[doc. web n. 9970864]

Provvedimento del 30 novembre 2023

Registro dei provvedimenti
n. 559 del 30 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento dal sig. XX nei confronti di Fondazione Ospedale Poveri Infermi;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo nei confronti della Fondazione e l’attività istruttoria.

In data 21 luglio 2020, il sig. XX ha presentato un reclamo all’Autorità, nei confronti di tre soggetti, tra cui la Fondazione Ospedale Poveri Infermi (già Ospedale Poveri Infermi, di seguito Fondazione), con regolarizzazione del 17 agosto 2020, lamentando presunte violazioni del Regolamento, con riferimento all’esercizio del diritto di accesso di cui all’art. 15 del Regolamento relativamente a un video che lo ritraeva, effettuato tramite il sistema di videosorveglianza perimetrale della Fondazione.

In particolare, per quanto riguarda la Fondazione, è stata lamentata la violazione degli artt. 12 e 15 del Regolamento per avere fornito un inidoneo riscontro all’istanza di accesso presentata in data 10 luglio 2020 dal reclamante.

In data 1° ottobre 2020, il Dipartimento ha inviato un invito a fornire riscontro alla Fondazione in merito a quanto lamentato con il reclamo. In pari data l’Autorità ha comunicato al reclamante l’archiviazione del reclamo nella parte relativa a Kabansystem s.n.c. in quanto non sono stati ravvisati gli estremi di una violazione della disciplina rilevante in materia di dati personali.

L’8 ottobre 2020, quindi dopo l’apertura del procedimento, il reclamante ha presentato un ulteriore reclamo nei confronti, tra l’altro, della Fondazione, deducendo ulteriori doglianze, in relazione alla medesima vicenda già oggetto del primo reclamo.

Infatti, con il secondo reclamo, è stata lamentata l’illiceità del trattamento del video oggetto di istanza di accesso ed è stata chiesta la dichiarazione di inutilizzabilità dei dati personali relativi al reclamante.

Per quanto riguarda l’istruttoria svolta nei confronti della Fondazione, in data 4 novembre 2020, la Fondazione ha presentato il proprio riscontro. In tale occasione la Fondazione ha dichiarato che:

- la Fondazione “gestisce da sempre la casa di riposo di Strambino ed è una «fondazione di diritto privato risultante dalla trasformazione della omonima IPAB» a norma dell’articolo 28 della legge regionale piemontese 12/2017” (v. nota 4.11.2020 cit., p. 1);

- “la gestione operativa della casa di riposo, fino alla fine del 2019, era affidata alla cooperativa Kursana che, in piena autonomia, si occupava di tutta l’attività. La Fondazione manteneva per sé alcune competenze di carattere esclusivamente amministrativo per la gestione del proprio personale impiegatizio” (v. nota cit., p. 1);

- “l’edificio nel quale è sita la casa di riposo è di proprietà della Fondazione, ma era gestito in toto dalla cooperativa che lo occupava operativamente per la gestione dell’attività della casa di riposo. Nell’edificio è sita la casa di riposo, la sede legale e amministrativa della nostra Fondazione presso la quale operano i pochi impiegati alle sue dipendenze, la sede operativa locale della cooperativa Kursana presso la quale operano i suoi rappresentanti apicali e i suoi dipendenti” (v. nota cit., p. 1);

- “l’edificio è protetto da un impianto di videosorveglianza installato […] nel settembre 2018. Impianto è corredato di tutta la cartellonistica e gli avvisi previsti dalla normativa vigente […] e venne installato dalla Fondazione con il precipuo fine di salvaguardare la sicurezza perimetrale attraverso il monitoraggio degli spazi” (v. nota cit., p. 1);

- “in ragione del fatto che l’edificio protetto dall’impianto di videosorveglianza è di proprietà della […] fondazione ma era gestito dalla cooperativa che vi esercitava l’attività aziendale di conduzione della casa di riposo, è evidente che l’impianto di videosorveglianza era centralizzato e integrato ed era posto a tutela dei locali e delle attrezzature, sia della nostra Fondazione sia della Cooperativa” (v. nota cit., p. 2);

- “con accordo quadro ai sensi dell’articolo 4 dello Statuto dei Lavoratori stipulato tra la nostra Fondazione e le rappresentanze sindacali aziendali RSA in data 12 luglio 2018, posto che la necessità di installazione dell’impianto per esigenze di sicurezza dei luoghi di lavoro e di tutela del patrimonio aziendale poteva […] comportare in via accidentale o indiretta la possibilità di controllo dei lavoratori dipendenti della fondazione, si è disciplinata l’installazione e la gestione dell’impianto” (v. nota cit., p. 2);

- “in ossequio a questo accordo, i titolari di un diritto d’accesso sono senz’altro i lavoratori dipendenti della nostra fondazione e i loro rappresentanti sindacali” (v. nota cit., p. 2);

- “le telecamere sono custodite in un armadio con doppia chiave e alle stesse potevano accedervi con una doppia password il Direttore di struttura e la rappresentante dei lavoratori” (v. nota cit., p. 2);

- il reclamante “era dipendente della cooperativa Kursana” (v. nota cit., p. 2);

- “il suo eventuale comparire in una videoripresa in quel particolare giorno è stato […] evento del tutto casuale, occasionale e non meritevole di attenzione da parte della Fondazione” (v. nota cit., p. 2);

- “fu perciò che quel video venne estrapolato dai tecnici e consegnato alla cooperativa […]. Si trattava semplicemente di un video che riprendeva il perimetro esterno dell’edificio condiviso con la cooperativa, richiesto dalla cooperativa medesima” (v. nota cit., p. 3);

- “la […] Fondazione non è più in possesso della videoripresa, essendo stata cancellata in automatico entro le 24 ore. E non lo era quando l’attuale reclamante gliene fece richiesta, come divenne immediatamente spiegato nella corrispondenza tra il suo legale e il legale incaricato dalla nostra fondazione” (v. nota cit., p. 3);

- “per quanto a conoscenza della […] Fondazione, la cooperativa Kursana potrebbe essere l’unico soggetto in possesso del documento video o delle immagini fotografiche estrapolate dal video medesimo” (v. nota cit., p. 3);

- “queste circostanze vennero immediatamente rappresentate ai legali del [reclamante] che avevano fatto richiesta di copie del video” (v. nota cit., p. 3);

- “posto che la videoripresa in questione è datata 9/08/2019, risultava già stata eliminata dal sistema al momento della richiesta da parte [del reclamante]” (v. nota cit., p. 3).

Nel corso del procedimento, il reclamante ha inviato una pluralità di controdeduzioni e ulteriori precisazioni (in data 10 novembre 2020, in data 24 maggio 2021 e il 26 giugno 2021).

In data 13 marzo 2023, l’Autorità, dopo avere svolto un’istruttoria anche nei confronti di Kursana Piemonte s.c.s., ha comunicato l’archiviazione del reclamo nella parte relativa a quest’ultima.

In data 13 marzo 2023, è stata invece inviata una richiesta di informazioni, ai sensi dell’art. 157 del Codice, alla Fondazione che, in data 24 marzo 2023, ha rappresentato che:

- “chi […] si occupa della amministrazione e direzione della Fondazione è un volontario […] la vera attività, quella di gestire la casa di riposo e occuparsi degli anziani, naturalmente lavoro da professionisti del settore ed è per questo che la Fondazione la dà in appalto o in concessione o in affitto a gestori o a soggetti privati specialisti come era la cooperativa Kursana” (v. nota 24.3.2023 cit., p. 1);

- “l’edificio di proprietà della Fondazione era utilizzato in toto dalla Cooperativa Kursana che lo occupava totalmente con il proprio personale e con 6 OSS dipendenti della fondazione in distacco funzionale, restando nella disponibilità della Fondazione solo 2 impiegate che lavoravano in un unico piccolo ufficio al pianterreno” (v. nota cit., p. 1);

- “quando nella memoria al Garante abbiamo osservato che la cooperativa Kursana «non può essere intesa come una terza estranea bensì come titolare di un interesse», intendevamo rilevare come non si trattasse di un quisque de populo bensì del soggetto che aveva il concreto ed effettivo utilizzo dei locali, che gestiva l’attività, che vi aveva i propri dipendenti, i propri collaboratori” (v. nota cit., p. 1);

- dall’esame del “capitolato d’appalto che disciplina il rapporto contrattuale di gestione tra la nostra fondazione e questa cooperativa” “risulta evidente come la totale gestione dell’attività fosse demandata a Kursana” (v. nota cit., p. 1);

- “la […] Fondazione era un proprietario di locali senza possesso e detenzione, committente di un appalto di gestione che aveva affidato ogni mansione operativa al gestore” (v. nota cit., p. 2);

- “una casa di riposo non può non aver[e un impianto di videosorveglianza], perché dovendo prendersi cura di decine di ospiti molto anziani, con evidenti problemi anche di natura psichica e neurologica, possono verificarsi eventi pericolosi che impongono di avere una possibilità di controllo: un paziente può allontanarsi, può farsi male mentre si trova all’esterno della struttura, malintenzionati possono aggirarsi sui confini, varcarli, insomma tutti i casi della vista che comportano la necessità di videosorvegliare una struttura delicata come quella di cui stiamo parlando” (v. nota cit., p. 2);

- “la vicenda sembra ricondursi ai punti 53-54-55 delle linee guida [3/2019 sul trattamento dei dati personali attraverso dispositivi video]” (v. nota cit., p. 2);

- “al limite, vi si riconduce in via putativa, sulla base del dato della buona fede del personale inesperto della Fondazione che ebbe a maneggiare materiale distante dalle proprie competenze professionali, senza percepirne la rilevanza giuridica che supera la capacità di comprensione dell’uomo medio, del non professionista, e con la incolpevole convinzione che non vi fosse differenza sostanziale tra proprietario dell’impianto di videosorveglianza e suo utente, fondazione nel primo caso e cooperativa nel secondo” (v. nota cit., p. 2);

- “il sistema di videosorveglianza cancella in automatico dopo 24 ore le videoriprese, quindi quella visione venne fatta inevitabilmente in quel lasso di tempo” (v. nota cit., p. 3);

- “in base ai ricordi, senz’altro sfumati, di chi era presente quel giorno, è possibile che di quella videoripresa sia stata tratta una copia su chiavetta USB poi consegnata, a richiesta, alla cooperativa Kursana. Del video, e della chiavetta, la Fondazione non tenne copia […]” (v. nota cit., p. 3).

In relazione a questi aspetti, in data 9 giugno 2023, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Fondazione delle presunte violazioni del Regolamento riscontrate, con riferimento agli artt. 6, 12 e 15 del Regolamento.
In data 27 giugno 2023, la Fondazione ha presentato i propri scritti difensivi nei quali ha dichiarato che:

- la Fondazione “non ha scopo di lucro, non distribuisce utili e dividendi a nessuno, i suoi amministratori lavorano gratis e sono ordinari cittadini di Strambino che prestano la propria attività in favore di quest’opera benefica” (v. nota 27.6.2023 cit., p. 1);

- “la Fondazione manteneva per sé alcune competenze di carattere esclusivamente amministrativo per la gestione del proprio personale impiegatizio” (v. nota cit., p. 1);

- per quanto riguarda “l’elemento soggettivo” si osserva “la marginalità della vicenda. […]. C’è stato forse un errore, probabilmente cagionato da una leggerezza dovuta ad ignoranza di una normativa complessa ([…] la normativa sulla privacy e sulla videosorveglianza […] per questi operatori è un ginepraio nel quale è impossibile districarsi) da parte di soggetti che lavorano per collaborare ad un’impresa benefica. È stato dato un frame di un video a[…] Kursana, […] che alla fin dei conti [è] il vero responsabile dell’utilizzo di quel video per il quale la fondazione non aveva alcun interesse e neppure poteva immaginare l’utilizzo che avrebbe avuto” (v. nota cit., p. 1, 2);

- “se dunque [l]’Autorità dovrà valutare l’esistenza della colp[a] del dolo, il grado della colpa e l’intensità del dolo qualora esistenti, si chiede si tenga conto delle circostanze, dell’unicità della condotta e della situazione nella quale la condotta è stata posta in essere. Se c’è dolo, ma è francamente impossibile emarginarlo, è un dolo di un’intensità così bassa che difficilmente può integrare i requisiti minimali della rappresentazione e della volontà del fatto dell’evento; se c’è colpa, [è] di grado così basso che al limite può integrare la lievissima” (v. nota cit., p. 2);

- con riferimento alla “situazione patrimoniale della fondazione” si osserva come “qualsiasi sanzione, soprattutto se grave e cospicua, mette la Fondazione benefica in condizioni di grave difficoltà: tutto il denaro proveniente dalle rette pagate da alcuni cittadini e da enti pubblici sanitari finisce nella attività di gestione che oggi è affidata ad un nuovo gestore” (v. nota cit., p. 2);

- “la fondazione non ha margini di utile, non distribuisce dividendi a nessuno, neppure i suoi amministratori hanno un emolumento perché sono volontari puri: tutto ciò che resta in cassa viene utilizzato per fare la manutenzione allo storico edificio che ospita la casa di riposo che […] impone una spesa costante” (v. nota cit., p. 2);

- “la vicenda [ha] insegnato alla fondazione l’importanza della tutela dei diritti del pubblico scaturenti dall’utilizzo dell’impianto di videosorveglianza, e l’evento per il quale è l’istruttoria è unico, irripetibile, e non ripetuto” (v. nota cit., p. 2);

- “il nuovo gestore ha un’attenzione assai maggiore del gestore che si occupava della casa di riposo al momento dei fatti, anche con riferimento a queste questioni” (v. nota cit., p. 2).

2. L’esito dell’istruttoria.

2.1. Fatti accertati e osservazioni sulla normativa in materia di protezione dei dati personali.

Premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”, in base agli elementi acquisiti nel corso dell’attività istruttoria (richiamati nel precedente paragrafo 1) nonché delle successive valutazioni di questo Dipartimento, risulta accertato che la Società, in qualità di titolare, ha tenuto una condotta non conforme alla disciplina in materia di protezione dei dati con riferimento all’esercizio del diritto di accesso, non fornendo un idoneo riscontro all’istanza presentata dal reclamante, nonché in quanto ha trasmesso a Kursana Piemonte s.c.s. il video ripreso attraverso il proprio sistema di videosorveglianza in assenza di idonea condizione di liceità del trattamento.

In proposito, si richiama l’art. 12 del Regolamento, da leggere anche in combinato disposto con le norme relative agli specifici diritti riconosciuti dall’ordinamento all’interessato, in base al quale “il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro […]. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovato con altri mezzi l’identità dell’interessato” (par. 1).

Si prevede inoltre che “il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 15 a 22” (par. 2).

Il paragrafo 3 del medesimo articolo precisa che “il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’interessato”.

In base al paragrafo 4 del medesimo articolo, il titolare del trattamento, qualora non ottemperi all’istanza, “informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale”.

L’art. 15 del Regolamento prevede che “l’interessato ha diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali” e a una serie di informazioni indicate nello stesso articolo (par. 1).

Inoltre, in base al par. 3 del medesimo articolo, “il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. […] Se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dall’interessato, le informazioni sono fornite in un formato elettronico e di uso comune” (par. 3).

L’art. 5 par. 1 lett. a) del Regolamento enuncia, tra l’altro, il principio di liceità del trattamento in base al quale i dati devono essere trattati in modo lecito quindi in presenza di una idonea condizione di liceità.

L’art. 6 del Regolamento indica in modo tassativo le condizioni di liceità in presenza delle quali il trattamento dei dati c.d. comuni è lecito ed in particolare dispone che “1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; b) il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso; c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; d) il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica; e) il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento; f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore”.

2.2. Violazioni accertate.

2.2.1. Diritto di accesso.

Nel merito, dagli atti dell’istruttoria si rileva che la Fondazione, a seguito della presentazione dell’istanza di esercizio del diritto di accesso da parte del reclamante in data 10 luglio 2020 e a seguito dell’interlocuzione tra gli avvocati del reclamante e l’avvocato della Fondazione (15.7.2020-23.7.2020), non ha fornito idoneo riscontro con riferimento al trattamento, effettuato in data 9 agosto 2019, mediante il sistema di videosorveglianza installato presso la propria sede.

In particolare, la Fondazione, nonostante le reiterate richieste del reclamante volte, oltre ad accedere al video del 9 agosto 2019 che lo ritraeva, a conoscere, tra l’altro, il tempo di conservazione del video, la data della cancellazione dello stesso, le finalità della conservazione del video, l’indicazione dei “soggetti che possono accedere e che comunque hanno fatto accesso al video”, la base giuridica, la finalità e la data della consegna dello stesso alla Società, a ottenere copia dell’informativa estesa relativamente al sistema di videosorveglianza, si è limitata a fornire informazioni generiche, oltre ad avere precisato di non essere più in possesso della registrazione.

In proposito, è emerso che la Fondazione è titolare del trattamento relativamente al video registrato con il proprio sistema di videosorveglianza in relazione al quale Kursana Piemonte s.c.s. non aveva alcun ruolo, con riferimento alla disciplina di protezione dei dati, tanto che ha dovuto chiedere alla Fondazione stessa di potere avere copia del video.

Il titolare del trattamento, infatti, ai sensi dell’art. 4 (7) del Regolamento è “la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri”.

La Fondazione, quindi, pur riscontrando formalmente nei termini l’istanza di esercizio dei diritti, si è limitata a dichiarare, in proposito, che “Per quanto riguarda la videoripresa, […] la Fondazione non ha informazioni specifiche pur ricordando di aver probabilmente consegnato uno spezzone di video ripresa alla cooperativa Kursana che, avendo una delle sue sedi operative presso l'edificio della casa di riposo, gliene aveva fatto richiesta. L'impianto di videosorveglianza è dotato della cartellonistica di avviso ordinaria e pertanto non si comprende quali ulteriori diritti possa accampare il [reclamante]”; “A memoria degli operatori della fondazione, nessuno ha visionato quel video che, con tutta probabilità, è stato estratto e consegnato alla cooperativa Kursana brevi manu, si ipotizza su supporto quale chiavetta o disco. Nulla ho da dire con riferimento alla finalità di questa consegna, se non che le riprese di quella giornata sono state richieste dalla cooperativa alla fondazione sulla base del fatto che condividevano sede operativa nell'edificio”, “Non esiste alcun dato personale attinente al [reclamante] che sia nella disponibilità della Fondazione, nessun dato personale di questo signore è mai stato raccolto né conservato. Se egli sventuratamente è stato ripreso dalle telecamere di sicurezza si è trattato di una ripresa accidentale e non certo mirata, ferma restando la legittimità dell'installazione del sistema di videosorveglianza”.

La Fondazione, quindi, nel riscontrare l’istanza di accesso presentata dal reclamante, ha fornito informazioni non precise relativamente al trattamento del video effettuato con il proprio sistema di videosorveglianza.

In proposito è emerso che la Fondazione ha trasmesso a Kursana Piemonte s.c.s., a seguito di specifica richiesta di quest’ultima, il predetto video ben oltre il periodo di 24 ore previsto per la conservazione di quanto registrato con il sistema di videosorveglianza installato presso la sua sede e relativamente al quale riveste il ruolo di titolare del trattamento.

In base alla documentazione in atti, infatti, in data 11 settembre 2019, Kursana Piemonte s.c.s. ha chiesto alla Fondazione Ospedale Poveri Infermi di avere copia della registrazione, effettuata con il sistema di videosorveglianza, in data 9 agosto 2019 e la Fondazione, in data 26 settembre 2019, ha fornito riscontro precisando di avere consegnato una copia della registrazione, salvata su chiavetta USB, a uno specifico soggetto incaricato di consegnare la predetta registrazione alla società.

Tra l’altro, la Fondazione, nel dichiarare di non essere più in possesso del video richiesto, non ha neppure, come invece dispone il par. 4 dell’art. 12 del Regolamento, comunicato al reclamante la possibilità di presentare ricorso all’autorità giudiziaria o reclamo al Garante.

La condotta tenuta dalla Fondazione che non ha fornito idoneo riscontro all’istanza di accesso ai dati e alle informazioni relative al trattamento si pone pertanto in contrasto con quanto previsto dagli artt. 12 e 15 del Regolamento.

Il predetto video è stato infine consegnato al reclamante, in data 30 ottobre 2020, dalla società Kursana Piemonte s.c.s.

2.2.2. Principio di liceità del trattamento.

Risulta inoltre accertato che la Fondazione, in qualità di titolare del trattamento effettuato mediante il sistema di videosorveglianza installato presso la propria sede, ha trasmesso il video del 9 agosto 2019 a Kursana Piemonte s.c.s. in assenza di idonea condizione di liceità del trattamento.

La Fondazione, in proposito, nel corso dell’istruttoria, si è limitata, infatti, a dichiarare che “in ragione del fatto che l’edificio protetto dall’impianto di videosorveglianza è di proprietà della […] fondazione ma era gestito dalla cooperativa che vi esercitava l’attività aziendale di conduzione della casa di riposo, è evidente che l’impianto di videosorveglianza era centralizzato e integrato ed era posto a tutela dei locali e delle attrezzature, sia della nostra Fondazione sia della Cooperativa che, per questo verso, non può intendersi come terza bensì come titolare di un diretto interesse alla visione e alla copia di videoriprese a tutela del proprio patrimonio” (v. nota 4.11.2020, p. 2), “Si trattava semplicemente di un video che riprendeva il perimetro esterno dell’edificio condiviso con la cooperativa, richiesto dalla cooperativa medesima che dal punto di vista della finalità dell’impianto video non può essere intesa come una terza estranea bensì come una titolare di un interesse legittimante” (v. nota 4.11.2020, p. 3).

In proposito, non si rinviene, tra quelle individuate dall’art. 6 del Regolamento, un’idonea base giuridica in presenza della quale la Fondazione abbia trasmesso a Kursana Piemonte s.c.s., a seguito di una richiesta di quest’ultima, il video in esame. Kursana Piemonte s.c.s., infatti, per accedere al video oggetto di reclamo ha dovuto chiedere che lo stesso le venisse consegnato dalla Fondazione.

Per quanto riguarda il richiamato, dalla Fondazione, “interesse legittimante” si osserva, in particolare, come il legittimo interesse del titolare (o di terzi) sia previsto dall’art. 6, par. 1, lett. f) del Regolamento, quale condizione di liceità dei trattamenti da parte di soggetti privati, “a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato”, dunque all’esito di un test comparativo effettuato dal titolare. In base a quanto previsto in sede europea dalle autorità di protezione dei dati (v. Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC), il ricorrere di tale condizione di liceità deve essere valutata dal titolare all’esito di una attenta verifica circa la sussistenza, in concreto, dei requisiti richiesti dall’ordinamento, in base ad una metodologia rigorosa, anche e in primo luogo con riferimento alla conformità del trattamento che si intende effettuare al principio di liceità (per l’enunciazione dello stesso principio, seppur con riferimento a diversa fattispecie, v. Provv. n. 137 del 15.4.2021, doc. web n. 9670738 su www.garanteprivacy.it). Elementi che non ricorrono nel caso di specie, tenuto conto anche di quanto previsto dal par. 4 dell’art. 6 del Regolamento.

Pertanto la condotta tenuta dalla Fondazione è stata effettuata in assenza di base giuridica e, quindi, si pone in contrasto con l’art. 6 del Regolamento.

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

La condotta posta in essere dalla Fondazione che è consistita nel fornire un inidoneo riscontro all’istanza di accesso presentata dal reclamante risulta infatti illecita, nei termini su esposti, in relazione agli artt. 12 e 15 del Regolamento, così come la trasmissione a un soggetto terzo del video effettuato con il proprio sistema di videosorveglianza in data 9 agosto 2019 in assenza di idonea condizione di liceità del trattamento risulta in violazione dell’art. 6 del Regolamento, nei termini sopra indicati.

In relazione alla fattispecie in esame, deve osservarsi che l’assenza, allo stato, di precedenti specifici a carico della Fondazione, il carattere episodico della violazione, il numero di interessati coinvolti (pari a uno), costituiscono tutti elementi che, in uno con la natura di Fondazione del titolare, inducono a qualificare l’infrazione come “violazione minore” (art. 83, par. 2, e Considerando 148 del Regolamento). 

Si ritiene, quindi, che, relativamente al caso in esame, occorra ammonire il titolare del trattamento, ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento, per aver fornito un riscontro non idoneo all’istanza di accesso presentata dal reclamante in violazione degli artt. 12 e 15 del Regolamento e per avere comunicato il video registrato con il proprio sistema di videosorveglianza in assenza di base giuridica, quindi in violazione dell’art. 6 del Regolamento, nei termini indicati in motivazione.

Si rappresenta, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Si informa, infine, che come da disposizioni normative e regolamentari dell’Ufficio (art. 154-bis, comma 3, del Codice; art. 37 del Regolamento del Garante n. 1/2019), copia del presente provvedimento verrà pubblicata sul sito web del Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), del Regolamento rileva l’illiceità del trattamento effettuato da Fondazione Ospedale Poveri Infermi, in persona del legale rappresentante, con sede legale in Via Ospedale, 6, Strambino (TO), C.F. 84001790017, descritto nei termini di cui in motivazione, per la violazione degli artt. 6, 12 e 15 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce Fondazione Ospedale Poveri Infermi, quale titolare del trattamento in questione, per avere fornito un inidoneo riscontro all’istanza di accesso presentata dal reclamante in violazione degli artt. 12 e 15 del Regolamento, e per avere trasmesso a un soggetto terzo il video effettuato con il proprio sistema di videosorveglianza in data 9 agosto 2019 in assenza di idonea condizione di liceità del trattamento, quindi, in violazione dell’art. 6 del Regolamento;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 30 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei