Garante per la protezione
    dei dati personali


Impianto di videosorveglianza presso unsupermercato

PROVVEDIMENTO DEL 30 OTTOBRE 2013

Registro dei provvedimentin. 483del 30 ottobre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla documentazione in atti;

VISTOil d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei datipersonali, di seguito "Codice");

VISTOil provvedimento generale del Garante dell'8 aprile 2010, in materia ditrattamento di dati personali effettuato tramite sistemi di videosorveglianza(G.U. n. 99 del 29 aprile 2010);

VISTIil verbale di accertamento ispettivo del 12 luglio 2012 e il verbale diaccertamento tecnico recante rilievi fotografici del 17 luglio 2012, redattidal "Nucleo Speciale Privacy" della Guardia di finanza, concernentiil trattamento di dati personali effettuato mediante un impianto di videosorveglianzainstallato presso l'esercizio commerciale "Forte Hardiscount" diTrapani gestito da Meridi s.r.l. (di seguito, la società) dai quali emerge che:

-già in data 29 settembre 2011, rilevata la presenza – "senza []alcuna autorizzazione" – di due "telecamere occultateall'interno di cassette per impianti elettrici [che] inquadravano le casse edil banco salumi", il Servizio Ispettorato Provinciale del Lavoro diTrapani (con verbale del 10 ottobre 2011) aveva prescritto alla società larimozione dell'"impianto audiovisivo e/o [di] altre apparecchiature dallequali derivi anche la possibilità di controllo a distanza dell'attività deilavoratori" (cfr. All 1, verbale 12 luglio 2012);

-a seguito dei sopralluoghi effettuati dalla Guardia di finanza presso ilmedesimo punto vendita è stata accertata la presenza di "due microcamere []occultate all'interno di due scatole di derivazione elettrica, installateesternamente al punto vendita in modo da riprendere l'ingresso/uscita [] el'accesso all'area di carico/scarico merci" (cfr. verbale cit., p. 2 everbale contenente rilievi fotografici 17 luglio 2012);

-le microcamere sono risultate collegate ad un videoregistratore digitale"occultato nel controsoffitto dell'ingresso principale [e] collegato inrete per la trasmissione e visualizzazione delle immagini da remoto" (cfr.verbale 12 luglio cit., p. 3);

-le immagini registrate, secondo quanto dichiarato dal responsabile areavendite, sono conservate per 48 ore, decorse le quali il sistema "lecancella mediante operazioni di sovrascrittura" (cfr. verbale cit., p. 3),senza che siano state tuttavia indicate le ragioni di tale prolungataconservazione;

-il trattamento dei dati personali sarebbe effettuato a fini di "tutela delpatrimonio" (cfr. verbale cit., p. 3);

-in relazione al menzionato trattamento di dati personali, la cui gestioneavverrebbe "da remoto direttamente presso la sede legale della società",non sono state fornite le (richieste) indicazioni circa la designazione dieventuali responsabili e degli incaricati (cfr. verbale cit., p. 2 e 3);

-con riferimento alle modalità con le quali si è adempiuto all'obbligo difornire l'informativa agli interessati ai sensi dell'art. 13 del Codice, insede ispettiva si è dato conto della presenza di due cartelli, recantiun'informativa minima, "posizionati in maniera ben visibile [] sullavetrata scorrevole di accesso al punto vendita e [] sulla porta dell'area dicarico/scarico delle merci" (cfr. verbale cit., p. 2);

-non è stata fornita alcuna indicazione (pur richiesta) circa l'eventualecomunicazione a terzi delle immagini raccolte né relativamente all'eventualeosservanza dell'art. 4 della legge n. 300 del 1970;

VISTOche, a seguito degli accertamenti svolti, la società è risultata, ai sensidell'art. 28 del Codice, titolare dei predetti trattamenti di dati personali;

CONSIDERATAla necessità di garantire un livello elevato di tutela dei diritti e dellelibertà fondamentali nonché della dignità degli interessati rispetto altrattamento dei dati personali effettuato mediante l'utilizzo di sistemi divideosorveglianza (cfr. art. 2 del Codice);

CONSIDERATOche l'installazione di sistemi di rilevazione delle immagini deve avvenire nelrispetto, oltre che della disciplina in materia di protezione dei dati personali,anche delle altre disposizioni dell'ordinamento civile e penale applicabili,comprese le vigenti norme in materia di controllo a distanza dei lavoratori;

RILEVATOche, allo stato degli atti, le telecamere sopra considerate risultano in gradodi riprendere (e registrare) l'attività di quanti, ivi compresi i lavoratorinello svolgimento della propria attività, transitano o operano nelle areeinteressate (con riguardo alla ripresa delle zona di carico/scarico merci cfr.Provv. 26 febbraio 2009);

RILEVATOche il divieto di controllo a distanza dell'attività lavorativa – e conesso le garanzie previste dall'art. 4, comma 2, l. n. 300/1970 – nonviene meno in ragione della circostanza che lo stesso possa essere discontinuo(cfr. Cass. 6 marzo 1986, n. 1490);

RILEVATOche all'esito dell'istruttoria non risultano essere state attivate le garanziepreviste dalla disciplina in materia di controllo a distanza dei lavoratori,come richiesto dall'art. 4, comma 2, l. n. 300/1970 (richiamato dall'art. 114del Codice) nonché in conformità con quanto stabilito dal Garante nelmenzionato provvedimento generale in materia di videosorveglianza dell'8 aprile2010, con particolare riferimento al par. 4.1 (cfr., tra i tanti, Provv.ti 5 settembre 2013, n. 385; 18 luglio 2013; 4 luglio 2013; 26 febbraio 2009);

RITENUTOche, alla luce degli elementi sopra rappresentati, il descritto trattamentorisulta effettuato dalla società in violazione della disciplina di protezionedei dati personali (art. 114 del Codice in relazione all'art. 4 della legge n.300/1970, nonché art. 30 del medesimo Codice);

RILEVATOinoltre che il titolare del trattamento non risulta aver effettuato, ai sensidell'art. 30 del Codice, la designazione a incaricati del trattamento deidipendenti preposti alla visualizzazione delle immagini tratte dalle telecamereinstallate presso l'esercizio commerciale;

RITENUTOche la società dovrà pertanto provvedere a designare per iscritto i propriincaricati impartendo agli stessi le istruzioni per provvedere al trattamentodei dati personali, ai sensi dell'art. 30 del Codice;

CONSIDERATOche, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c), delCodice, il Garante può prescrivere anche d'ufficio le misure necessarie oopportune al fine di rendere il trattamento conforme alle disposizioni vigenti;

RITENUTOpertanto di dover prescrivere alla società, quali misure necessarie al fine direndere il suddetto trattamento conforme alla disciplina in materia diprotezione dei dati personali di:

a.  attivarele procedure previste dall'art. 4, comma 2, della legge n. 300/1970,impregiudicati nel frattempo i diritti dei lavoratori (art. 11, comma 2 delCodice);

b.  commisurareil tempo di conservazione delle immagini alle effettive necessità dellaraccolta nei termini previsti dal provvedimento generale dell'8 aprile 2010 (inparticolare al punto 3.4);

RISERVATAla valutazione da parte dell'Autorità, con separato procedimento, dellasussistenza di violazioni amministrative in capo al titolare del trattamento aisensi dell'art. 162, comma 2 bis del Codice (con particolare riferimento allaviolazione delle misure di sicurezza ex artt. 33 e ss. del Codice);

RILEVATOche, in caso di inosservanza del presente provvedimento, si renderà applicabilela sanzione di cui all'art. 162, comma 2-ter del Codice;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREil dott. Antonello Soro;

TUTTO CIO' PREMESSO, IL GARANTE

neiconfronti di Meridi s.r.l., per il trattamento di dati personali effettuato amezzo del sistema di videosorveglianza presso l'esercizio commerciale"Forte Hardiscount" di Trapani:

1.dichiara illecito, nei termini di cui in motivazione, il trattamento effettuatoa mezzo del sistema di videosorveglianza;

2.prescrive, ai sensi degli artt. 143, comma 1, lett. b) e 154, comma 1, lett. c)del Codice, senza ritardo, e comunque entro trenta giorni dal ricevimento delpresente provvedimento, di:

a.  attivarele procedure previste dall'art. 4, comma 2, della legge n. 300/1970,impregiudicati nel frattempo i diritti dei lavoratori;

b.  designareper iscritto i propri incaricati ai sensi dell'art. 30 del Codice;

c.  commisurareil tempo di conservazione delle immagini alle effettive necessità dellaraccolta nei termini previsti dal provvedimento generale dell'8 aprile 2010;

3.ai sensi dell'art. 157 del Codice, invita la società a dare comunicazione alGarante delle misure adottate entro 30 giorni dalla data di ricezione delpresente provvedimento.

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 30 ottobre 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia