Garante per la protezione
    dei dati personali


Sistema di videosorveglianza in uncentro commerciale

PROVVEDIMENTO DEL 18 LUGLIO 2013

Registro dei provvedimenti
 n. 361 del 18 luglio 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla documentazione in atti;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTOil provvedimento generale del Garante dell'8 aprile 2010, in materia ditrattamento di dati personali effettuato tramite sistemi di videosorveglianza(G.U. n. 99 del 29 aprile 2010);

VISTOil verbale di accertamento ispettivo del 31 luglio 2012 redatto dal"Nucleo Speciale Privacy" della Guardia di finanza, concernente iltrattamento di dati personali effettuato mediante un impianto divideosorveglianza presso l'esercizio commerciale "A&O" di viaFusco 11/A in Catania gestito da Roberto Abate s.p.a. (di seguito, la società),dal quale emerge che:

- il menzionato sistema di videosorveglianza, risultato funzionante, è compostodi 4 telecamere (di cui una non attiva), un monitor ed un registratoredigitale;

- le telecamere sono dislocate all'esterno e all'interno del punto vendita, in mododa poter riprendere "anche le attività del personale addetto allecasse" (cfr. verbale 31 luglio 2012, p. 3);

- letelecamere "sono a focale fissa non brandeggianti di cui una a colori(inquadra le casse) e due in bianco e nero. L'ampiezza dell'angolo di visuale èdi circa 90 gradi. La risoluzione permette l'identificazione delle personeinquadrate" (cfr. verbale cit., p. 3);

- il trattamento mira ad "elevare il grado di sicurezza di beni e personeall'interno dei locali del punto vendita" (cfr. verbale cit., p. 2);

- leimmagini sono memorizzate mediante "un registratore digitale e vengonoconservate per un periodo massimo di 72 ore trascorso il quale le immagini piùvecchie vengono cancellate mediante sovrascrittura"; gli ispettori hannoconstatato "la presenza di un locale di servizio non accessibile alpubblico al cui interno [] è custodito il sistema di registrazione e gestionedei dati raccolti dall'impianto di videosorveglianza. Detto sistema [] èprotetto in ogni funzione da apposita password" (cfr. verbale cit., p. 3);

- inrelazione al trattamento effettuato mediante il menzionato sistema (nonché"degli impianti di videosorveglianza presenti in tutti i puntivendita" della società) risulta la designazione di un responsabile dellasicurezza il quale, in considerazione delle ridotte dimensioni del puntovendita, ha dichiarato di essere l'unico a visionare le immagini "rilevatee/o registrate" (cfr. verbale cit., p. 2);

- quanto all'informativa prevista ai sensi dell'art. 13 del Codice, in sede ispettivasi è dato conto della presenza di due cartelli recanti un'informativa sinteticaposti all'interno e all'esterno dell'esercizio commerciale (cfr. verbale cit.,p. 3);

VISTAla comunicazione inviata al "Nucleo Speciale Privacy" il 14 agosto2012 con la quale il titolare del trattamento ha prodotto copia di due"verbali di assemblea dei lavoratori in forza al supermercato" pressoil quale è stato effettuato l'accertamento in loco, datati 2 agosto 2012, iquali contengono sintetici elementi informativi concernenti il sistema divideosorveglianza – privi della dislocazione e dell'indicazione delnumero delle telecamere installate – e la notazione che i lavoratoriacconsentono ("liberamente") all'uso delle telecamere, seguita dallesottoscrizioni di dieci lavoratori;

VISTOche, a seguito degli accertamenti, la società è risultata, ai sensi dell'art.28 del Codice, titolare dei trattamenti di dati personali effettuati;

CONSIDERATAla necessità di garantire un livello elevato di tutela dei diritti e delle libertàfondamentali nonché della dignità degli interessati rispetto al trattamento deidati personali effettuato mediante l'utilizzo di sistemi di videosorveglianza(cfr. art. 2 del Codice nonché la legge n. 300/1970, Titolo I "Dellalibertà e dignità del lavoratore");

CONSIDERATOche l'installazione di sistemi di rilevazione delle immagini deve avvenire nelrispetto, oltre che della disciplina in materia di protezione dei datipersonali, anche delle altre disposizioni dell'ordinamento civile e penaleapplicabili, comprese le vigenti norme in materia di controllo a distanza deilavoratori;

RILEVATOche il sistema di videosorveglianza in esame risulta idoneo a riprendere eregistrare l'attività di quanti, ivi compresi i lavoratori nello svolgimentodella propria attività, transitano od operano nelle aree interessate;

RILEVATOche il divieto di controllo a distanza dell'attività lavorativa – e conesso le garanzie previste dall'art. 4, comma 2, l. n. 300/1970 – nonviene meno per il fatto che i lavoratori siano al corrente dell'esistenza delsistema di videosorveglianza e del suo funzionamento (cfr. Cass., 18 febbraio1983, n. 1236; Cass., sez. lav., 16 settembre 1997, n. 9211);

RILEVATOinoltre che il titolare del trattamento non ha fornito indicazioni circa le ragionispecifiche che legittimerebbero tempi di conservazione delle immagini raccoltesuperiori a quelli indicati dal Garante, in applicazione del principio diproporzionalità, nel provvedimento generale dell'8 aprile 2010 (punto 3.4);

RITENUTOche, alla luce degli elementi sopra rappresentati, il descritto trattamentorisulta effettuato dalla società in violazione della disciplina di protezionedei dati personali (artt. 11, comma 1, lett. a) e 114 del Codice in relazioneall'art. 4, comma 2, della legge n. 300/1970, nonché art. 11, comma 1, lett. e)del Codice);

CONSIDERATOche, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), delCodice il Garante può prescrivere anche d'ufficio le misure necessarie oopportune al fine di rendere il trattamento conforme alle disposizioni vigenti;

RITENUTOpertanto di dover prescrivere alla società, quali misure necessarie al fine direndere il suddetto trattamento conforme alla disciplina in materia diprotezione dei dati personali di:

a.attivare le procedure previste dall'art. 4, comma 2, della legge n. 300/1970ovvero, laddove non sia presente una rappresentanza sindacale presso l'unitàproduttiva, richiedere la necessaria autorizzazione del competente ufficioperiferico del Ministero del lavoro, impregiudicati nel frattempo i diritti deilavoratori (art. 11, comma 2 del Codice);

b.commisurare il tempo di conservazione delle immagini alle effettive necessitàdella raccolta nei termini previsti dal provvedimento generale dell'8 aprile2010;

RILEVATOche, in caso di inosservanza del presente provvedimento, si renderà applicabilela sanzione di cui all'art. 162, comma 2-ter del Codice;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

TUTTO CIO' PREMESSO, IL GARANTE

neiconfronti di Roberto Abate s.p.a. con riguardo al trattamento effettuato pressol'esercizio commerciale A&O di via Fusco 11/A in Catania:

1.dichiara illecito, nei termini di cui in motivazione, il trattamento effettuatoa mezzo del sistema di videosorveglianza;

2.prescrive, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett.c), del Codice, senza ritardo, e comunque entro e non oltre 30 giorni dalricevimento del presente provvedimento, di:

a.  attivarele procedure previste dall'art. 4, comma 2, della legge n. 300/1970,impregiudicati nel frattempo i diritti dei lavoratori;

b.  commisurareil tempo di conservazione delle immagini alle effettive necessità dellaraccolta nei termini previsti dal provvedimento generale dell'8 aprile 2010;

3. aisensi dell'art. 157 del Codice, invita la società a dare comunicazione alGarante delle misure adottate entro 30 giorni dalla data di ricezione delpresente provvedimento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 18 luglio 2013

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia