[doc. web n. 9920698]

Provvedimento del 22 giugno 2023

Registro dei provvedimenti
n. 262 del 22 giugno 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il verbale del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza trasmesso a questa Autorità in relazione al controllo effettuato, in data 28.7.22, presso l’impresa individuale “Spaziani Fabrizio” esercente l’attività di commercio al dettaglio di generi di monopolio (tabaccheria), sito in Foligno, Via Via Campagnola 4, con cui è stata accertata la presenza di un impianto di videosorveglianza non conforme alle norme in materia di protezione dei dati personali dotato di 6 telecamere funzionanti, 4 interne e 2 esterne al locale;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’accertamento e l’avvio del procedimento.

L’11.4.2022 è pervenuta una segnalazione relativa alla non conforme installazione di un impianto di videosorveglianza posizionato presso l’impresa individuale “Spaziani Fabrizio” esercente l’attività di commercio al dettaglio di generi di monopolio (tabaccheria), sito in Foligno, Via Campagnola 4, in quanto le telecamere, non segnalate da idonei cartelli informativi, sarebbero state idonee a riprendere una strada vicina all’esercizio commerciale.

In relazione al controllo effettuato dal Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza, in data 28.7.22 è emersa la presenza di un impianto di videosorveglianza dotato di 6 telecamere funzionanti, 4 interne e 2 esterne al locale.

Il verbale redatto in sede di controllo riferisce la mancanza di idonei cartelli informativi circa la presenza delle suddette telecamere, ad eccezione di un solo cartello, posto internamente al locale, peraltro mancante dell’indicazione del titolare e delle finalità del trattamento; veniva inoltre confermato che le telecamere riprendevano anche ampi tratti di strada pubblica, ben oltre gli spazi immediatamente prospicenti il locale commerciale.

Il titolare dell’attività, dichiarava, in sede di accertamento, che le telecamere esterne riprendono “parte dell’area antistante l’esercizio commerciale, l’area dove è posizionato il distributore di bibite, l’area dove è posizionato il distributore di sigarette, nonché, incidentalmente parte della Via Campagnola che incrocia Via Piave”.

Lo stesso ha altresì ammesso che “non sono presenti cartelli informativi relativi alla presenza delle telecamere” e che nell’unico cartello presente presso l’area adibita alla vendita dei prodotti di cartoleria, “non vi sono indicati né il titolare del trattamento né le finalità dello stesso”.

L’Ufficio, pertanto, sulla base degli accertamenti eseguiti, di cui al predetto verbale, provvedeva a notificare l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 5, par. 1, lett. a) e c), 6 e 13 del Regolamento (prot. n. 53455 del 4.10.2022).

Con nota del 19.10.2022, l’Impresa inviava gli scritti difensivi in relazione al procedimento a suo carico, rappresentando di aver apportato “tutte le modifiche e correzioni” all’impianto di videosorveglianza installato presso il proprio esercizio commerciale, specificando, in particolare, di aver apposto idonei cartelli informativi circa la presenza delle telecamere e di aver ridotto l’angolo di visuale delle telecamere esterne, producendo documentazione fotografica a sostegno delle dichiarazioni rese. 

2. Il quadro giuridico del trattamento effettuato

L’utilizzo di sistemi di videosorveglianza può determinare, in relazione al posizionamento delle telecamere e alla qualità delle immagini riprese, un trattamento di dati personali. Tale trattamento deve essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento e, in particolare, del principio di trasparenza che presuppone che “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”.

A questo scopo quindi il titolare del trattamento deve apporre idonei cartelli informativi secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza - 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità).

Analogamente le Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video, punto 7) specificano che “Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello).

Nelle linee guida si prevede inoltre che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”. Le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi) “per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

Infine, in base alle disposizioni del provvedimento generale in materia di videosorveglianza dell’8 aprile del 2010 nel caso di ripresa di aree esterne ad edifici ed immobili il trattamento deve avvenire “con modalità tali da limitare l’angolo visuale all’area effettivamente da proteggere, evitando la ripresa di luoghi circostanti e di particolari non rilevanti (vie, edifici, esercizi commerciali, istituzioni ecc.)” (si veda, in particolare, il punto 6.2.2.1 del provvedimento).

3. L’esito dell’istruttoria e del procedimento sanzionatorio.

Sulla base dell’accertamento effettuato, è emerso che l’impianto di videosorveglianza, installato presso l’Impresa era attivo e funzionante e che riprendeva anche la strada pubblica, oltre quanto strettamente necessario rispetto alle aree di pertinenza, senza che peraltro fossero apposti idonei cartelli informativi circa l’effettuazione del trattamento dei dati personali delle persone che entravano nel raggio di ripresa delle telecamere.

Pertanto, nel caso di specie, risulta comprovato in atti che la parte ha effettuato un trattamento di dati personali, per mezzo di un impianto di videosorveglianza, in contrasto con quanto stabilito dall’art. 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento.

Nel caso di specie, risulta altresì comprovata l’idoneità delle telecamere di riprendere anche una consistente parte della strada pubblica antistante l’esercizio commerciale (come anche confermato dalla parte in sede di accertamento ispettivo); pertanto il trattamento risulta effettuato, con riferimento agli ambiti eccedenti, in violazione dei principi generali di cui all’art. 5, par. 1, lett. a) del Regolamento in ragione del mancato rispetto delle citate prescrizioni di cui al provvedimento generale in materia di videosorveglianza.

4. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla società per mezzo dell’impianto di videosorveglianza, in assenza dell’informativa di cui all’art. 13 del Regolamento. 

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento, nonché la responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati;

l’assenza di precedenti specifici a carico della società relativi a violazioni della disciplina in materia di protezione dei dati personali;

la circostanza che l’Impresa ha cooperato con l’Autorità nel corso del procedimento dando dimostrazione di aver adempiuto agli obblighi di legge limitando l’angolo di visuale delle telecamere esterne e predisponendo cartelli informativi conformi alla normativa.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.000,00 (mille) per la violazione dell’art. 5, par. 1, lett. a) e 13 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato dall’Impresa attraverso l’utilizzo del sistema di videosorveglianza installato presso la medesima impresa, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lett. a) e 13 del Regolamento;

ORDINA

all’impresa individuale “Spaziani Fabrizio”, P.I. 03594950549, con sede in Foligno, Via Campagnola 4, di pagare la somma di euro 1.000,00 (mille) a titolo di sanzione amministrativa pecuniaria per le violazioni sopra descritte;

INGIUNGE

quindi alla stessa Impresa di pagare la somma di euro 1.000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 22 giugno 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi