Provvedimento del 20 giugno 2024

Registro dei provvedimenti
n. 382 del 20 giugno 2024

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il verbale del Comando dei Carabinieri per la tutela del lavoro di Ferrara trasmesso con nota del 16.11.2022, il quale riferisce un controllo, effettuato in data 16.11.2022, presso la sede operativa di “Max & Mix Ferrara s.r.l.”, sita in Ferrara, Via Darsena 77/C, con cui è stata accertata la presenza, presso la suddetta Società, di un impianto di videosorveglianza, composto da 32 telecamere (28 interne e 4 esterne), funzionanti e non segnalate da opportuni cartelli informativi;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento.

Con nota del 23.1.2023, il Comando dei Carabinieri per la tutela del lavoro di Ferrara trasmetteva a questa Autorità il verbale del controllo, effettuato in data 16.11.2022, presso “Max & Mix Ferrara s.r.l.” (di seguito, la “Società”) con sede operativa in Ferrara, Via Darsena 77/C, con cui è stata accertata la presenza, presso la suddetta Società, di un impianto di videosorveglianza, composto da 32 telecamere (28 interne e 4 esterne), funzionanti e non segnalate da opportuni cartelli informativi.

Dall’esame degli atti emergeva che la presenza dell’impianto non risultava adeguatamente segnalata mediante la collocazione di idonei cartelli informativi.

L’Ufficio, con raccomandata del 16.5.2023 (prot. n. 77839), all’indirizzo della sede legale della Max & Mix Ferrara, ha inviato, una prima comunicazione di avvio del procedimento sanzionatorio nei confronti della stessa, (tornata al mittente con la dicitura “sconosciuto”) ed una seconda comunicazione, con nota inviata in data 8.9.2023 (prot. n. 125842), all’indirizzo PEC della Società, in relazione alla violazione degli artt. 5 par. 1, lett. a) e 13 del Regolamento.

Con nota pervenuta il 10.10.2023, la Società inviava scritti difensivi rappresentando:

– di essere “incorsa nella presente infrazione in tutta buona fede”;
– di avere appaltato i lavori di installazione dell’impianto di videosorveglianza alla società Verdeblu Costruzioni s.r.l.s., la quale aveva “certificato di aver eseguito i lavori a norma di legge”.

In allegato alla suddetta nota, la Società ha prodotto copia dell’atto di autorizzazione all’installazione dell’impianto di videosorveglianza presso la propria sede operativa da parte dell’Ispettorato Territoriale del Lavoro di Ferrara-Rovigo (provv. n. 1741/2023 del 13.3.2023).

2. Il quadro giuridico del trattamento effettuato

L’utilizzo di sistemi di videosorveglianza può determinare, in relazione al posizionamento delle telecamere e alla qualità delle immagini riprese, un trattamento di dati personali. Tale trattamento deve essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento e, in particolare, del principio di trasparenza che presuppone che “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”.

A questo scopo quindi il titolare del trattamento deve apporre idonei cartelli informativi secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza – 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità).

Analogamente le Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video, punto 7) specificano che “Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello). Nelle linee guida si prevede inoltre che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”. Le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi) “per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

3. L’esito dell’istruttoria e del procedimento sanzionatorio.

Sulla base dell’accertamento effettuato è emerso che l’impianto di videosorveglianza, installato presso la sede operativa di Max & Mix Ferrara s.r.l. sita in Ferrara, Via Darsena 77/C, era attivo e funzionante e che non risultava essere stato apposto alcun cartello recante l’informativa di cui all’art. 13 del Regolamento.

Nel caso di specie, risulta pertanto comprovato che è stato effettuato un trattamento di dati personali, per mezzo di un impianto di videosorveglianza, in assenza della prescritta informativa.

Tale condotta si pone in contrasto con quanto stabilito dall’art. 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Il trattamento dei dati personali effettuato dalla Società risulta pertanto illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) (principio di trasparenza) e 13 (informativa) del Regolamento.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione, del grado di responsabilità e della maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. cons. 148 del Regolamento).

All’esito dell’istruttoria e accertata l’illiceità della condotta come sopra descritta, deve:

– ingiungersi al titolare del trattamento, ai sensi dell’art. 58 par. 2 lett. d) del Regolamento, di procedere all’applicazione di idonei cartelli recanti le informazioni sul trattamento come indicato al punto 2 del presente provvedimento.
– adottarsi un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento per l’applicazione di una sanzione amministrativa pecuniaria.

5. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla società per mezzo dell’impianto di videosorveglianza, di cui è risultata accertata l’illiceità, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a), 13 del Regolamento e all’art. 114 del Codice.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

– con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento, nonché la responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati;

– l’assenza di precedenti specifici a carico della società relativi a violazioni della disciplina in materia di protezione dei dati personali;

– la circostanza che la Società, titolare del trattamento, seppure ha inviato scritti difensivi, non ha dato dimostrazione di aver adempiuto all’obbligo di legge relativo all’apposizione di idonei cartelli informativi.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate con riferimento al bilancio di esercizio per l’anno 2023.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila) per la violazione degli artt. 5 e 13 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato dalla Max & Mix Ferrara s.r.l. attraverso l’utilizzo del sistema di videosorveglianza installato presso la propria sede operativa sita in Ferrara, Via Darsena 77/C, nei termini di cui in motivazione, per la violazione degli artt. 5 e 13 del Regolamento;

ORDINA

alla Max & Mix Ferrara s.r.l. P.I. 12203950964, con sede legale in Cinisello Balsamo, Via Libertà 69, di pagare la somma di euro 5.000,00 (cinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

alla medesima Max & Mix Ferrara s.r.l. di conformare, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, il trattamento dei dati posto in essere alle disposizioni del Regolamento, con riferimento all’apposizione, laddove non vi abbia già provveduto, di idonei cartelli informativi della presenza delle telecamere;

quindi alla stessa Max & Mix Ferrara s.r.l. di pagare la somma di euro 5.000,00 (cinquemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 giugno 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei