Garante per la protezione
    dei dati personali


Impiego di sistemi divideosorveglianza presso una casa di riposo

PROVVEDIMENTO DEL 10NOVEMBRE 2011

Registro dei provvedimenti
n. 421 del 10novembre  2011

IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI

NELLAriunione odierna, in presenza del prof. Francesco Pizzetti, presidente, deldott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e deldott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretariogenerale;

ESAMINATA la documentazione in atti;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezionedei dati personali);

VISTO il provvedimentogenerale del Garante dell'8 aprile 2010, inmateria di trattamento di dati personali effettuato tramite sistemi divideosorveglianza (G.U. n. 99 del 29 aprile 2010);

VISTA la segnalazione con cui si lamentava il trattamento di datipersonali effettuato mediante un impianto di videosorveglianza installatopresso la "Casa di riposo San Petronio", con sede in Bologna, gestitada San Petronio s.r.l. (di seguito, la società), ritenendolo in violazionedella normativa di settore in materia di controllo a distanza dell'attività deilavoratori (art. 4, l. 20 maggio 1970, n. 300), nonché della disciplina diprotezione dei dati personali;

CONSIDERATO che presso la Casa di riposo – nella quale i servizidi infermierato professionale, di assistenza agli anziani, di pulizia deilocali, di preparazione dei pasti, di animazione, di fisioterapia, dimanutenzione, di giardinaggio e di guardia notturna nonché di segreteria e diamministrazione sono forniti dal personale della "HJ" (cfr. all. 2verbale 7 giugno 2011) –soggiornano anche "persone affette daAlzheimer [e] da demenza senile" (cfr. verbale 7 giugno 2011, p. 2);

VISTE le informazioni acquisite in loco il 7 giugno 2011, su delega diquesta Autorità, dal "Nucleo speciale privacy" della Guardia difinanza – che ha altresì provveduto a notificare la contestazione dellaviolazione amministrativa per inosservanza dell'art. 157 del Codice nonché,all'esito degli accertamenti effettuati, a contestare la violazione degli artt.161 e 162, comma 2-bis del Codice –, dalle quali è emerso che:

- il sistema di videosorveglianza, sempre attivo, è compostocomplessivamente di 17 telecamere, delle quali (cfr. verbale 7 giugno 2011, p.2):

o dieci trasmettono immagini a colori ad un unico monitor munitodi joystick e di selettore situato presso la reception; due di questetelecamere (con possibilità di zoom delle immagini) "sono posizionatenell'area esterna della casa di riposo, [ una] viene utilizzata per riprenderel'unico ingresso alla struttura, mentre la seconda [] riprende il retro dellastruttura ivi comprese tutte le uscite di emergenza. Un'altra telecamera ditipo dome è situata all'interno della struttura e precisamente presso lareception ove è dislocato anche il monitor";

o altre sette, situate all'interno della struttura, sono"fisse senza possibilità di zoom delle immagini" (che sono trasmesseal monitor già menzionato), sei delle quali "sono posizionate in manieratale da poter riprendere i corridoi della struttura dove sono ospitati ipazienti";

o "un'ultima telecamera fissa senza possibilità di zoom, []invia anch'essa immagini a colori al citato monitor e come tutte le altretelecamere è anche a visione notturna, è installata in modo da riprenderel'area adibita ai cartellini delle presenze degli operatori e il relativoorologio marcatempo". Rispetto ad essa il rappresentante della società hadichiarato che "non è mai stata utilizzata allo scopo di controllare idipendenti e non si è mai proceduto ad effettuare richiami agli stessiutilizzando le immagini riprese dalla telecamera. [] è intenzione della societàrimuovere il prima possibile la predetta telecamera";

o il monitor nel quale confluiscono tutte le immagini riprese"visibile dalla reception è sempre acceso ed è utile di giorno percontrollare soprattutto l'ingresso alla struttura e di notte viene visionatodagli operatori socio-sanitari anche per controllare i corridoi dellastruttura";

- il sistema, come si desume dall'avviso affisso (cfr. all. 3 alverbale 7 giugno 2011), è stato istallato "per ragioni di sicurezza"(cfr. verbale 1 luglio 2011, p. 2);

- l'avviso, presente solo in talune delle aree riprese, è altresìsprovvisto dell'indicazione del titolare del trattamento (cfr. verbale 1luglio 2011, p. 2), profili per i quali la Guardia di Finanza ha provveduto acontestare la violazione amministrativa di cui all'art. 161 del Codice (cfr.verbale 1 luglio 2011, p. 2);

- il rappresentante della società può accedere alle immaginiregistrate e conservate per un tempo massimo di 48 ore, previo utilizzo dicredenziali, "visionandole dal monitor posto presso la reception";

- "il locale dove è posizionato l'hard disk [contenente leregistrazioni delle immagini riprese] è accessibile solo a persone autorizzatee il monitor è sempre controllato dal personale della reception";

- "l'hard disk è collegato al modem/router adsl mal'impianto di videosorveglianza, attivo da tre anni, non è stato [] maiconfigurato per la visione delle immagini da remoto";
- lepersone operanti presso la società autorizzate ad accedere alle immagini nonrisultano essere state designate incaricati del trattamento ai sensi degliartt. 4, comma 1, lett. h) e 30 del Codice, profilo per il quale è stata giàcontestata dalla Guardia di Finanza la violazione di cui all'art. 162, comma 2bis del Codice (cfr. verbale 1 luglio 2011, p. 2);

RILEVATO che la telecamera (anche a visione notturna) installata nell'areache ospita i cartellini delle presenze degli operatori e il relativo orologiomarcatempo – che la società ha già manifestato l'intendimento dirimuovere (ancorché nessuna comunicazione in tal senso sia finora pervenutaall'Autorità) – consente il controllo a distanza dell'attività deilavoratori vietato dall'art. 4, comma 1, l. n. 300/1970;

RITENUTO che risulta violata la normativa di settore prevista per icontrolli a distanza dell'attività dei lavoratori (art. 4, comma 1, l. n.300/1970), presupposto indefettibile per la liceità e correttezza deltrattamento di dati personali (artt. 11, comma 1, lett. a), e 114 del Codice);

CONSIDERATO che il Garante ha il compito di disporre il divieto deltrattamento ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett.d), del Codice in caso di trattamento di dati illecito o non corretto;

RITENUTO pertanto di dover disporre, nei confronti della società ildivieto dell'ulteriore trattamento dei dati personali effettuato a mezzovideosorveglianza nell'area che ospita i cartellini delle presenze deglioperatori e il relativo orologio marcatempo;

RILEVATO inoltre che altre telecamere risultano dislocate in areeulteriori della Casa di riposo – in particolare, in corrispondenza degliaccessi all'edificio e nei corridoi ai piani della struttura –suscettibili di transito da parte dei lavoratori, con conseguente possibilitàdi riprenderne l'attività;

RILEVATO che, in base agli elementi complessivamente acquisiti, nonrisulta che l'installazione delle videocamere sia avvenuta nel rispetto delladisciplina prevista dall'art. 4, comma 2, l. n. 300/1970;

RILEVATO inoltre che il divieto di controllo a distanza dell'attivitàlavorativa – e con esso le garanzie previste dall'art. 4, comma 2, l. n.300/1970 – non viene meno in ragione della circostanza che lo stessopossa essere discontinuo (cfr. Cass. 6 marzo 1986, n. 1490), né per il fattoche i lavoratori siano al corrente dell'esistenza del sistema divideosorveglianza e del suo funzionamento (cfr. Cass., 18 febbraio 1983, n.1236; Cass., sez. lav., 16 settembre 1997, n. 9211);

RITENUTO, pertanto, che il trattamento di dati personali effettuato amezzo del sistema di videosorveglianza in esame, allo stato degli atti, nonrisulta lecito (artt. 11, comma 1, lett. a) e 114 del Codice) (cfr. Provv.ti 14 aprile 2011, 24 giugno 2010, 26 febbraio 2009;v. altresì Cass., sez. lav., 17 luglio 2007, n. 15892);

CONSIDERATO che, ai sensi degli artt. 143, comma 1, lett. c) e 154,comma 1, lett. d) del Codice, il Garante ha il compito di disporre il divietoin caso di trattamento di dati illecito o non corretto;

RITENUTO, nelle more dell'eventuale espletamento degli adempimentiprevisti dal menzionato art. 4, l. n. 300/1970, di dover disporre nei confrontidella società il divieto del trattamento dei dati personali effettuato a mezzodel sistema di videosorveglianza in grado di riprendere l'attività deilavoratori, invitando la stessa ad adottare, medio tempore, adeguate misurealternative per garantire l'incolumità dei pazienti ospitati nella struttura(cfr. Provv. 24 giugno 2010, cit.);

CONSIDERATO inoltre che gli avvisi sintetici affissi nei locali dellaCasa di riposo risultano sprovvisti dell'indicazione del titolare deltrattamento e sono presenti solo in talune delle aree riprese, né consta chesia stato reso disponibile un testo dell'informativa completo, contenente tuttigli elementi di cui all'art. 13, comma 1, del Codice secondo le modalitàpreviste dal provvedimento dell'8 aprile 2010;

CONSIDERATO, altresì, che "il locale dove è posizionato l'harddisk è accessibile solo a persone autorizzate e il monitor è sempre controllatodal personale della reception", senza tuttavia che tali soggetti sianostati designati incaricati del trattamento (cfr. verbale 7 giugno 2011, p. 3);

CONSIDERATO che, in base alle dichiarazioni rese, "per ulteriorioperazioni sulle immagini [] è necessario l'intervento del tecnico della XYs.r.l. di Monte San Pietro, società attraverso la quale San Petronio s.r.l. hain atto un contratto di noleggio e manutenzione del sistema divideosorveglianza", senza tuttavia che vi siano "nomine aresponsabili e/o incaricati del trattamento dei dati con il sistema divideosorveglianza" (cfr. verbale 7 giugno 2011, p. 3);

RITENUTO pertanto di dover prescrivere alla società, ai sensi degliartt. 143, comma 1, lett. b), e 154, comma 1, lett. c), del Codice, al fine direndere il suddetto trattamento conforme alla disciplina in materia diprotezione dei dati personali, l'adozione di misure e accorgimenti a garanziadegli interessati (fatti salvi quelli eventualmente già adottati, anche inconformità al provvedimentogenerale in materia di videosorveglianzadell'8 aprile 2010), e segnatamente:

a. ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1,lett. c) del Codice, una volta espletate le procedure previste dall'art. 4, l.n. 300/1970, di designare quali "incaricati" del trattamento connessoal funzionamento del sistema di videosorveglianza (art. 30 del Codice) idipendenti che risulteranno legittimati a trattare le immagini rilevate dallostesso (cfr. Provv. 8 aprile 2010, cit., punto 3.2.2; v. altresì Provv. 26febbraio 2009),salve le misure che potranno essere prescritte ai sensi dell'art. 169 delCodice;

b. di designare quale responsabile ai sensi dell'art. 29 delCodice XY s.r.l., con riferimento alle operazioni che possono richiedere iltrattamento di dati personali (quali quelle di manutenzione e, se del caso, diestrazione di copia delle immagini registrate);

c. di integrare gli avvisi recanti l'informativa"semplificata" con le informazioni indicate nel provvedimentogenerale dell'8 aprile 2010 (al punto 3.1.), con formato e posizionamento taleda essere chiaramente visibile in ogni condizione di illuminazione ambientale(anche notturna), nonché di rendere disponibile un avviso circostanziato cheriporti gli elementi di cui all'art. 13 del Codice secondo le modalità previstedallo stesso provvedimento generale;

RILEVATO che, in caso di inosservanza del presente provvedimento, sirenderanno applicabili le sanzioni di cui agli artt. 162, comma 2-ter e 170 delCodice;

VISTE le osservazioni formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Francesco Pizzetti;

TUTTO CIO` PREMESSO, ILGARANTE

nei confronti di "San Petronio s.r.l.":

1. dichiara illecito il trattamento effettuato a mezzo delsistema di videosorveglianza, con la conseguente inutilizzabilità dei datitrattati in violazione di legge ai sensi dell'art. 11, comma 2 del Codice;

2. dispone, ai sensi degli artt. 143, comma 1, lett. c), 144 e154, comma 1, lett. d), del Codice:

a. il divieto del trattamento dei dati personali effettuato amezzo di videosorveglianza nell'area che ospita esclusivamente i cartellinidelle presenze degli operatori e il relativo orologio marcatempo;

b. il divieto del trattamento dei dati personali effettuato amezzo di videosorveglianza nelle aree interne della struttura e incorrispondenza degli accessi al luogo di lavoro, nelle more dell'espletamentodelle procedure all'uopo previste dall'art. 4, comma 2, della legge n.300/1970, invitando la stessa ad adottare, medio tempore, adeguate misurealternative per garantire l'incolumità dei pazienti ospitati nella struttura;

c. l'obbligo di dare comunicazione al Garante delle misureadottate in merito entro 30 giorni dalla data di ricezione del presenteprovvedimento;

3. prescrive, ai sensi degli artt. 143, comma 1, lett. b), 144 e154, comma 1, lett. c) del Codice, senza ritardo, e comunque entro trentagiorni dal ricevimento del presente provvedimento, dandone contestualecomunicazione al Garante, di:

a. designare quali incaricati ai sensi dell'art. 30 del Codice ilpersonale operante presso la Casa di riposo, in particolare i soggettiautorizzati a visionare il monitor presso la reception;

b. di designare quale responsabile ai sensi dell'art. 29 delCodice XY s.r.l., con riferimento alle operazioni che possono richiedere iltrattamento di dati personali;

c. integrare gli avvisi recanti l'informativa"semplificata" con le informazioni indicate nel provvedimentogenerale dell'8 aprile 2010 (al punto 3.1.), con formato e posizionamento talida essere chiaramente visibili in ogni condizione di illuminazione ambientale(anche notturna), nonché di rendere disponibile un avviso circostanziato cheriporti gli elementi di cui all'art. 13 del Codice secondo le modalità previstedallo stesso provvedimento generale.

Ai sensi dell'art. 152 del Codice, può essere proposta opposizioneavverso il presente provvedimento, entro trenta giorni dalla sua notificazione,avanti al tribunale ordinario del luogo in cui ha sede il titolare deltrattamento.

Roma, 10 novembre 2011

Il presidente
Pizzetti

Il relatore
Pizzetti

Il segretario generale reggente
De Paoli