I provvedimenti spiegati alle aziende
con guide, checklist, modelli; AI assisted
Osservatorio a cura del dott. V. Spataro 



   documento 2023-02-01 ·  NEW:   Appunta · Stampa · Cita: 'Doc 96305' · pdf
  

Ordinanza ingiunzione 1° dicembre 2022 [9838992]

abstract:


Documento annotato il 01.02.2023 Fonte: GPDP
Link: https://gpdp.it/web/guest/home/docweb/-/docweb-dis

analisi:

L'analisi è riservata agli iscritti. Segui la newsletter dell'Osservatorio oppure il Podcast iscrizione gratuita 30 giorni


index:

Indice

  • Ordinanza ingiunzione - 1° dicembre 202
  • IL GARANTE PER LA PROTEZIONE DEI DATI PE
  • PREMESSO
  • 1. La segnalazione ricevuta e l’avvio
  • effettuato
  • 3. L’esito dell’istruttoria e del pr
  • 4. Conclusioni: dichiarazione di illicei
  • 5. Ordinanza di ingiunzione.
  • TUTTO CIÒ PREMESSO, IL GARANTE
  • ORDINA
  • INGIUNGE
  • DISPONE

testo:

E

estimated reading time: 13 min

[doc. web n. 9838992]

Ordinanza ingiunzione - 1° dicembre 2022

Registro dei provvedimentin. 407 del 1° dicembre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il verbale della Guardia di Finanza – Nucleo speciale tutela privacy e frodi tecnologiche, trasmesso con nota del 17.12.2021, il quale riferisce un controllo effettuato in data 16 e 17 novembre 2021, nelle due sedi di esercizio dell’impresa individuale Naija Market International di Isidahomhen Joy, esercente l’attività di “Minimercati e altri esercizi non specializzati di alimentari” con due sedi in Modena, Viale Francesco Crispi 6 e Via Antonio Gramsci 11, con cui è stata accertata la presenza di telecamere di videosorveglianza funzionanti mancanti degli apposti cartelli informativi e delle garanzie previste all’art. 4 della L. 300/1970 richiamato dall’art. 114 del Codice;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE prof. Pasquale Stanzione;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento.

Con nota pervenuta il 15.7.2020, la Polizia locale del Comune di Modena trasmetteva la relazione di servizio di un controllo effettuato, in data 30.5.2020, presso l’esercizio commerciale denominato “Joy Unique Collection” sito in Modena, Via Francesco Crispi 6, riferendo la presenza, all’interno dei locali, di 3 telecamere di videosorveglianza funzionanti in assenza dei prescritti cartelli informativi.

Non avendo ricevuto riscontro né alla richiesta di informazioni dell’11.11.2020 né alla successiva richiesta formulata ai sensi dell’art. 157 del Codice, l’Ufficio provvedeva a notificare l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione dell’art. 157 del Codice (prot. n. 28851 del 25.5.2021) e a delegare il controllo alla Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche.

Con nota del 17.12.2021, è stato trasmesso il verbale delle operazioni compiute, in data 16 e 17 novembre 2021, nelle due sedi di esercizio di dell’impresa individuale “Naija Market International di Isidahomhen Joy”, site in Modena, Viale Francesco Crispi 6 e Via Antonio Gramsci 11.

Il suddetto verbale riferiva la presenza, presso la sede di Via Crispi 6, di 3 telecamere funzionanti posizionate all’interno del locale e, presso l’esercizio sito in via Gramsci 11, di 8 telecamere funzionanti poste sempre all’interno del locale.

Inoltre, il verbale riferiva che, pur operando presso le predette sedi personale dipendente (identificato a verbale) e riprendendo le telecamere spazi interni degli esercizi commerciali, non risultava fosse stata richiesta, prima dell’istallazione dei predetti impianti, la prevista autorizzazione all’Ispettorato del Lavoro territorialmente competente.

Con nota del 19.12.2021, l’avv. Ivan Trubbas, per conto della sig.ra Isidahomhen Joy, Titolare della impresa individuale Naija Market International di Isidahomhen, inviava scritti difensivi dichiarando che “le violazioni in argomento sono state poste in essere inconsapevolmente e nella più assoluta buona fede in quanto la sig.ra Isidahomhen Joy non era a conoscenza dell’obbligo (…) di chiedere l’autorizzazione all’Ispettorato del Lavoro. La Titolare della ditta è infatti di nazionalità straniera e la piena conoscenza della normativa sulla privacy, già di per sé particolarmente tecnica, appare ulteriormente difficoltosa. La violazione si può ritenere non grave in quanto ha interessato un numero limitato di dipendenti, ossia un dipendente nel negozio di Via Crispi e due dipendenti nel negozio di Via Gramsci”.

La parte dichiarava altresì che “non appena ha avuto contezza della normativa, è stato immediatamente affisso il cartello e si è provveduto a richiedere la necessaria autorizzazione all’Ispettorato del Lavoro”.

2. Il quadro giuridico del Trattamento effettuato

L’utilizzo di sistemi di videosorveglianza può determinare, in relazione al posizionamento delle telecamere e alla qualità delle immagini riprese, un Trattamento di dati personali. Tale Trattamento deve essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento e, in particolare, del principio di trasparenza che presuppone che “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”.

A questo scopo quindi il Titolare del Trattamento deve apporre idonei cartelli informativi secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza - 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità).

Analogamente le Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul Trattamento dei Dati personali attraverso dispositivi video, punto 7) specificano che “Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello). Nelle linee guida si prevede inoltre che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del Trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”. Le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi) “per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

I trattamenti di Dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. artt. 6, par. 1, lett. c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, ed in particolare del principio di liceità, in base al quale il Trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento). Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al Trattamento dei Dati personali dei lavoratori. Il legislatore nazionale ha approvato, quale disposizione più specifica, l’art. 114 del Codice che tra le condizioni di liceità del Trattamento ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300. La violazione dell’art. 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. d) del Regolamento.

In base al richiamato art. 4, l. n. 300 del 1970 gli apparati di videosorveglianza, qualora dagli stessi derivi “anche la possibilità di controllo a distanza” dell'attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.

L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. art. 171 del Codice). Il Trattamento dei Dati personali effettuato dalla società attraverso il sistema di videosorveglianza risulta, quindi, illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a), 13 e 114 del Codice.

3. L’esito dell’istruttoria e del procedimento sanzionatorio.

Sulla base dell’accertamento effettuato dalla Guardia di finanza è emerso che gli impianti di videosorveglianza, installati presso le due sedi dell’impresa individuale Naija Market International di Isidahomhen Joy, esercente l’attività di “Minimercati e altri esercizi non specializzati di alimentari”, in Modena, Viale Francesco Crispi e 6 e Via Antonio Gramsci 11, sono attivi e funzionanti, che non risultavano essere stati apposti i cartelli recanti l’informativa di cui all’art. 13 del Regolamento e adottate le misure di garanzia, previste dall’art. 4 della Legge n. 300/1970, richiamato dall’art. 114 del Codice, in relazione alla presenza, nei locali videosorvegliati di personale dipendente.

Nel caso di specie, risulta pertanto comprovato che la parte ha effettuato un Trattamento di dati personali, per mezzo di un impianto di videosorveglianza, in assenza della prescritta informativa. Tale condotta si pone in contrasto con quanto stabilito dall’art. 13 del Regolamento, in base al quale il Titolare del Trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento.

Inoltre, considerato che l’installazione del sistema di videosorveglianza non era stata precedentemente autorizzata dall’Ispettorato del Lavoro, il Trattamento è stato effettuato anche in violazione dell’art. 114 del Codice in materia di protezione dei dati personali.

Infine, non avendo fornito riscontro alla richiesta del Garante nei termini previsti, la parte ha anche violato l’obbligo di fornire le informazioni richieste in sede istruttoria dal Garante sancito all’art. 157 del Codice in materia di protezione dei dati personali.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Il Trattamento dei Dati personali effettuato dall’impresa individuale risulta pertanto illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) (principio di trasparenza) e 13 (informativa) del Regolamento e artt. 114 e 157 del Codice in materia di protezione dei dati personali.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione, del grado di responsabilità e della maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. cons. 148 del Regolamento).

Pur avendo la parte, nelle memorie difensive, dichiarato di aver affisso il cartello informativo e provveduto a richiedere la necessaria autorizzazione all’Ispettorato del Lavoro, la stessa non ha inviato alcuna documentazione comprovante quanto dichiarato.

5. Ordinanza di ingiunzione.

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al Trattamento dei Dati personali effettuato dalla società per mezzo dell’impianto di videosorveglianza, di cui è risultata accertata l’illiceità, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a), 13 del Regolamento e all’art. 114 del Codice.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del Titolare del trattamento, nonché la responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati, all’obbligo di fornire le informazioni richieste dal Garante ai sensi dell’art. 157 del Codice e di attuare la procedura di garanzia prevista dall’art. 114 del Codice;

l’assenza di precedenti specifici a carico della società relativi a violazioni della disciplina in materia di protezione dei dati personali;

la circostanza che l’Impresa individuale Titolare del trattamento, malgrado abbia inviato scritti difensivi non ha comunque comprovato quanto dichiarato con idonea documentazione;

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate con riferimento al bilancio di esercizio per l’anno 2020.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 6.000,00 (seimila) per la violazione degli artt. 5, 13 del Regolamento e 114 e 157 del Codice.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del Trattamento effettuato dalla sig.ra Isidahomhen Joy attraverso l’utilizzo del sistema di videosorveglianza installato presso i locali dell’impresa individuale Naija Market International di Isidahomhen, esercente l’attività di “Minimercati e altri esercizi non specializzati di alimentari” di cui la stessa risulta titolare, nei termini di cui in motivazione, per la violazione degli artt. 5, 13 del Regolamento e 114 e 157 del Codice;

ORDINA

alla sig.ra Isidahomhen Joy, Titolare della impresa individuale Naija Market International di Isidahomhen, P.I. 02848451205, con domicilio fiscale in XX, XX e luoghi di esercizio in Modena, Viale Francesco Crispi 6 e Via Antonio Gramsci 11, di pagare la somma di euro 6.000,00 (seimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla stessa sig.ra Isidahomhen Joy, Titolare della impresa individuale Naija Market International di Isidahomhen:

1) di conformare il Trattamento alle disposizioni sopra richiamate, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, entro 60 giorni dalla ricezione del presente provvedimento, laddove non vi abbia già provveduto, con riferimento:

all’apposizione di idonei cartelli informativi della presenza delle telecamere;

all’adempimento di quanto previsto dall’art. 4, comma 1, l. 20.5.1970, n. 300;

2) di pagare la somma di euro 6.000,00 (seimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Richiede alla sig.ra Isidahomhen Joy di comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto disposto con il presente provvedimento e di fornire comunque riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice, entro il termine di 90 giorni dalla data di notifica del presente provvedimento; l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e) del Regolamento

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 1° dicembre 2022

IL PRESIDENTEStanzione

IL RELATOREStanzione

IL SEGRETARIO GENERALEMattei


Link: https://gpdp.it/web/guest/home/docweb/-/docweb-dis

Testo del 2023-02-01 Fonte: GPDP




Commenta



i commenti sono anonimi e inviati via mail e cancellati dopo aver migliorato la voce alla quale si riferiscono: non sono archiviati; comunque non lasciare dati particolari. Si applica la privacy policy.


Ricevi gli aggiornamenti su Ordinanza ingiunzione 1° dicembre 2022 [9838992] e gli altri post del sito:

Email: (gratis Info privacy)






Nota: il dizionario è aggiornato frequentemente con correzioni e giurisprudenza