Garante per la protezione
    dei dati personali


Impianto di videosorveglianza installato presso una farmacia

PROVVEDIMENTO DEL 20 NOVEMBRE 2014

Registrodei provvedimenti
 n. 559 del 20 novembre 2014

 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, delladott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano,componenti, e del dott. Giuseppe Busia, segretariogenerale;

ESAMINATA la documentazione inatti;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia diprotezione dei dati personali, di seguito "Codice");

VISTO il provvedimento generaledel Garante dell'8 aprile 2010, in materia di trattamento di dati personalieffettuato tramite sistemi di videosorveglianza (G.U. n. 99 del 29 aprile 2010e in www.garanteprivacy.it, doc. web n. 1712680);

VISTO il verbale di accertamentoispettivo del 3 settembre 2013 redatto dal "Nucleo Speciale Privacy"della Guardia di finanza, avente ad oggetto iltrattamento effettuato mediante un impianto di videosorveglianza installatopresso la "Farmacia dr. Tomaselli Franco"in viale Beata Vergine del Carmelo in Roma (di seguito, la farmacia), dal qualeemerge che:

-   il menzionatosistema di videosorveglianza, installato per "esigenze di sicurezza e ditutela del patrimonio aziendale ivi compreso il personale dipendente" aseguito del verificarsi di "diciassette rapine, anche a mano armata [Š]dal 1982 ad oggi", consta di "8 telecamerefunzionanti, [Š] n. 5 monitor e [Š] un registratore digitale" (cfr.verbale 3.9.2013, p. 2);

-   secondoquanto dichiarato dal responsabile della farmacia, "il titolare deltrattamento dei dati personali è da individuarsi nella mia persona in quanto titolare della ditta individuale" (cfr.verbale cit., p. 2);

-   l'accessoalle immagini registrate è consentito solo al titolare, mentre "tutti gliundici dipendenti [Š] possono visualizzare solo le immagini in temporeale" (cfr. verbale cit., p. 2);

-   mentre settetelecamere – posizionate all'internodell'esercizio e collegate al registratore digitale – "invianocontinuativamente nell'arco delle 24 ore le immagini sia al registratoredigitale, sia alla centrale operativa della Sicuritalia",la telecamera collocata sull'ingresso della farmacia "invia le immaginisoltanto al monitor ivi ubicato" (cfr. verbale cit., p. 2);

-   i monitorsono collocati nello spazio antistante il bancone, nellocale adibito allo smistamento della merce e nell'ufficio del responsabiledell'esercizio (cfr. verbale cit., p. 2);

-   la società Sicuritalia, con la quale il responsabile della farmacia hastipulato apposito contratto per la fornitura delservizio di vigilanza (in data 24.4.2009, cfr. All 2verbale cit.), in caso di "allarme notturno [Š] interviene con appositapattuglia che si mantiene all'esterno della farmacia e provvede" acontattare telefonicamente il responsabile, mentre in caso di "allarmediurno [Š] provvede a richiedere [Š] se vi siano ragioni delittuose o meno allabase dell'attivazione dell'allarme" (cfr. verbale cit., p. 2);

-   "tuttele telecamere, ad eccezione di quella posizionataall'ingresso della farmacia, inviano le immagini in tempo reale anche almonitor posizionato nel[l'] ufficio [delresponsabile]. Vi sono altresì immagini che riprendono glispazi adibiti alla cassa per ovvi motivi di sicurezza" (cfr. verbale cit.,p. 3);

-   le telecamere"sono posizionate soltanto negli spazi aperti alpubblico" (cfr. verbale cit., p. 3);

-   ilregistratore "è configurato per conservare le immagini per un periodo nonsuperiore alle 48 ore fatti salvi eventuali episodidelittuosi" (cfr. verbale cit., p. 3);

-   per quantoriguarda la conformità dei trattamenti effettuati alla disciplina in materia dicontrollo a distanza dei lavoratori il titolare hadichiarato che i dipendenti "erano consapevoli" dell'installazionedel sistema di videosorveglianza, il quale sarebbe stato comunque"istituito soltanto per proteggere i dipendenti e mai percontrollarli" (cfr. verbale cit., p. 3);

-   il titolare,infine, si è riservato di verificare "l'esistenza di un eventuale accordocon i dipendenti [nonché la] nomina a responsabile [di]Sicuritalia" (cfr. verbale cit., p. 4);

VISTA la successivacomunicazione, e l'allegata documentazione, pervenuta il 24 settembre 2013 conla quale il titolare, a parziale rettifica di quanto precedentementedichiarato, ha precisato che:

-   le telecamereinstallate sono in numero di 10, delle quali due"conferite in comodato d'uso da Sicuritalia, lecui immagini vengono registrate presso la medesima Società e solo dalla stessavisualizzate";

-   le immaginiregistrate da sette telecamere "di proprietà della farmacia [Š] sonocontinuamente inviate al solo ed unico registratoredigitale presente in loco [Š] custodito in apposito armadio chiuso a chiave edaccessibile solo" al responsabile dell'esercizio;

-   una ulteriore telecamera, posta in prossimità dell'ingresso,"invia le immagini – che non vengono registrate – solo edunicamente al monitor ivi ubicato";

-   i dipendentiavrebbero prestato apposite "dichiarazioni diconsenso" in relazione al trattamento effettuato mediante il sistema divideosorveglianza; in proposito risultano allegate 12 distinte informative,sprovviste di data, recanti altrettante sottoscrizioni "per ricevuta epresa visione", relative all'esistenza di un impianto composto di ottotelecamere "con videoregistrazione [Š] del luogo di lavoro";

VISTA la comunicazione di Sicuritalia s.p.a., pervenuta indata 17 giugno 2014 a seguito di una richiesta di elementi formulatadall'Ufficio, con la quale la società ha dichiarato che:

-   in base alcontratto, "tutt'ora in essere", stipulatoin data 24.4.2009 con la Farmacia Tomaselli, lasocietà fornisce un "servizio di ricezione di segnalazioni di allarmeprovenienti [dalla farmacia] in caso di intrusione/manomissione impianto,rapina, e mancanza di alimentazione elettrica e conseguente pronto interventoin loco con funzioni ispettive" (cfr. comunicazione 17.6.2014 cit., p.1-2);

-   lesegnalazioni di allarme "pervengono alla centrale operativa [dellasocietà] tramite [Š] apparecchiature concesse in comodato alla Farmacia, tra le quali non risulta tuttavia alcuna telecamera" (cfr.comunicazione cit., p. 2);

-   piωprecisamente la società ha fornito in comodato "oltre alla perifericaradio e al dispositivo di telesoccorso, la periferica videoARC 4 [Š] che consente di collegare alla centrale operativa [Š] le duetelecamere site presso il cliente – che nello specifico riprendonorispettivamente l'ingresso e il bancone della farmacia – permettendo cosìall'operatore [Š] di visualizzare, a seguito di allarme, le sole immaginitrasmesse da queste due telecamere. Nessuna immagine proveniente dalle altretelecamere della cliente può invece venirevisualizzata dai nostri operatori" (cfr. comunicazione cit., p. 2);

-   alla luce della descritte caratteristiche del trattamento,la titolarità del trattamento deve essere riconosciuta in capo alla farmacia,la quale ha concretamente stabilito "le finalità  e le modalità diesecuzione" del servizio di vigilanza affidato alla società in relazionealle "esigenze di tutela della sicurezza propria e dei beni siti pressol'immobile di sua proprietà" (cfr. comunicazione cit., p. 2);

-   le immaginiraccolte presso i locali della farmacia e trasmesse alla centrale operativadella società "vengono conservate [dalla stessa]non oltre le 24 ore successive alla rilevazione (fatte salve speciali esigenzedi ulteriore conservazione in relazione a festività o chiusura di uffici o diparticolare rischiosità dell'attività svolta, comunque non superiori ai 7giorni)" (cfr. comunicazione cit., p. 3);

VISTO che, in base alledichiarazioni rese all'Autorità nel corso del procedimento – della cuiveridicità si può essere chiamati a rispondere ai sensi dell'art. 168 delCodice ("Falsità nelle dichiarazioni e notificazioni al Garante")– e della documentazione in atti (tra cui la proposta diincarico per servizi di vigilanza ed il contratto di comodatosottoscritti con la società il 24.4.2009), la farmacia Tomaselliè risultata essere titolare dei trattamenti di dati personali (ai sensi e pergli effetti previsti dagli artt. 4, comma 1, lett. f) e 28 del Codice)effettuati attraverso l'impianto di videosorveglianza installato presso ilocali dell'esercizio, considerato che la medesima, oltre a dotarsi delmenzionato sistema e fissarne le finalità, è risultata altresì effettuareun'attività di controllo in tempo reale delle immagini attraverso i monitorcollocati all'interno dell'esercizio oltre a disporre delle immaginiregistrate, pur essendo l'attività di registrazione demandata (limitatamente adalcune periferiche video) alla società incaricata della vigilanza;

RILEVATO che il titolare deltrattamento non ha provveduto a designare la società Sicuritalia, incaricata dell'attività di vigilanza,responsabile del trattamento ai sensi dell'art. 29 del Codice, pur avendo effettuato quest'ultima operazioni di trattamento dei datipersonali riferiti a dipendenti e clienti della farmacia;

RILEVATO inoltre che in atti non risulta essere stata effettuata la designazione per iscrittodei propri incaricati del trattamento, ai sensi dell'art. 30 del Codice;

CONSIDERATO che l'installazionedi sistemi di rilevazione delle immagini deve avvenire nel rispetto, oltre chedella disciplina in materia di protezione dei dati personali, anche delle altredisposizioni dell'ordinamento civile e penale applicabili,comprese le vigenti norme in materia di controllo a distanza dei lavoratori;

RILEVATOche il divieto di controllo a distanza dell'attività lavorativa – e conesso le garanzie previste dall'art. 4, comma2, l. n. 300/1970 – non viene meno per il fatto chei lavoratori siano al corrente dell'esistenza del sistema di videosorveglianzae del suo funzionamento (cfr. Cass., 18 febbraio 1983, n. 1236; Cass., sez. lav., 16 settembre 1997, n. 9211);

RILEVATO che in atti risultano le informative rese dal titolare ai dipendenti (eda questi sottoscritte "per ricevuta e presa visione") che noncontengono elementi relativi a caratteristiche essenziali del trattamento,quali i tempi di conservazione e l'indicazione dei soggetti o delle categoriedi soggetti ai quali i dati possono essere comunicati;

RILEVATO che, comunque, ilsistema risulta idoneo a riprendere e registrarel'attività di quanti, ivi compresi i lavoratori nello svolgimento della propriaattività, transitano od operano nelle aree interessate e che non risultano esserestate attivate le garanzie previste dalla disciplina in materia di controllo adistanza dei lavoratori, come richiesto dall'art. 4, comma 2, l. n. 300/1970 (richiamato dall'art. 114 del Codice) nonchéin conformità con quanto stabilito dal Garante nel provvedimento generale inmateria di videosorveglianza dell'8 aprile 2010;

RITENUTO pertanto che ildescritto trattamento risulta effettuato dallafarmacia in violazione della disciplina di protezione dei dati personali nonchédella rilevante disciplina di settore (artt. 11, comma 1, lett. a) e 114 delCodice in relazione all'art. 4, comma 2, l. n. 300/1970; artt. 13, 29 e 30 del Codice);

CONSIDERATO che, ai sensi degliartt. 143, comma 1, lett. b) e 154, comma 1, lett. c),del Codice il Garante può prescrivere anche d'ufficio le misure necessarie oopportune al fine di rendere il trattamento conforme alle disposizioni vigenti;

RITENUTO pertanto di doverprescrivere alla farmacia, quali misure necessarie al fine di rendere ilsuddetto trattamento conforme alla disciplina in materia di protezione dei datipersonali di:

€  designare Sicuritalia s.p.a. responsabiledel trattamento, provvedendo altresì ad impartire le istruzioni previstedall'art. 29, comma 5 del Codice, con particolareriferimento all'indicazione dei termini di conservazione delle immagini;

€  designare periscritto gli incaricati del trattamento, ai sensi degli artt. 30 e ss. del Codice;

€  fornire aidipendenti un'informativa completa di tutti gli elementi indicati dall'art. 13del Codice;

€  attivarele procedure previste dal richiamato art. 4, comma 2, l. n.300/1970, fatti salvi nel frattempo i diritti dei lavoratori, con particolareriferimento, nel caso di specie, alla presentazione della necessariarichiesta di autorizzazione al competente Ufficio periferico del Ministero dellavoro;

RISERVATAla valutazione da parte dell'Autorità, con autonomo procedimento, dellasussistenza di violazioni amministrative in capo al titolare del trattamento ai sensi dell'art. 162, comma 2-bis delCodice, con particolare riferimento a quanto disposto dagli artt. 33 e ss. del Codice in materia di misure di sicurezza;

RILEVATO che, in caso di inosservanza del presente provvedimento, si renderàapplicabile la sanzione di cui all'art. 162, comma 2-ter del Codice;

VISTE le osservazioni formulatedal segretario generale ai sensi dell'art. 15 del regolamentodel Garante n. 1/2000;

RELATORE la dott.ssaGiovanna Bianchi Clerici;

TUTTO CIO' PREMESSO, IL GARANTE

nei confronti di Farmacia dr. Tomaselli Franco conriferimento al trattamento effettuato presso l'esercizio sito in viale BeataVergine del Carmelo in Roma:

1. dichiara illecito, nei termini di cui in motivazione, iltrattamento effettuato a mezzo del sistema divideosorveglianza;

2. prescrive, ai sensi dell'art. 154, comma 1, lett. c) e 143, comma 1, lett. b) del Codice, di:

€   designare Sicuritalia s.p.a. responsabiledel trattamento, provvedendo altresì ad impartire le istruzioni previstedall'art. 29, comma 5 del Codice, con particolareriferimento all'indicazione dei termini di conservazione delle immagini;

€   designare periscritto gli incaricati del trattamento, ai sensi degli artt. 30 e ss. del Codice;

€   fornire aidipendenti un'informativa completa di tutti gli elementi indicati dall'art. 13del Codice;

€   attivare le procedure previste dal richiamato art. 4, comma 2, l. n. 300/1970, fatti salvi nel frattempo i diritti deilavoratori, con particolare riferimento, nel caso di specie, alla presentazionedella necessaria richiesta di autorizzazione al competente Ufficio perifericodel Ministero del lavoro;

3. ai sensi dell'art. 157del Codice, invita la farmacia a dare comunicazione al Garante delle misureadottate entro 60 giorni dalla data di ricezione delpresente provvedimento.

Ai sensi degli artt. 152 delCodice e 10 del d.lg. n.150/2011, avverso il presente provvedimento può essere proposta opposizioneall'autorità giudiziaria ordinaria, con ricorso depositato al tribunaleordinario del luogo ove ha la residenza il titolare del trattamento dei dati,entro il termine di trenta giorni dalla data di comunicazione del provvedimentostesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 20 novembre 2014

Il presidente
Soro

Il relatore
Bianchi Clerici

Il segretario generale
Busia