Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi Oreiade s.r.l.

PROVVEDIMENTO DEL 6 FEBBRAIO 2014

Registro dei provvedimenti
 n. 59 del 6 febbraio 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia,segretario generale;

RILEVATOche a seguito di una segnalazione pervenuta in data 25 maggio 2010 con cuiveniva lamentata l'installazione di un sistema di videosorveglianza pressol'Hotel Blu Inn, sito in Cologno Monzese (MI), viale Brianza n. 50, idoneo ariprendere l'attività dei lavoratori senza l'adozione di idonee garanzie,l'Ufficio formulava una richiesta di informazioni nei confronti di Oreiades.r.l., società che gestisce il predetto Hotel, datata 30 dicembre 2010, prot.n. 28334/69118, diretta ad ottenere informazioni utili alla valutazione delcaso;

CONSIDERATOche, sulla base dei riscontri forniti dalla società con le note del 10 febbraioe dell'11 maggio 2011 (quest'ultima in riscontro alla richiesta formulatadall'Ufficio in data 15 aprile 2011), non è stato possibile valutare laconformità del trattamento effettuato rispetto alla disciplina in materia diprotezione dei dati personali, l'Ufficio ha formulato una ulteriore richiestadi informazioni ai sensi dell'art. 157 del Codice in materia di protezione deidati personali (d.lgs. 30 giugno 2003, n. 196, di seguito denominato"Codice"), notificata tramite il Nucleo privacy della Guardia difinanza (prot. n. 17707/69118 del 5 settembre 2011);

VISTIgli atti dell'accertamento ispettivo effettuato dal Nucleo privacy dellaGuardia di finanza, di cui ai verbali di operazioni compiute del 16 e del 17novembre 2011, da cui è risultato che presso l'Hotel Blu Inn sono presenti dueimpianti di videosorveglianza: uno composto da quattro telecamere posteall'interno dell'Hotel (che pur non risultando funzionante al momentodell'accertamento, era installato in posizione tale da rendere possibile laripresa dei lavoratori) e uno composto da quattro telecamere posizionateall'esterno dell'edificio, le cui immagini sono visionabili in tempo reale suun monitor posto nella sala reception dal personale dipendente, non designatoincaricato del trattamento. Sebbene questo impianto fosse configurato in modotale da consentire la conservazione delle immagini per un periodo di tempo paria 40 giorni, è stato verificato che le immagini più datate risalivano a dodicigiorni precedenti (5 novembre 2011), comunque un periodo superiore a quellostabilito dal Garante con il provvedimento sulla videosorveglianza dell'8 aprile 2010 ederano consultabili senza la necessità di inserire password o altri criteri diprotezione. Rispetto a questo impianto, inoltre, è stata riscontrata lapresenza all'esterno dell'Hotel di cartelli recanti l'informativa minima, prividell'indicazione del titolare e delle finalità del trattamento e con ilriferimento alla "rilevazione" anziché alla "registrazione"delle immagini;

VISTOil verbale n. 4/2012 del 20 gennaio 2012 con cui sono state contestate allaOreiade s.r.l., con sede legale in Milano, Via Benvenuto Cellini n. 1, P.I.11808420159, in persona del legale rappresentante pro-tempore, le violazioniamministrative previste dall'art. 161 del Codice, in combinato disposto conl'art. 164-bis, comma 1, in relazione all'inidonea informativa resa agliinteressati, dall'art. 162, comma 2-ter per l'inosservanza del provvedimentosulla videosorveglianza (punto 3.3, 3.4 e 4.1) e dall'art. 162, comma 2-bis, inrelazione agli artt. 33 e 34 del medesimo Codice;

RILEVATOche dal rapporto predisposto ai sensi dell'art. 17 della legge 24 novembre 1981n. 689 dal predetto Nucleo che non risulta effettuato il pagamento in misuraridotta in relazione alle violazioni per le quali la legge ammette tale facoltà(artt. 161 e 162, comma 2-ter del Codice);

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge 24 novembre 1981n. 689 con cui la parte, in relazione alla contestazione per inidoneainformativa, ha dichiarato che al caso di specie vanno applicate ledisposizioni del Codice che consentono di omettere l'informativa e di nonacquisire il consenso degli interessati in quanto trattasi di trattamentieffettuati per far valere o difendere un diritto in sede giudiziaria. Inparticolare, il sistema di videosorveglianza è stato installato per perseguireinteressi legittimi, quali la sicurezza e la tutela della persone e dei beni dapossibili aggressioni, che non richiede il consenso degli interessati.Pertanto, pur non ritenendo necessario apporre l'informativa per le suesposteesigenze di sicurezza, ha esposto i cartelli con le indicazioni essenziali.Quanto, invece, alla violazione delle misure di cui agli artt. 33 e 34 delCodice, la parte ha sottolineato che la designazione degli incaricati deltrattamento non era un adempimento doveroso in quanto i dipendenti non avevanofacoltà di accedere alla registrazione delle immagini, non essendo nemmeno inpossesso della password di autenticazione, mentre tale facoltà era solo in capoal titolare del trattamento. Infine, rispetto alla contestazione perinosservanza del provvedimento, la parte ha precisato che, sebbene l'impiantodi videosorveglianza consentisse di conservare le immagini registrate fino a 40giorni, egli stesso provvedeva a "verificare settimanalmente l'eventualeutilità delle immagini [raccolte] prima di cancellarle". D'altra parte,"nessuna previsione normativa presuppone la necessità che vi sia unsistema di cancellazione automatica delle immagini". In ultimo, la parteha fatto presente che le telecamere interne, che secondo gli agenti accertatorierano idonee a riprendere l'attività dei lavoratori, in realtà non erano attivee che, in ogni caso, non erano orientate sul desk della reception;

RITENUTOche le argomentazioni addotte dalla parte non risultano idonee in relazione aquanto contestato, in quanto il trattamento dei dati personali effettuato permezzo del sistema di videosorveglianza non risulta lecito sotto diversi puntidi vista. In primo luogo, si osserva che le argomentazioni in base alle qualiil trattamento in esame è effettuato per far valer o difendere un diritto insede giudiziaria non sono pertinenti al caso in esame, laddove invece èevidente che il sistema di videosorveglianza è stato installato per esigenze ditutela e di sicurezza. Il perseguimento di tale finalità, diversamente daquanto ritenuto, non esime il titolare del trattamento dall'obbligo di renderel'informativa che, in base alle disposizioni del provvedimento sullavideosorveglianza già richiamato, deve indicare i riferimenti del titolare e, comedetto, delle finalità del trattamento, nonché la precisazione relativa allarilevazione o alla registrazione delle immagini, elementi che non sono statiriscontrati nei cartelli esposti all'esterno dell'hotel. Pertanto, risultainconferente il richiamo alle disposizioni di cui agli artt. 13, comma 5, lett.b) e 24, comma 1, lett. f) , del Codice che appunto si riferiscono alla diversaipotesi in cui il trattamento è effettuato per difendere un diritto ingiudizio. Con riferimento alla violazione dell'obbligo di informativa, nonrileva neanche il richiamo all'art. 24, comma 1, lett. g), che afferisce aicasi di esclusione del consenso. Sotto un altro aspetto, è stata rilevatal'illiceità del trattamento per la mancata adozione di idonee misure disicurezza, non avendo la parte provveduto a designare gli incaricati deltrattamento e ad assegnare le credenziali di autenticazione per accedere allavisione delle immagini conservate. La parte ha osservato di non aver provvedutoalle designazioni degli incaricati perché nessuno dei propri dipendenti avevafacoltà per accedere alle immagini. In realtà, in base al provvedimento sullavideosorveglianza già citato, "il titolare o il responsabile devonodesignare per iscritto tutte le persone fisiche incaricate del trattamento,autorizzate sia ad accedere ai locali dove sono situate le postazioni dicontrollo, sia ad utilizzare gli impianti e, nei casi in cui sia indispensabileper gli scopi perseguiti, a visionare le immagini". Pertanto, aprescindere dalla circostanza che la consultazione delle immagini conservatefosse esclusa ai dipendenti, si doveva provvedere in ogni caso alladesignazione quali incaricati del trattamento di coloro che avevano possibilitàdi visionare le immagini e ad attribuire le credenziali di autenticazione acoloro che, sulla base di competenze specificamente previste, potevano accederealle registrazioni conservate. Sotto questo aspetto, infatti, è risultato dagliaccertamenti ispettivi che non era stata predisposta alcuna misura per selezionarel'accesso alle immagini registrate e che, pertanto, esse erano visualizzabilida chiunque potesse materialmente accedere alla postazione. Tra l'altro, siosserva che le credenziali di autenticazione che la parte dichiara di avere insuo esclusivo possesso, in realtà si riferiscono a quelle predisposte peraccedere alle modalità di configurazione del DVR digitale che, come risultadagli stessi verbali di operazioni compiute, non erano mai state modificate,tant'è che non erano state modificate le impostazioni relative ai tempi diconservazione delle immagini. Con riferimento a quest'ultimo aspetto, ilprovvedimento sulla videosorveglianza precisa che il sistema utilizzato deveessere programmato in modo tale da operare la cancellazione delle immagini entroun termine massimo che si è individuato nelle 24 ore dal momento dellarilevazione (punto 3.4 del provvedimento), mentre in tutti i casi in cui sivoglia procedere ad un allungamento dei tempi di conservazione (per un periodosuperiore a sette giorni) deve essere presentata una istanza di verificapreliminare all'Autorità, in ragione di specifiche e motivate esigenze. Nelcaso in esame, gli agenti accertatori hanno verificato che le immagini eranoconservate per un periodo di dodici giorni, comunque superiore a quello massimostabilito dal Garante nel citato provvedimento. Infine, considerato che letelecamere interne non sono risultate funzionanti al momento del sopralluogoispettivo, con la nota n. 29553 del 20 novembre 2013 dell'Unità lavoro pubblicoe privato è stata comunicata la chiusura dell'istruttoria senza l'adozione dispecifici provvedimenti per quanto riguarda il controllo dei lavoratori permezzo delle videocamere interne;

RILEVATO,pertanto, che Oreiade s.r.l. ha effettuato un trattamento di dati personali aisensi dell'art. 4, comma 1, lett. a) e b) del Codice, omettendo di renderel'informativa agli interessati ai sensi dell'art. 13 del medesimo Codice, diadottare le misure minime di sicurezza, anche in considerazione di quantoprevisto dal provvedimento del Garante sulla videosorveglianza datato 8 aprile2010;

VISTOl'art. 161 del Codice che punisce la violazione delle disposizioni di cuiall'art. 13 con la sanzione amministrativa del pagamento di una somma daseimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-bis, del Codice che punisce la violazione delledisposizioni indicate nell'art. 33 con la sanzione amministrativa del pagamentodi una somma da diecimila euro a centoventimila euro;

VISTOl'art. 162, comma 2-ter, del Codice che punisce l'inosservanza deiprovvedimenti di cui all'art. 154, comma 1, lett. c), con la sanzioneamministrativa del pagamento di una somma da trentamila euro a centottantamilaeuro;

RITENUTOche, nel caso di specie, ricorrono le condizioni per applicare l'art. 164-bis,comma 1, del Codice, il quale prevede che se taluna delle violazioni di cuiagli art. 161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimistabiliti negli stessi articoli sono applicati in misura pari a due quinti,limitatamente alle violazioni di cui agli artt. 161 e 162, comma 2-ter, delCodice;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, l'ammontare della sanzione pecuniaria, nella misura di euro 2.400,00(duemilaquattrocento) con riferimento alla violazione di cui all'art. 161 delCodice, applicata in combinato disposto con l'art. 164-bis, comma 1, nellamisura di euro 10.000,00 (diecimila) con riferimento alla violazione di cuiall'art. 162, comma 2-bis, e nella misura di euro 12.000,00 (dodicimila) conriferimento alla violazione di cui all'art. 162, comma 2-ter, per un ammontarecomplessivo pari a euro 24.400,00 (ventiquattromilaquattrocento);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Giovanna Bianchi Clerici;

ORDINA

aOreiade s.r.l., con sede legale in Milano, Via Benvenuto Cellini n. 1, P.I.11808420159, in persona del legale rappresentante pro-tempore, di pagare lasomma di euro 24.400,00 (ventiquattromilaquattrocento) a titolo di sanzioneamministrativa pecuniaria per le violazioni previste dagli artt. 161, 162,comma 2-bis e 162, comma 2-ter, del Codice indicate in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 24.400,00 (ventiquattromilaquattrocento)secondo le modalità indicate in allegato, entro 30 giorni dalla notificazionedel presente provvedimento, pena l'adozione dei conseguenti atti esecutivi anorma dall'art. 27 della legge 24 novembre 1981, n. 689, prescrivendo che, entroil termine di giorni 10 (dieci) dal versamento, sia inviata a questa Autorità,in originale o in copia autentica, quietanza dell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 6 febbraio 2014

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia