto per servizi in atti, inoltre, risulta firmata esclusivamente dalla società terza, mancando la sottoscrizione del legale rappresentante di Farpa s.r.l.; tale contratto, inoltre, non contiene indicazioni precise in merito al servizio oggetto di appalto né informazioni a supporto di quanto dichiarato dalla società che non risulta dunque adeguatamente comprovato in atti.

Il non avere rispettato, altresì, l’obbligo di fornire un’adeguata informativa agli interessati (ospiti della struttura assistenziale, parenti degli ospiti, dipendenti) in merito al trattamento effettuato attraverso l’impianto di videosorveglianza costituisce violazione di quanto disposto dall’art. 13 del Regolamento: in base a tale norma il titolare è tenuto a fornire preventivamente all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento. In particolare, per quanto riguarda l’installazione di un impianto di videosorveglianza, il Garante ha indicato le condizioni di liceità dei trattamenti di dati personali effettuati mediante sistemi di videosorveglianza con il provvedimento di carattere generale dell’8 aprile 2010 (pubblicato in G.U. n. 99 del 29 aprile 2010, doc. web n. 1712680).

Nell’ambito del rapporto di lavoro, come confermato dal costante orientamento dell’Autorità, l’obbligo di informare il dipendente è, altresì, espressione del principio generale di correttezza (v. art. 5, par. 1, lett. a) del Regolamento).

La società, in ogni caso, ha dichiarato che dall’attività ispettiva effettuata dalla Stazione dei Carabinieri di Ambrogio “le telecamere […] non sono state più attivate” e che non effettua più alcun trattamento tramite il sistema di videosorveglianza.

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che non risultino pertanto idonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dalla società attraverso il sistema di videosorveglianza risulta, infatti, illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a), 13, 88 del Regolamento e 114 del Codice.

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento, alla luce delle circostanze del caso concreto, si dispone una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice)

All’esito del procedimento risulta che Farpa s.r.l. ha violato gli artt. 5, par. 1, lett. a), 13, 88 del Regolamento e 114 del Codice. Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a. con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare, è stata presa in considerazione la condotta della società e il grado di responsabilità della stessa che non si è conformata alla disciplina in materia di protezione dei dati relativamente a una pluralità di disposizioni;

b. l’assenza di precedenti specifici a carico della società;

c. la cooperazione della società con l’Autorità al fine di porre rimedio alla violazione e attenuarne gli effetti negativi.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate con riferimento al bilancio di esercizio per l’anno 2019 rispetto al quale la società ha registrato una perdita d’esercizio. Ai fini della quantificazione della sanzione si tiene conto, inoltre, che il legale rappresentante di Farpa s.r.l., all’esito del procedimento avviato in sede penale, in base all’art. 171 del Codice, ha già provveduto a pagare per la violazione di cui all’art. 4, comma 2 della l. 20.5.1970, n. 300 in relazione all’art. 114 del Codice, una somma pari al quarto del massimo dell’ammenda stabilita. Da ultimo si tiene conto dell’entità delle sanzioni irrogate anche recentemente in casi analoghi.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Farpa s.r.l. la sanzione amministrativa del pagamento di una somma pari ad euro 1.000,00 (mille).

In tale quadro si ritiene, altresì, in considerazione della natura e della gravità delle violazioni accertate, che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito Internet del Garante.

Si ritiene, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

rileva l’illiceità del trattamento effettuato da Farpa s.r.l., in persona del legale rappresentante, con sede legale in via I Maggio 50/b, in Copparo (FE), C.F. 01883060384, ai sensi dell’art. 143 del Codice, per la violazione degli artt. 5, par. 1, lett. a), 13 e 88 del Regolamento e art. 114 del Codice;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i), del Regolamento a Farpa s.r.l., in persona del legale rappresentante, con sede legale in via I Maggio 50/b, in Copparo (FE), C.F. 01883060384, di pagare la somma di euro 1.000,00 (mille) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi, alla medesima Società di pagare la predetta somma di euro 1.000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019, e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 16 settembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi