Assenza di avviso informativo dell’impianto di videosorveglianza: violazione privacy

Ristorante sanzionato dal Garante per non aver apposto subito il cartello informativo circa la presenza di un impianto d videoregistrazione.

Per avere un quadro completo sui ricorsi al Garante della privacy, si consiglia il seguente volume il quale affronta la disciplina relativa alla tutela dei diritti del titolare dei dati personali e le relative sanzioni: I ricorsi al Garante della privacy

1. I fatti

La Polizia Locale di un Comune marchigiano trasmetteva al Garante per la protezione dei dati personali un verbale relativo ad un controllo effettuato presso un ristorante locale, durante il quale accertavano la presenza di un impianto di videosorveglianza regolarmente funzionante e la mancanza di appositi cartelli informativi circa la presenza dell’impianto medesimo.
Preso atto della segnalazione della Polizia Locale, il Garante comunicava alla società titolare del ristorante in questione l’avvio del procedimento sanzionatorio nei suoi confronti, ipotizzando la violazione della normativa in materia di privacy per mancata informativa agli interessati.
La società si difendeva sostenendo che l’impianto di videosorveglianza era stato attivato soltanto un mese prima del controllo e al solo fine di tutelare i beni aziendali rispetto ad atti illeciti di terzi. In ogni caso, la società faceva presente di aver provveduto a posizionare idonei cartelli informativi circa la presenza delle telecamere all’interno e all’esterno del locale, subito dopo che la polizia locale aveva effettuato il controllo (a conferma di ciò, la società allegava altresì le fotografie attestanti l’apposizione della cartellonistica).
Per avere un quadro completo sui ricorsi al Garante della privacy, si consiglia il seguente volume il quale affronta la disciplina relativa alla tutela dei diritti del titolare dei dati personali e le relative sanzioni:

2. Assenza di avviso informativo dell’impianto di videosorveglianza: le valutazioni del Garante

Preliminarmente il Garante ha evidenziato che l’uso di sistemi di videosorveglianza, in considerazione di come viene posizionata la telecamera e della qualità delle immagini che vengono riprese, può comportare un trattamento di dati personali.
Pertanto, tale trattamento deve essere compiuto dal titolare nel pieno rispetto dei principi generali del trattamento dati, previsto dal Regolamento Europeo per la protezione dei dati personali (GDPR). In particolare, deve essere rispettato il principio di trasparenza, secondo cui gli interessati devono sempre essere informati della presenza delle videocamere attraverso l’apposizione di cartelli informativi.
Inoltre, il titolare del trattamento deve apporre idonei cartelli informativi circa la presenza delle videocamere. Infatti, l’art. 13 del GDPR impone al titolare del trattamento di fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento dati.
In particolare, il Garante ha precisato che per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate dal titolare sul segnale di avvertimento stesso (sono le c.d. informazioni di primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (c.d. informazioni di secondo livello). Secondo il Garante, inoltre, tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto e dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi) per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario.

3. La decisione del Garante

Nel caso di specie, quindi, il Garante per la protezione dei dati personali ha ritenuto che l’apposizione dell’impianto di videosorveglianza, tramite telecamere posizionate all’ interno e all’ esterno del ristorante, costituisse un trattamento di dati personali effettuato in maniera illecita: ciò in quanto detto impianto era risultato attivo e funzionante durante il controllo della polizia locale, in assenza degli appositi cartelli contenenti le informazioni previste dall’art. 13 del Regolamento europeo per la protezione dei dati personali a favore degli interessati.
In considerazione di quanto sopra, il Garante ha ritenuto che la condotta illecita della società di ristorazione non può essere considerata una violazione minore, in ragione della natura, della gravità e della durata della violazione medesima nonché del grado di responsabilità del titolare del trattamento e della maniera in cui il Garante ha preso conoscenza della violazione.
Conseguentemente, il Garante ha ritenuto necessario infliggere al titolare del trattamento una sanzione amministrativa pecuniaria.
Per quanto concerne la quantificazione della medesima, il Garante – affinchè la stessa possa essere effettiva, proporzionata e dissuasiva – ha tenuto in considerazione tutte le circostanze aggravanti e attenuanti del caso di specie. In particolare, il Garante, da un lato, ha valutato la natura, gravità e durata della violazione (e cioè la condotta del titolare del trattamento e la sua responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati: quindi la violazione di un principio base della tutela della privacy). Dall’altro lato, invece, il Garante ha valutato l’assenza di precedenti specifici a carico della società relativi a violazioni della disciplina in materia di protezione dei dati personali e la circostanza che la società, titolare del trattamento, abbia inviato scritti difensivi al Garante dichiarando di aver reso il trattamento conforme alle norme in materia di protezione dei dati personali e comprovando quanto dichiarato con idonea documentazione fotografica. Infine, l’ autorità ha tenuto in considerazione le condizioni economiche del titolare del trattamento con riferimento al bilancio di esercizio relativo all’ anno 2022.
Conseguentemente, il Garante ha quantificato la sanzione amministrativa pecuniaria in €. 3.000 (tremila).