Garante per la protezione
    dei dati personali


Ordinanza di ingiunzione nei confrontidi SIGE S.p.a.

PROVVEDIMENTO DEL 20 MARZO 2014

Registro dei provvedimenti
 n. 139 del 20 marzo 2014

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, alla presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della prof.ssa Licia Califano,componente e del dott. Giuseppe Busia, segretario generale;

RILEVATOche il Nucleo privacy della Guardia di finanza, nel corso di accertamentisvolti presso la società Domenico Sanfilippo Editore S.p.a., in esecuzionedella richiesta di informazioni n. 3029/78073 del 7 febbraio 2012 formulata aisensi dell'art. 157 del d.lgs. 30 giugno 2003, recante il Codice in materia diprotezione dei dati personali (di seguito "Codice"), rilevava che,presso lo stabile sito in Catania, Via Odorico da Pordenone n. 50, era presenteun sistema di videosorveglianza, la cui titolarità era riconducibile a SocietàIndustriale Grafica Editoriale S.p.a. (di seguito "SIGE"), comeriportato nei verbali di operazioni compiute del 3 e 4 aprile 2012 e nelverbale di assunzione informazioni del 5 aprile 2012. L'impianto divideosorveglianza è risultato composto da 13 telecamere, dislocate sull'interostabile, "attive in tutto l'arco delle 24 ore, tutte a focale fissa e nonbrandeggiabili, le cui immagini sono visionabili su dei monitor presenti in trepostazioni ()", collegate a un sistema di registrazione delle immagini.E' stato verificato, inoltre, che il registratore digitale era impostato per laconservazione delle immagini fino a 13 giorni e che, effettivamente, leimmagini più datate risalivano al 20 marzo 2012, ovvero a un periodo superiorea quello massimo previsto dal Garante con il provvedimento sullavideosorveglianza dell'8 aprile 2010 (doc. web n. 1712680). E' stato, anche,accertato che, a fronte del trattamento di dati personali effettuato medianteil suddetto impianto, erano presenti due cartelli riportanti la dicitura "Zonasoggetta a vigilanza elettronica", privi dell'indicazione del titolare edelle finalità del trattamento, collocati ben oltre l'inizio del campo diripresa delle telecamere;

VISTOil verbale n. 27/2012 del 18 aprile 2012 con cui sono state contestate allaSIGE S.p.a., con sede legale in Catania, Via Odorico da Pordenone n. 50,P.I.00253630875, in persona del legale rappresentante pro-tempore, leviolazioni amministrative previste dall'art. 161 del Codice, in relazioneall'inidonea informativa resa agli interessati, dall'art. 162, comma 2-ter delmedesimo Codice per l'inosservanza del provvedimento sulla videosorveglianza(punti 3.3 e 3.4 relativi ai tempi di conservazione delle immagini);

RILEVATOche dal rapporto predisposto ai sensi dell'art. 17 della legge 24 novembre 1981n. 689 dal predetto Nucleo che non risultano effettuati i pagamenti in misuraridotta;

VISTOlo scritto difensivo inviato ai sensi dell'art. 18 della legge 24 novembre 1981n. 689 con cui la parte, in relazione alla contestazione per inidoneainformativa, ha rilevato che, nel verbale di contestazione, gli agentiaccertatori hanno omesso di riferire della presenza di un ulteriore cartello,posto all'ingresso dello stabile, recante un'informativa conforme alleindicazioni contenute nel provvedimento sulla videosorveglianza. Talesituazione, invece, era stata rappresentata dagli stessi agenti nel verbale n.28, recante la contestazione di violazione amministrativa nei confronti dellaDomenico Sanfilippo Editore s.p.a. Secondo la parte, dunque, "il suddettocartello, di cui inspiegabilmente ed erroneamente non vi è traccia nel verbalen. 27/2012, () riporta correttamente l'informativa minima richiesta e previstadall'art. 13, comma 3 ()". In ogni caso, il rinvio ad un'informativacompleta è stato predisposto dalla società mediante la redazione del Documentoprogrammatico sulla sicurezza, in cui sono contenute tutte le informazionirelative alle misure di sicurezza predisposte a tutela dei dati personali,anche mediante il sistema di videosorveglianza. La parte ha poi fatto presenteche, rispetto all'accesso posto sul retro del fabbricato, anch'esso soggetto alcampo di ripresa delle telecamere, non ha ritenuto necessario apporre larelativa informativa trattandosi di un'area ad uso esclusivodell'amministratore della società (e assolutamente escluso all'accesso alpubblico). Infine, quanto al rilievo mosso dalla Guardia di finanza secondo cuiil numero di cartelli collocati nell'intera area sottoposta a videosorveglianzafosse esiguo, la parte ha rilevato come nel citato provvedimento sullavideosorveglianza sia prevista la possibilità, e non la necessità, che inpresenza di più telecamere siano installati più cartelli, in relazione allavastità dell'area e alle modalità di ripresa. Rispetto, invece, allacontestazione per l'inosservanza del provvedimento, la parte ha fatto presenteche la conservazione delle immagini oltre le 48 ore è avvenuta in maniera deltutto eccezionale, a seguito di numerose minacce ricevute. Pertanto, l'esigenzadi monitorare in modo più assiduo i movimenti nella sede della società, haindotto la stessa a conservare le immagini raccolte per un periodo maggiore diquello previsto per legge, in assoluta buona fede e senza attivare la proceduradi verifica preliminare;

LETTOil verbale di audizione, svoltosi in data 8 aprile 2013 ai sensi dell'art. 18della legge 24 novembre 1981 n. 689, con cui la parte ha ribadito quanto giàdichiarato nelle memorie difensive;

RITENUTOche le argomentazioni addotte dalla parte non risultano idonee in relazione aquanto contestato, in quanto il trattamento dei dati personali effettuato permezzo del sistema di videosorveglianza non risulta lecito sotto diversi puntidi vista. In primo luogo, per quel che concerne l'informativa, dagli accertamentiispettivi eseguiti dalla Guardia di finanza è risultato che il sistema divideosorveglianza fosse sufficientemente complesso, composto da 13 telecameredistribuite su più piani dell'edificio in cui, tra l'altro, hanno sede diversesocietà. Risulta, infatti, dal verbale del 3 aprile 2012 che, oltre alletelecamere installate dalla SIGE, ve ne fossero altre tre installate dallasocietà Sicilia Multimedia s.r.l. (la quale si configura come titolare delrelativo trattamento). Risulta dagli atti che il cartello recantel'informativa, posto all'ingresso dello stabile (di cui, secondo la parte, gliagenti hanno omesso di riferire nel verbale), è stato posizionato proprio dallaSicilia Multimedia s.r.l. Tale circostanza è stata confermata dal sig.Beniamino Riggi che, in qualità di rappresentante legale pro-tempore dellaSIGE, ha partecipato alle operazioni della Guardia di finanza, dichiarando che"per quanto riguarda l'accesso dall'ingresso principale non è statopredisposto alcun cartello, in quanto è già presente un cartello riportantel'informativa relativa alla videosorveglianza, predisposto da un'altra società"(verbale del 5 aprile 2012). La presenza di un'informativa posta all'ingressodell'edificio, quindi, si riferiva ad un trattamento posto in essere da unsoggetto diverso dalla SIGE che, infatti, non è stato oggetto di alcun rilievo.Invece, il verbale di contestazione ha riguardato l'inidoneità dell'informativaresa dalla SIGE, relativamente al trattamento effettuato mediante le proprievideocamere, sulla base del fatto che i due cartelli posti al primo e alsecondo piano dello stabile sono risultati privi dell'indicazione del titolaree delle finalità del trattamento. Sotto questo aspetto, il citato provvedimentosulla videosorveglianza prevede espressamente che gli interessati devono esseremessi in grado di conoscere, attraverso l'informativa semplificata di cuil'Autorità ha indicato un modello allegato allo stesso provvedimento, almenogli estremi del titolare del trattamento e le finalità dello stesso, nonché disapere se le immagini sono solo visionate o anche registrate. Ciò risultaparticolarmente rilevante nel caso in cui (come quello di specie), sui medesimispazi insistono sistemi di videosorveglianza gestiti da titolari diversi. Lamancanza di questi elementi, come è stato accertato nel caso di specie, rendel'informativa inidonea con conseguente violazione dell'art. 13 del Codice. Sulpunto non è, pertanto, conferente l'argomentazione della parte secondo cuil'informativa era presente nel DPS, a disposizione di chiunque ne facesserichiesta. Infine, va rilevato che la presenza di due soli cartelli, tral'altro inidonei e non facilmente visualizzabili, in relazione a un numeroassai più elevato di telecamere, distribuite su una vasta area, concorre aindividuare una situazione, nella quale il trattamento di dati personali èstato effettuato in maniera non conforme alle indicazione fornite dal Garantenel provvedimento sulla videosorveglianza. Con riferimento, invece, allaviolazione relativa all'inosservanza del provvedimento, pur non entrando nelmerito degli eventi che hanno determinato la società a conservare le immaginiper un periodo superiore a quello stabilito dalla legge, tali argomentazioninon permettono di applicare al caso in esame l'esimente della buona fede di cuiall'art. 3 della legge 24 novembre 1981, n. 689. Si richiamano ancora una voltale disposizioni contenute nel provvedimento sulla videosorveglianza, il qualeprecisa che la cancellazione delle immagini deve avvenire entro un terminemassimo individuato nelle 24 ore dal momento della rilevazione (punto 3.4 delprovvedimento), facendo salva la possibilità di allungare la conservazionedelle immagini fino a 7 giorni sulla base di comprovate e specifiche esigenze.In tutti i casi in cui si voglia procedere ad un allungamento dei tempi diconservazione per un periodo superiore a sette giorni, deve essere presentatauna istanza di verifica preliminare all'Autorità, alla quale spetta il compitodi valutare i presupposti e, nel caso, definire le misure e gli accorgimentiche il titolare dovrà adottare a garanzia dei diritti degli interessati. Nelcaso in esame, gli agenti accertatori hanno verificato che le immaginirisalivano a circa 12 giorni precedenti, un periodo superiore a quello massimodi sette giorni stabilito dal Garante nel citato provvedimento, termine entroil quale la decisione sulla conservazione delle immagini poteva essere adottataautonomamente dalla società;

RILEVATO,pertanto, che SIGE S.p.a. ha effettuato un trattamento di dati personali aisensi dell'art. 4, comma 1, lett. a) e b) del Codice, rendendo un'informativainidonea ai sensi dell'art. 13 del medesimo Codice e in violazione di quantoprevisto dal provvedimento del Garante sulla videosorveglianza datato 8 aprile 2010;

VISTOl'art. 161 del Codice che punisce la violazione delle disposizioni di cuiall'art. 13 con la sanzione amministrativa del pagamento di una somma daseimila euro a trentaseimila euro;

VISTOl'art. 162, comma 2-ter, del Codice che punisce l'inosservanza deiprovvedimenti di cui all'art. 154, comma 1, lett. c), con la sanzioneamministrativa del pagamento di una somma da trentamila euro a centottantamilaeuro;

RITENUTOche, nel caso di specie, ricorrono le condizioni per applicare l'art. 164-bis, comma1, del Codice, il quale prevede che se taluna delle violazioni di cui agli art.161, 162, 163 e 164 è di minore gravità, i limiti minimi e massimi stabilitinegli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATOche, ai fini della determinazione dell'ammontare della sanzione pecuniaria,occorre tenere conto, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, dell'opera svolta dall'agente per eliminare o attenuare le conseguenzedella violazione, della gravità della violazione, della personalità e dellecondizioni economiche del contravventore;

RITENUTOdi dover determinare, ai sensi dell'art. 11 della legge 24 novembre 1981 n.689, l'ammontare della sanzione pecuniaria, nella misura di euro 2.400,00(duemilaquattrocento) con riferimento alla violazione di cui all'art. 161 delCodice, e nella misura di euro 12.000,00 (dodicimila) con riferimento allaviolazione di cui all'art. 162, comma 2-ter, applicate in combinato dispostocon l'art. 164-bis, comma 1, per un ammontare complessivo pari a euro 14.400,00(quattordicimilaquattrocento);

VISTAla documentazione in atti;

VISTAla legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni;

VISTEle osservazioni dell'Ufficio, formulate dal segretario generale ai sensi dell'art.15 del regolamento del Garante n. 1/2000;

RELATOREla dott.ssa Augusta Iannini;

ORDINA

a SIGES.p.a., con sede legale in Catania, Via Odorico da Pordenone n. 50,P.I.00253630875, in persona del legale rappresentante pro-tempore, di pagare lasomma di euro 14.400,00 (quattordicimilaquattrocento) a titolo di sanzioneamministrativa pecuniaria per le violazioni previste dagli artt. 161, 162,comma 2-ter, del Codice indicate in motivazione;

INGIUNGE

allamedesima società di pagare la somma di euro 14.400,00(quattordicimilaquattrocento) secondo le modalità indicate in allegato, entro30 giorni dalla notificazione del presente provvedimento, pena l'adozione deiconseguenti atti esecutivi a norma dall'art. 27 della legge 24 novembre 1981,n. 689, prescrivendo che, entro il termine di giorni 10 (dieci) dal versamento,sia inviata a questa Autorità, in originale o in copia autentica, quietanzadell'avvenuto versamento.

Ai sensidegli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presenteprovvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 20 marzo 2014

Il presidente
Soro

Il relatore
Iannini

Il segretario generale
Busia