[doc. web n. 9815745]

Ordinanza ingiunzione nei confronti di Immobiliare Riscostruzione Meloria s.r.l. - 15 settembre 2022

Registro dei provvedimenti
n. 300 del 15 settembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la nota trasmessa dalla Polizia municipale del Comune di Milano;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. La segnalazione e l’attività istruttoria.

Con la nota del 21 maggio 2020 la Polizia municipale del Comune di Milano, all’esito del sopralluogo effettuato a seguito di un esposto, comunicava a questa Autorità che presso lo stabile di via Meloria 2 era funzionante un impianto di videosorveglianza costituito da quattro telecamere, la cui installazione, secondo quanto dichiarato dal gestore dell’immobile, sarebbe stata disposta dall’amministratore unico della società proprietaria dell’immobile, Immobiliare Ricostruzione Meloria srl (d’ora in poi la Società), su richiesta di alcuni inquilini.

In data 4 giugno 2020 si riceveva anche la segnalazione del sig. XX che lamentava l’installazione del suddetto impianto di videosorveglianza.

Al fine di acquisire elementi di valutazione in ordine ai quanto segnalato, con la richiesta di informazioni dell’8 ottobre 2021, formulata ai sensi dell’art. 157 del d.lgs. n. 196 del 2003, recante il Codice in materia di protezione dei dati personali, si delegava il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza ad effettuare gli opportuni accertamenti.

Con la nota del 22 dicembre 2021 il Nucleo trasmetteva all’Ufficio il verbale delle operazioni compiute redatto nell’ambito dell’intervento delegato dal quale si rilevava che, presso lo stabile sito in Milano, via Meloria 2, era in funzione un sistema di videosorveglianza costituito da 4 telecamere delle quali: una collocata in prossimità del portone, che riprendeva lo spazio antistante l’accesso allo stabile; una posta nell’abito dell’androne dello stabile che riprende lo spazio antistante all’ascensore; due collocate sul muro antistante il cortile posto sul retro dello stabile, che riprendono il cortile e le rampe di accesso alle cantine e a un appartamento posto nello stabile.

Le immagini riprese dalle telecamere venivano visualizzate su di un monitor e memorizzate su un dispositivo di registrazione, entrambi collocati nella portineria.

Nel corso dell’accertamento ispettivo veniva altresì verificato che, sul lato sinistro del portone di ingresso allo stabile, era presente un cartello riportante la figura di una telecamera stilizzata, privo però di informazioni relative al titolare e alle finalità del trattamento.

Sulla base del sopralluogo effettuato e delle dichiarazioni acquisite agli atti, non è emersa la presenza di ulteriori cartelli, né la disponibilità di un testo di informativa completa, presso i locali della portineria.

2. L’esito dell’istruttoria e del procedimento sanzionatorio.

L’Ufficio, sulla base delle risultanze degli accertamenti eseguiti, con la nota del 25 marzo 2022 notificava alla Società l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione dei principi generali in materia di protezione dei dati personali di cui all’art. 5, par. 1, lett. a) e dell’art. 13 del Regolamento.

All’esito delle attività di verifica eseguite e delle successive valutazioni effettuate dall’Ufficio risulta accertato che la Società ha effettuato un trattamento di dati personali, per mezzo di un impianto di videosorveglianza in assenza di idonea informativa, in violazione dei principi generali in materia di protezione dei dati personali di cui all’art. 5, par. 1, lett. a) e in spregio a quanto stabilito dall’art. 13 del Regolamento.

L’utilizzo di sistemi di videosorveglianza può determinare, in relazione al posizionamento delle telecamere e alla qualità delle immagini riprese, un trattamento di dati personali.

Tale trattamento deve essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento e, in particolare, del principio di trasparenza che presuppone che “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”.

A questo scopo quindi il titolare del trattamento deve apporre idonei cartelli informativi da cui risulti l’indicazione del titolare e delle finalità del trattamento, secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza - 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità).

Analogamente le Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video, punto 7) specificano che “Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)”.

Nelle Linee guida si prevede inoltre che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”.

Le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi) “per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

Nel caso di specie, la mera apposizione all’ingresso dello stabile di un cartello riportante l’immagine di una telecamera stilizzata, privo di qualsiasi riferimento al titolare del trattamento e alle sue finalità, non consente agli interessati di conoscere gli elementi essenziali del trattamento e di sapere a chi rivolgersi per esercitare i propri diritti.

Benché l’atto di avvio del procedimento risulti regolarmente notificato via pec all’indirizzo della Società, non risultano pervenute memorie o scritti difensivi (art. 18 della legge n. 689 del 1981).

3. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Il trattamento dei dati personali effettuato dalla Società risulta pertanto illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) (principio di trasparenza) e 13 (informativa) del Regolamento.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. cons. 148 del Regolamento).

In considerazione del fatto che la Società, dopo gli accertamenti e comunque a seguito della notifica della violazione, non ha fatto pervenire elementi dai quali si possa rilevare che abbia provveduto a collocare idonee informative in relazione al trattamento oggetto del presente procedimento, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento, si ritiene necessario:

ingiungere al titolare di conformare i trattamenti effettuati attraverso il sistema di videosorveglianza provvedendo a installare cartelli informativi idonei secondo le indicazioni riportate al punto 2 della presente decisione, (art. 58, par. 2, lett. d) del Regolamento);

applicare una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) del Regolamento).

4. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla parte per mezzo dell’impianto di videosorveglianza, in violazione dell’art. 5, par. 1, lett. a) e dell’art. 13 del Regolamento. 

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione è stata presa in considerazione la negligente condotta del titolare del trattamento;

l’assenza di precedenti specifici a carico della parte relativi a violazioni della disciplina in materia di protezione dei dati personali;

la circostanza che la parte non ha cooperato con l’Autorità nel corso del procedimento, non inviando propri scritti difensivi.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate con riferimento al bilancio di esercizio per l’anno 2020.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila) per la violazione dell’art. 5, par. 1, lett. a) e dell’art. 13 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 57, par. 1, lett. a) e 83 del Regolamento, dichiara l’illiceità del trattamento effettuato da Immobiliare Riscostruzione Meloria srl, con sede legale in via Via Gonzaga, 2 (MI), nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento;

ORDINA

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento a Immobiliare Riscostruzione Meloria s.r.l., di pagare la somma di euro 2.000,00 (duemila) a titolo di sanzione amministrativa pecuniaria per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento;

INGIUNGE

a Immobiliare Riscostruzione Meloria s.r.l., ai sensi dell’art. 58, par. 2, lett. d) e i) del Regolamento di:

a) pagare la somma di euro 2.000,00 (duemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante il pagamento, sempre secondo le modalità indicate in allegato, di un importo pari alla metà della sanzione comminata entro il termine di cui all’art. 10, comma 3, del d.lgs. n. 150 del 2011;

b) conformare i trattamenti effettuati attraverso il sistema di videosorveglianza, provvedendo a installare cartelli informativi idonei secondo le indicazioni riportate al punto 2 della presente decisione. In relazione a questo punto, si invita la Società, ai sensi dell’art. 157 del Codice, a fare pervenire, entro trenta giorni dalla notifica del provvedimento, un riscontro documentato delle iniziative adottate per conformarsi alla prescrizione.

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019, nonché l’annotazione delle violazioni nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 15 settembre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei