Garante per la protezione
    dei dati personali


Sistema di videosorveglianza in unesercizio commerciale

PROVVEDIMENTO DEL 4 LUGLIO 2013

Registro dei provvedimenti
n. 335 del 4 luglio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla documentazione in atti;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTOil provvedimento generale del Garante dell'8 aprile 2010, in materia ditrattamento di dati personali effettuato tramite sistemi di videosorveglianza(G.U. n. 99 del 29 aprile 2010);

VISTOil verbale di accertamento ispettivo dell'11 luglio 2012, (corredato da ripresefotografiche) redatto dal "Nucleo Speciale Privacy" della Guardia difinanza avente ad oggetto un trattamento di dati personali effettuato medianteun impianto di videosorveglianza funzionante presso l'esercizio commercialegestito da Supermercato Centro Storico s.r.l. in Napoli (di seguito, la società),dal quale emerge che:

- il menzionato sistema di videosorveglianza è composto di ventisei telecamere("tutte fisse e a colori"), cinque delle quali installate all'esterno("lungo il perimetro di pertinenza del punto vendita") e le restantiventuno all'interno del supermercato e nel deposito seminterrato (come risultadalla planimetria: cfr. all. n. 4 al verbale);

- leimmagini sono visualizzate presso l'esercizio commerciale mediante tre monitor,uno dei quali collocato presso il box informazioni (che consente lavisualizzazione in tempo reale di 16 telecamere) e i restanti nell'ufficioamministrativo (mediante i quali possono essere visualizzate le immaginiriprese da tutte le telecamere);

- leimmagini riprese mediante il sistema di videosorveglianza sono altresìregistrate "24 ore su 24" − mediante due DVR (Digital VideoRecorder) posti all'interno di un armadio "chiuso a chiave"− e"conservate per 36 ore";

-l'impianto è stato installato nel 2007 "esclusivamente al fine di tutelarela sicurezza delle persone (dipendenti e clienti) ed il patrimonioaziendale" atteso che "si sono verificati numerosissimi furti erapine [] per perseguire i quali gli organi di polizia hanno richiesto edottenuto copia delle registrazioni effettuate dal [] sistema divideosorveglianza";

- ilpersonale della Società, "circa una ventina [di dipendenti], quasi tutticon mansioni di addetti alla vendita" e pochi altri con funzioniamministrative, non è stato designato incaricato del trattamento, né allostesso sono state impartite istruzioni circa le operazioni di trattamentoeffettuate, in difformità da quanto previsto dall'art. 30 del Codice (cfr.verbale cit., p. 2), atteso che, stando a quanto dichiarato, "non ci sonodipendenti del Supermercato Conad che abbiano mansioni specifiche inmateria" (di gestione del sistema di videosorveglianza);

- quantoall'informativa da rendere agli interessati ai sensi dell'art. 13 del Codice, èstato rinvenuto un unico cartello, non "chiaramente visibiledall'esterno" e non collocato in prossimità delle telecamere, altresìcarente degli elementi informativi di cui al menzionato art. 13;

- nonsono risultati attuati gli adempimenti previsti dall'art. 4, comma 2, l. n.300/1970, in materia di controllo a distanza dei lavoratori;

VISTAla comunicazione inviata al "Nucleo Speciale Privacy" il 2 agosto2012 (con la quale la società ha inteso integrare le dichiarazioni rese averbale nel corso dell'accertamento dell'11 luglio 2012), in allegato allaquale sono state prodotte le designazioni, con decorrenza dal 2 agosto 2012,dei responsabili e incaricati del trattamento (artt. 29 e 30 del Codice) nonchédell'amministratore di sistema (in conformità all'allegato B al Codice e alProvv. 27 novembre 2008, in G.U. n. 300 del 24 dicembre 2008;

VISTOche, alla luce delle verifiche svolte, Supermercato Centro Storico s.r.l. èrisultata essere titolare del trattamento ai sensi dell'art. 28 del Codice;

CONSIDERATAla necessità di garantire un livello elevato di tutela dei diritti e dellelibertà fondamentali nonché della dignità degli interessati rispetto altrattamento dei dati personali effettuato mediante l'utilizzo di sistemi divideosorveglianza;

CONSIDERATOche, l'informativa agli interessati è resa mediante un unico avviso sintetico,peraltro carente degli elementi indicati all'art. 13 del Codice, in difformitàda quanto prescritto al punto 3.1. del menzionato provvedimento in materia divideosorveglianza dell'8 aprile 2010;

RITENUTOche, alla luce degli elementi sopra rappresentati, il descritto trattamentorisulta effettuato sotto più profili in violazione della disciplina diprotezione dei dati personali e, segnatamente, degli artt. 11, comma 1, lett.a) e 13 del Codice – profili già oggetto di contestazione di violazioneamministrativa da parte della Guardia di finanza – nonché, anteriormenteall'avvenuta designazione del personale in qualità di responsabile e incaricatodel trattamento, degli artt. 29, 30, 34 comma 1, lett. d) ed e) nonché 35,comma 1, lett. a), b) e c) e All. B al Codice;

CONSIDERATOche il trattamento dei dati personali derivante dall'installazione di sistemidi rilevazione delle immagini deve avvenire nel rispetto, oltre che delladisciplina in materia di protezione dei dati personali, anche delle altredisposizioni dell'ordinamento civile e penale applicabili, comprese le vigentinorme in materia di controllo a distanza dei lavoratori (cfr. artt. 11, comma1, lett. a) e 114 del Codice nonché 4, comma 2, l. n. 300/1970);

RILEVATOche, allo stato degli atti, il sistema di videosorveglianza in esame risultaidoneo a riprendere e registrare immagini riferite non solo alla clientela, maanche l'attività dei lavoratori che nello svolgimento dei propri compiti,transitano od operano nelle aree oggetto di ripresa;

RILEVATOinoltre che, in base agli elementi complessivamente acquisiti, non risulta chel'installazione delle telecamere sia avvenuta nel rispetto della disciplinaprevista dall'art. 114 del Codice e 4, comma 2, l. n. 300/1970;

RILEVATOche il divieto di controllo a distanza dell'attività lavorativa – e conesso le garanzie previste dal menzionato art. 4, comma 2, l. n. 300/1970 –non viene meno in ragione della circostanza che lo stesso possa esserediscontinuo (cfr. Cass. 6 marzo 1986, n. 1490), né per il fatto che ilavoratori siano al corrente dell'esistenza del sistema di videosorveglianza edel suo funzionamento (cfr. Cass., 18 febbraio 1983, n. 1236; Cass., sez. lav.,16 settembre 1997, n. 9211);

RITENUTOche, alla luce degli elementi sopra rappresentati, il descritto trattamentorisulta altresì effettuato in violazione della disciplina di protezione deidati personali e della disciplina rilevante in materia e, segnatamente, degliartt. 11, comma 1, lett. a) e 114 del Codice in relazione all'art. 4, comma 2,l. n. 300/1970 (v. inoltre, tra i tanti provvedimenti adottati dal Garante,anche nell'ambito della grande distribuzione, Provv. 17 gennaio 2013; Provv. 25 ottobre 2012; Provv. 25 ottobre 2012; Provv. 4 ottobre 2012; nonché 10 novembre 2011; 14 aprile 2011; 24 giugno 2010; 26 febbraio 2009);

RITENUTOaltresì che la dichiarata conservazione delle immagini per 36 ore risulta, conriguardo al caso di specie, commisurata "al tempo necessario - epredeterminato - a raggiungere la finalità perseguita (art. 11, comma 1, lett.e),del Codice)" tenuto conto di quanto dichiarato, anche ai sensidell'art. 168 del Codice, circa i "numerosissimi furti e rapine"subite dall'esercizio commerciale che costituiscono, quindi, "specialiesigenze di ulteriore conservazione" dei dati (cfr. Provv. 8 aprile 2010, cit., punto 3.4);

CONSIDERATOche, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), delCodice il Garante può prescrivere anche d'ufficio le misure necessarie oopportune al fine di rendere il trattamento conforme alle disposizioni vigenti;

RITENUTOpertanto, impregiudicati gli esiti del procedimento avviato con verbale dicontestazione di violazione amministrativa del 10 settembre 2012, di doverprescrivere alla Società, al fine di rendere il suddetto trattamento conformealla disciplina in materia di protezione dei dati personali e al menzionatoprovvedimento generale dell'8 aprile  2010, l'adozione di misurenecessarie e accorgimenti a garanzia degli interessati e, segnatamente di:

1. dareattuazione, senza ritardo e comunque entro e non oltre trenta giorni dalricevimento del presente provvedimento, alle misure previste dall'art. 4, comma2, l. n. 300/1970, impregiudicati nel frattempo i diritti dei lavoratori;

2.integrare gli avvisi recanti l'informativa di cui all'art. 13 del Codice informa "semplificata" con posizionamento e contenuto conformi alleprescrizioni impartite nel provvedimento generale dell'8 aprile 2010 (al punto3.1);

RISERVATAla valutazione da parte dell'Autorità, con autonomo procedimento, di verificarela sussistenza della violazione amministrativa in capo al titolare deltrattamento di cui all'art. 162 comma 2-bis

RILEVATOche, in caso di inosservanza del presente provvedimento, si renderà applicabilela sanzione di cui all'art. 162, comma 2-ter del Codice;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

TUTTO CIO' PREMESSO, IL GARANTE

neiconfronti di Supermercato Centro Storico s.r.l.: nei confronti di SupermercatoCentro Storico s.r.l.:

1.dichiara illecito, nei termini di cui in motivazione, il trattamento di datipersonali effettuato a mezzo del sistema di videosorveglianza installato pressol'esercizio commerciale gestito dalla società;

2.prescrive, impregiudicati nel frattempo i diritti dei lavoratori, ai sensidegli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c) del Codice, senzaritardo, e comunque entro e non oltre 30 giorni dal ricevimento del presenteprovvedimento, di:

a. dareattuazione alle misure previste dall'art. 4, comma 2, della legge n. 300/1970;

b.integrare gli avvisi recanti l'informativa "semplificata" con leinformazioni indicate con posizionamento e contenuto conformi alle prescrizionicontenute nel provvedimento generale dell'8 aprile 2010;

3. aisensi dell'art. 157 del Codice, invita la società a dare comunicazione alGarante delle misure adottate entro 30 giorni dalla data di ricezione delpresente provvedimento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 4 luglio 2013

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia