Garante per la protezione
    dei dati personali


Sistema di videosorveglianzainstallato presso un esercizio commerciale

PROVVEDIMENTO DEL 17 GENNAIO 2013

Registro dei provvedimenti
n. 16 del 17 gennaio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla documentazione in atti;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali);

VISTOil provvedimento generale del Garante dell'8 aprile 2010, in materia ditrattamento di dati personali effettuato tramite sistemi di videosorveglianza(G.U. n. 99 del 29 aprile 2010);

VISTIil verbale di accertamento ispettivo del 4 agosto 2011, integrato dal verbaledel 3 ottobre 2011 (corredato da riprese fotografiche), entrambi trasmessi alGarante con nota del 6 ottobre 2011 dalla Questura di Genova - DivisionePolizia amministrativa, aventi ad oggetto un impianto di videosorveglianzafunzionante presso l'esercizio commerciale FNAC di Genova (di seguito, lasocietà), dai quali emerge che:

-   ilmenzionato sistema di videosorveglianza, è composto di 30 telecamere (14 dellequali brandeggiabili), dislocate nell'area di vendita, in parte del perimetroesterno, in corrispondenza delle aree deputate allo scarico merci e alla cassacontinua, nonché in corrispondenza dell'accesso riservato a dipendenti efornitori – ove pure è collocato il dispositivo di rilevazione dellepresenze dei dipendenti –, nel magazzino merci nonché in prossimitàdell'ingresso alle toilette riservate sia al personale che alla clientela (cfr.verbale 4 agosto 2011);

-   letelecamere, in parte fisse e in parte mobili, sono "a colori, ad altarisoluzione"; alcune di esse sono in grado di effettuare ingrandimenti;

-   unaccordo con le rappresentanze sindacali del 27 febbraio 2001 stipulato ai sensidell'art. 4, comma 2, l. 20 maggio 1970, n. 300 ne regola il funzionamento e nellostesso (acquisito agli atti) si chiarisce che:

-   gliapparati di ripresa sono stati installati "con funzione anti-rapina eanti-taccheggio", con esclusione del possibile utilizzo dello stesso"ai fini disciplinari";

-   leimmagini memorizzate sono custodite in un apposito armadio di sicurezza conaccesso a doppia chiave, poste l'una nella disponibilità del responsabile dellasicurezza del negozio, l'altra di un rappresentante sindacale aziendale;
 

-   leimmagini riprese mediante il sistema di videosorveglianza sono visualizzate (eregistrate per 24 ore) presso l'esercizio commerciale in una sala controllodove opera un dipendente di altra società (IS Roma Sicurezza) le cui mansionisono risultate, tra le altre, quelle di verifica del "flusso della clientelain entrata e in uscita; [questi] inoltre controlla attraverso i monitoreventuali tentativi di sottrazione di merce. Nel caso in cui rilevi un soggettoautore di furto, avverte il responsabile del punto vendita [che attende] lapersona oltre la barriera delle casse e la invita a seguirlo in un ufficioadiacente alla barriera " (cfr. dichiarazioni rese nel verbale del 4agosto 2011);

-   ilresponsabile della sicurezza e del trattamento dei dati presso l'eserciziocommerciale ha confermato che gli incaricati di IS Roma Sicurezza, tra l'altro,"collaborano nella gestione dei flussi di persone all'interno del puntovendita; nel caso in cui notino comportamenti che possano arrecare dannoall'azienda avvertono il responsabile del negozio" (cfr. verbale 3 ottobre2011);

-   talesistema di sorveglianza risulta integrato "presso l'ufficio delcoordinatore di IS Roma Sicurezza [da] una posizione remota che permette divedere le immagini in tempo reale" (cfr. verbale del 4 agosto 2011);

-   alpersonale di IS Roma Sicurezza, compreso quello che opera nella sala monitor,non è stata consegnata lettera di incarico in relazione all'attività effettuatapresso FNAC (cfr. dichiarazioni rese nei verbali del 4 agosto 2011 e del 3ottobre 2011), né sono stati designati incaricati del trattamento, né constache agli stessi siano state impartite istruzioni circa le operazioni ditrattamento effettuate, in difformità da quanto previsto dall'art. 30 delCodice;

-   ilpersonale di IS Roma Sicurezza in servizio presso la società, inoltre, non èrisultato in possesso del decreto di riconoscimento della qualifica di guardiaparticolare giurata di cui all'art. 134, R.D. 18 giugno 1931, n. 773 (TULPS)(cfr. verbale 4 agosto 2011);

-   diversamenteda quanto prescritto nel menzionato accordo con le rappresentanze sindacali –secondo il quale le riprese effettuate "saranno custodite in un appositoarmadio di sicurezza dotato di una doppia serratura", con consegna di duedistinte chiavi, rispettivamente, al responsabile della sicurezza del negozio ealla RSA delegata del negozio, sì che "l'apertura dell'armadio sarà []consentita solo alla presenza contemporanea sia di un rappresentante deilavoratori che di uno dell'azienda", con conservazione delle chiavi"in apposita busta sigillata, con la firma delle due figure delegate"–, è stato dichiarato che "l'accesso ai dati [registrati mediante ilsistema di videosorveglianza] è possibile solo attraverso una passwordcustodita dall'azienda che fa manutenzione all'impianto (FGS di Brescia), laquale viene contattata quando è necessario procedere alla visualizzazione diimmagini precedentemente registrate", previa comunicazione di un codicepersonale da parte del responsabile della sicurezza (cfr. verbale 3 ottobre2011);

-   gliavvisi relativi al sistema di videosorveglianza sono risultati:

-   presentisolo in talune delle aree riprese, in particolare sulla porta di accessoall'area di vendita e, mediante due cartelli informativi (uno dei quali nonagevolmente visibile, essendo collocato dietro una struttura fissa preordinataall'esposizione della merce posta in vendita) situati al piano terreno e alpiano seminterrato nonché

-   sprovvistidell'indicazione della finalità del trattamento (cfr. avviso allegato alverbale del 3 ottobre 2011 e immagine fotografica in atti);
 

VISTOil riscontro alla richiesta di informazioni inviata dall'Ufficio del Garantecon il quale il legale rappresentante di FNAC Italia s.p.a., con nota del 28dicembre 2011, ha dichiarato che:

-   titolaredei trattamenti di dati personali effettuati mediante i sistemi divideosorveglianza operanti presso tutti gli esercizi commerciali presenti sulterritorio è FNAC Italia s.p.a.;

-   CISs.p.a. – Consorzio Sicurezza Italia, unitamente alle società consorziate –e tra queste IS Roma Sicurezza – ha sottoscritto con FNAC Italia uncontratto di appalto di servizi (il cui oggetto specifico, con riguardo alleprestazioni dovute, non si evince dalla documentazione prodotta in atti: cfr."bozza 5 luglio 2011 - contratto di appalto per la fornitura diservizi", allegata alla comunicazione elettronica della Polizia di Statodel 2 dicembre 2011), in corrispondenza del quale, in data 16 maggio 2011, CISe le società consorziate sono stati designati quali responsabili deltrattamento dei dati personali effettuato mediante sistemi di videosorveglianza(cfr. atto di designazione di CIS prodotto da FNAC in allegato allacomunicazione del 28 dicembre 2011);

RILEVATOinoltre che l'area in cui è collocato il sistema di rilevazione delle presenze –situata in prossimità di un accesso di servizio – è ripresa da unatelecamera che consente il controllo a distanza dell'attività dei lavoratori;

CONSIDERATOche il Garante ha affermato che "nelle attività di sorveglianza occorrerispettare il divieto di controllo a distanza dell'attività lavorativa,pertanto è vietata l'installazione di apparecchiature specificatamentepreordinate alla predetta finalità: non devono quindi essere effettuate ripreseal fine di verificare l'osservanza dei doveri di diligenza stabiliti per ilrispetto dell'orario di lavoro e la correttezza nell'esecuzione dellaprestazione lavorativa (ad es. orientando la telecamera sul badge)" (cfr.punto 4.1., Provv. 8 aprile 2010, cit.; v. altresì Provv. 10 novembre 2011, n.421);

RILEVATOche il sistema di rilevazione delle presenze deve essere collocato in un'areanon interessata dalle riprese, in modo tale da consentire, in conformitàall'art. 11, comma 1, lett. d), del Codice, il trattamento delle sole immaginipertinenti e non eccedenti rispetto alle finalità dichiarate dalla Societànonché esplicitate nel menzionato accordo sindacale adottato ai sensi dell'art.4, comma 2, l. n. 300/1970;

RITENUTO,pertanto, di dover disporre il blocco del trattamento dei dati effettuatomediante la telecamera che riprende anche l'area nella quale è postal'apparecchiatura per la rilevazione delle presenze dei lavoratori, in attesadell'adozione delle misure idonee a prevenire tali riprese;

RITENUTO,inoltre, che la possibilità (dal punto di vista tecnico) per la Società diaccedere alle immagini registrate, con l'ausilio di FGS di Brescia (soggettoche non risulta essere stato designato responsabile del trattamento), conmodalità diverse da quelle stabilite nell'accordo con le rappresentanzesindacali si pone in violazione dei principi di liceità e correttezza neltrattamento (art. 11, comma 1, lett. a) e 4, comma 2, l. n. 300/1970);

CONSIDERATOaltresì che, in base all'art. 134, R.D. 18 giugno 1931, n. 773 (TULPS)"senza licenza del Prefetto è vietato ad enti o privati di prestare operedi vigilanza o custodia di proprietà mobiliari od immobiliari []" (v.altresì l'art. 256-bis, R.D. 6 maggio 1940, n. 635, Approvazione delregolamento per l'esecuzione del testo unico 18 giugno 1931, n. 773 delle leggidi pubblica sicurezza, che specifica gli ambiti nei quali l'attività divigilanza e custodia deve essere effettuata da guardie particolari giurate);

RILEVATOche, in base agli elementi in atti, il personale di IS Roma Sicurezza effettuapresso la società attività riconducibili sia al servizio antitaccheggio (cfr.art. 3, comma 2, lett. d), D.M. 1 dicembre 2010, n. 269, Regolamento recantedisciplina delle caratteristiche minime del progetto organizzativo e deirequisiti minimi di qualità degli istituti e dei servizi di cui agli articoli256-bis e 257-bis del Regolamento di esecuzione del Testo unico delle leggi dipubblica sicurezza, nonché dei requisiti professionali e di capacità tecnicarichiesti per la direzione dei medesimi istituti e per lo svolgimento diincarichi organizzativi nell'ambito degli stessi istituti) sia al servizio ditelevigilanza (cfr. art. 3, comma 2, lett. f), D.M. n. 269/2010), servizi chedevono essere disimpegnati dagli istituti di vigilanza privata per mezzo delledipendenti guardie giurate (cfr., rispettivamente, punti 3.h e 3.d, All. D,D.M. n. 269/2010, cit.);

RILEVATOche, anche di recente, la Corte di Cassazione (Cass. pen., sez. III, 3 dicembre2010, n. 1821), nel richiamare il proprio indirizzo interpretativo ritenuto"assolutamente consolidato", ha ribadito che "ogni forma diattività imprenditoriale di vigilanza e custodia di beni per conto terzi esigela licenza del prefetto, indipendentemente dalle modalità operative con lequali viene espletata (sez. I, 28.4.1997 n. 3032, Montelli, RV 207684; sez. 52.3.1998 n. 1274, Mennuni, RV 210253; sez. 1, 12.1.2000 n. 191, Schinco, RV215365; sez. 3, 17.10.2002 n. 42204, Montelli, RV 223600; sez. 1, 6.11.2008 n.47742, Bellei, RV 242745; sez. 3, 16.12.2009 n. 1605 del 2010, Prowidenti, RV245868)";

CONSIDERATOquindi illecito il trattamento di dati personali per finalità antitaccheggioeffettuato mediante il descritto sistema di videosorveglianza da parte disoggetti non autorizzati ad effettuare tale attività visionando le immaginiriprese sia presso la sede della Società, sia da remoto (art. 11, comma 1,lett. a), del Codice);

RITENUTOche, alla luce degli elementi sopra rappresentati, il descritto trattamentorisulta effettuato dalla Società sotto più profili in violazione delladisciplina di protezione dei dati personali (artt. 11, comma 1, lett. a) e d),30 e 114 del Codice) (cfr. Provv.ti 14 aprile 2011;, 24 giugno 2010;, 26 febbraio 2009);

CONSIDERATOche, ai sensi degli artt. 143, comma 1, lett. c) e 154, comma 1, lett. d), delCodice, il Garante ha il compito di disporre il blocco in caso di trattamentodi dati illecito o non corretto;

RITENUTO,in attesa dell'adozione di idonee misure volte a rendere conforme al quadronormativo vigente il trattamento effettuato mediante il sistema divideosorveglianza esistente presso la sede di Genova della Società, di doverdisporre il blocco di detto trattamento;

CONSIDERATO,inoltre, che gli avvisi sintetici affissi nei locali della società risultanosprovvisti dell'indicazione relativa alla finalità del trattamento e sonopresenti solo in corrispondenza di talune delle aree riprese, diversamente daquanto indicato al punto 3.1. del menzionato provvedimento in materia divideosorveglianza dell'8 aprile 2010;

RITENUTOpertanto di dover prescrivere alla società, ai sensi degli artt. 143, comma 1,lett. b), e 154, comma 1, lett. c), del Codice, al fine di rendere il suddettotrattamento conforme alla disciplina in materia di protezione dei datipersonali, l'adozione di misure e accorgimenti a garanzia degli interessati(fatti salvi quelli eventualmente già adottati, anche in conformità alprovvedimento generale in materia di videosorveglianza dell'8 aprile 2010), esegnatamente di:

a.  designarequale responsabile del trattamento, ai sensi dell'art. 29 del Codice, conriferimento alle operazioni che possono essere legittimamente effettuate, anchealla luce dell'accordo in essere con le rappresentanze sindacali, il soggettocui è rimessa l'esecuzione di attività di trattamento di dati personali (qualiquelle di manutenzione e, se del caso, di estrazione di copia delle immaginiregistrate);

b.  integraregli avvisi recanti l'informativa di cui all'art. 13 del Codice in forma"semplificata" con le informazioni indicate nel provvedimentogenerale dell'8 aprile 2010 (al punto 3.1.), con formato e posizionamento talida essere chiaramente visibili;

RISERVATAla valutazione da parte dell'Autorità, con autonomo procedimento, dellasussistenza di violazioni amministrative in capo al titolare del trattamento;

RITENUTOdi disporre la trasmissione degli atti e di copia del presente provvedimentoall'autorità giudiziaria per le valutazioni di competenza in ordine agliilleciti penali che riterrà eventualmente configurabili;

RILEVATOche, in caso di inosservanza del presente provvedimento, si renderannoapplicabili le sanzioni di cui agli artt. 162, comma 2-ter e 170 del Codice;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

TUTTO CI PREMESSO, IL GARANTE

neiconfronti di FNAC Italia s.p.a.:

1. dichiaraillecito, nei termini di cui in motivazione, il trattamento effettuato a mezzodel sistema di videosorveglianza installato presso l'esercizio commerciale diGenova, con la conseguente inutilizzabilità dei dati trattati in violazione dilegge ai sensi dell'art. 11, comma 2 del Codice e, in attesa dell'adozione diidonee misure volte a rendere conforme al quadro normativo vigente iltrattamento effettuato, ai sensi degli artt. 143, comma 1, lett. c), 144 e 154,comma 1, lett. d), del Codice, dispone il blocco del trattamento dei datipersonali effettuato mediante lo stesso;

2. aisensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d), delCodice, dispone il blocco del trattamento dei dati personali effettuatomediante la telecamera che riprende anche l'area nella quale è postal'apparecchiatura per la rilevazione delle presenze dei lavoratori, in attesadell'adozione delle misure idonee a prevenire tali riprese;

3. prescrive,ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) delCodice, senza ritardo, e comunque entro trenta giorni dal ricevimento delpresente provvedimento, di:

a.  designarequale responsabile del trattamento, ai sensi dell'art. 29 del Codice, conriferimento alle operazioni che possono essere legittimamente effettuate, anchealla luce dell'accordo in essere con le rappresentanze sindacali, il soggettocui è rimessa l'esecuzione di attività di trattamento di dati personali;

b.  integraregli avvisi recanti l'informativa "semplificata" con le informazioniindicate al punto 3.1. del provvedimento generale dell'8 aprile 2010, conformato e posizionamento tali da essere chiaramente visibili;

4. aisensi dell'art. 157 del Codice, invita la società a dare comunicazione alGarante delle misure adottate entro 30 giorni dalla data di ricezione delpresente provvedimento;

5. disponela trasmissione degli atti e di copia del presente provvedimento all'autoritàgiudiziaria per le valutazioni di competenza in ordine agli illeciti penali cheriterrà eventualmente configurabili.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 17 gennaio 2013

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia