Il Garante ha emesso sanzione verso un locale di Palermo per mancata esposizione dei cartelli che segnalano la presenza di impianti di videosorveglianza. Ma quali sono gli obblighi normativi?

Le circostanze in breve

Nel Marzo del 2020 la Questura di Palermo inviava al Garante per la protezione dei dati personali una relazione relativa ai risultati di un controllo amministrativo effettuato in un locale pubblico di Palermo. Nel corso del controllo gli agenti rilevavano la presenza di un sistema di videosorveglianza con tecnologia idonea ad identificare presenti e passanti: 2 telecamere interne al locale, 1 esterna. Ulteriori verifiche accertavano l'assenza di idonea informativa al trattamento dei dati, in violazione dell'art 13. del GDPR.

Ad Agosto dello stesso anno era notificata alla proprietà del locale, titolare del trattamento, l'avvio del procedimento per violazione dell'art 13 GDPR e l'obbligo di messa a norma dell'impianto di videosorveglianza con riconoscimento facciale. La proprietà del locale non ha fatto pervenire alcuno scritto difensivo e non ha fornito l'idonea documentazione a riguardo.

Videosorveglianza: il quadro giuridico

Il Garante, nell'ordinanza di ingiunzione, sottolinea come l'uso di sistemi di videosorveglianza possa divenire un trattamento dei dati personali in base al posizionamento delle telecamere e alla qualità delle immagini riprese. Tali trattamento sono legittimi solo se rispettano l'art.5 GDPR e il principio di trasparenza, ovvero

“gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”

Questo obbliga il titolare del trattamento ad esporre gli idonei cartelli. Il punto è ribadito anche dalla Linee Guida 3/2019 dell'EDPB: 

"Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello). […]Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni."

Per approfondire > Videosorveglianza: le nuove linee-guida 

Il Garante opta per la sanzione
L'esito dell'istruttoria è chiaro per il Garante: la società ha effettuato trattamento dei dati personali tramite un impianto di videosorveglianza (attivo e funzionante) in un esercizio pubblico senza fornire idonea informativa. Gli interessati non erano informati sul fatto che transitare di fronte al locale o accedere al locale avrebbe dato luogo ad un trattamento dati.

Tenuto conto

• della natura, gravità e durata della violazione;
• l'assenza di precedenti specifici a carico della proprietà del locale;
• la totale mancata collaborazione della società con il Garante nel corso dell'istruttoria

Il Garante ha optato per la comminazione di una sanzione pecuniaria di 2000 euro per violazione dell'art 13 GDPR, ovvero per mancata esposizione dei cartelli obbligatori in presenza di impianti di videosorveglianza.

I vecchi cartelli "Area videosorvegliata" non sono più in regola
Ricordiamo che le Linee Guida dell'EDPB, divenute vincolanti dal Gennaio 2020, hanno prodotto importanti cambiamenti al punto da rendere necessaria la sostituzione dei vecchi cartelli "Area videosorvegliata"con i nuovi "Cartelli Europei".

In breve, le novità sono:

• gli interessati devono essere informati sul trattamento dei propri dati con una doppia informativa. La prima è detta "sintetica" e deve essere esposta prima dell'accesso all'area videosorvegliata. La seconda, detta "estesa" deve riportare tutti i dettagli del trattamento e deve essere a disposizione degli interessati entro le aree videosorvegliate.
• l'informativa sintetica deve essere riportare

1. il titolare del trattamento;
2. le basi giuridiche del trattamento;
3. eventuali dettagli in merito al legittimo interesse del titolare del trattamento;
4. riferimenti e contatti del DPO, se nominato;
5. i diritti dell'interessato e le modalità per esercitarli;
6. informazioni sulla tipologia di impianto, ad esempio se le immagini sono live o registrate. Nel secondo caso devono essere indicati i tempi di conservazione dei dati e l'eventuale trasmissione / pubblicazione delle registrazioni a terze parti;
7. il rinvio all'informativa estesa, che dovrà essere sempre raggiungibile dall'interessato.

• l'EDPB consiglia di rendere disponibile l'informativa estesa tramite QRCode inserito nell'informativa sintetica. Altrimenti è necessario indicare un sito web o altra locazione dove l'interessato possa consultare immediatamente e agevolmente l'informativa (anche in formato cartaceo): l'informativa estesa deve comunque essere disponibile in area non videosorvegliata. Le informazioni da inserire nell'informativa estesa sono quelle previste dall'art. 13 GDPR.

Materiali utili

• Linee Guida 3/2019 sul trattamento di dati personali attraverso Videosorveglianza >Leggi qui
• Ordinanza ingiunzione nei confronti di OTTO s.r.l. - 28 ottobre 2021 > leggi qui