g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Istituto per Ciechi Ardizzone Gioeni - 16 settembre 2021 [9705650]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

 

VEDI ANCHE Newsletter del 6 ottobre 2021

 

[doc. web n. 9705650]

Ordinanza ingiunzione nei confronti di Istituto per Ciechi Ardizzone Gioeni - 16 settembre 2021

Registro dei provvedimenti
n. 327 del 16 settembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l’avv. Guido Scorza;

PREMESSO

1. Il reclamo.

Con reclamo presentato a questa Autorità in data XX da uno degli ospiti dell’Istituto per Ciechi Ardizzone Gioeni di Catania (di seguito, l’”Istituto”), è stato lamentato che l’Istituto avrebbe installato “telecamere di audio sorveglianza nei vari reparti e corridoi interni”, della cui presenza gli “utenti ipovedenti e non vedenti non [sarebbero] […] stati messi a conoscenza”. Le immagini riprese da tali impianti di sorveglianza, che interesserebbero anche i corridoi in cui sono presenti gli accessi alle aree doccia esterne alle stanze dei residenti, sarebbero trasmesse in tempo reale sui monitor presenti nella portineria dell’Istituto, essendo visibili non solo al personale addetto alla portineria ma anche ai visitatori.

2. L’attività istruttoria.

In risposta a una richiesta d’informazioni formulata dal Garante (prot. n. XX del XX), l’Istituto, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

l’installazione del sistema di videosorveglianza è stata effettuata “così come da autorizzazione dell'Ispettorato Territoriale del Lavoro di Catania — Prot. N. XX del. XX”;

“le immagini riprese sono trasmesse in tempo reale nei monitor della portineria/guardiola, ma non sono visibili dai visitatori, ma solo dagli addetti alla portineria, regolarmente autorizzati a controllare gli accessi; l’accesso alla portineria è vietato ai visitatori ed, eccezionalmente, in questo periodo di emergenza sanitaria […] i visitatori, sull’uscio della portineria, sono sottoposti alla misurazione della temperatura, e, da quella distanza e per come sono posizionati i monitor, è realmente impossibile visionare e distinguere le immagini sul monitor”;

“l'impianto di videosorveglianza non presenta audio associato”;

sono stati soddisfatti “i presupposti di liceità ed è ampiamente rispettato l'obbligo di informativa minima mediante l'affissione di cartelli di area videosorvegliata […]”;

“l'informativa semplificata è collocata in prossimità del raggio d'azione delle telecamere; l'informativa completa è stata messa a disposizione degli interessati”;

“non si è ritenuto opportuno procedere alla valutazione d'impatto del trattamento (art. 35, par. 1, del Regolamento)”, in quanto “la videosorveglianza in oggetto presenta un rischio non elevato per i diritti e le libertà delle persone fisiche”, sul presupposto che “per i soggetti vulnerabili ospiti della struttura, trattasi di trattamenti occasionali, in quanto non vi è presenza di telecamere all'interno delle stanze di residenza o di permanenza, ma soltanto nelle aree perimetrali o di passaggio”.

Fornendo riscontro a una successiva richiesta d’informazioni del Garante (nota prot. n. XX del XX), l’Istituto, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“i cartelli dell'informativa semplificata sono affissi in prossimità del raggio di azione di tutte le telecamere e […] le stesse riprendono corridoi interni e zone comuni facilmente accessibili dall'esterno; […] non vi è presenza di telecamere all’interno delle stanze di residenza, [e] pertanto i soggetti vulnerabili, ospiti della struttura, sono soggetti a riprese occasionali per tutelare la loro incolumità da eventuali presenze esterne non autorizzate”;

“l'informativa completa […] è disponibile per visitatori e ospiti già da Giugno 2020”;

“l'informativa è disponibile in portineria oltre che essere affissa in bacheca [e] la consegna avviene su richiesta del richiedente […]”;

“l’Istituto è fornito di informative semplificate, [essendo] il primo cartello posto nell’ingresso principale, ove si evince che l’intero immobile è sottoposto ad area videosorvegliata [, e] nell'atrio prima di accedere al triage d’ingresso, è stata istallata una fotocellula sonora che informa ospiti e visitatori che l'immobile è soggetto a videosorveglianza, riportando che in prossimità delle telecamere ci sono le informative semplificate (Cartelli videosorveglianza)”;

“l'informativa completa a disposizione di ospiti e visitatori riporta nelle modalità che solo in una porzione dell’edificio dedicato agli ospiti non vedenti e/o ipovedenti sono istallati degli allarmi sonori in prossimità delle telecamere”;

“l’Ente sta valutando la possibilità, dopo l’ultimazione dei lavori di ristrutturazione, di realizzare relativamente alla porzione di immobile adibita ai non vedenti una planimetria in formato BRAILLE ed una informativa sempre in formato BRAILLE”.

Con nota dell’XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, delle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Istituto, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto la presunta violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1, 13 e 35 del Regolamento, per aver trattato i dati personali dei propri ospiti in maniera non conforme al principio di “minimizzazione dei dati”, omettendo di fornire l’informativa sul trattamento dei dati personali agli interessati e, a partire dal mese di giugno 2020, fornendo tale informativa con modalità difformi da quelle previste dalla normativa in materia di protezione dei dati, nonché in assenza di una preventiva valutazione d’impatto sulla protezione dei dati. Con la medesima nota, l’Istituto è stato inviato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n XX), l’Istituto ha dichiarato, in particolare, che:

- “il Commissario Straordinario [dell’Istituto] nel periodo di dicembre 2019, in vista [degli] imminenti lavori di restauro e ristrutturazione [ha chiesto ai tecnici di un fornitore esterno di] progettare l’ampliamento del sistema di videosorveglianza […] [, i quali] hanno studiato e sviluppato un progetto d’installazione di nuove telecamere interne […] da integrare al sistema di videosorveglianza perimetrale già esistente”;

- “l’aria dell’Istituto maggiormente a rischio di intrusione è quella del convitto in prossimità della quale sono state installate le telecamere N° 16 e 17, in quanto al centro del corridoio vi è presente una grossa porta a vetro satinata che porta direttamente, attraverso il corridoi[o] B, nella zona rientrante nel progetto di restauro e ristrutturazione […]. Per tale ragione, le telecamere N° 16 e 17 poste nel corridoio sul muro perimetrale di accesso al disimpegno dei locali docce sono rivolt[e] verso le stanze vuote N° 2, 3, 4 e la grande porta a vetri, nel rispetto dei limiti strutturali, in quanto il corridoio è stretto e non permette di inclinare la visuale delle telecamere esclusivamente alle aree definite a rischio (vulnerabili) proprie del contesto di riferimento […] ma [è stato] fatto il possibile per limitare l’inquadratura delle telecamere verso le parte opposta agli accessi vulnerabili”;

- “solo porzioni di fotogrammi dell’ospite vengono ripresi in maniera del tutto accidentale e per un periodo di tempo limitato nell’arco delle 24 ore”;

- “l’Istituto ha eseguito una valutazione preventiva sull’impatto del sistema di videosorveglianza [;] tale valutazione non è stata eseguita facendo riferimento al trattamento non occasional[e] di dati relativi a soggetti vulnerabili […] ma ritenendo che le riprese siano del tutto accidentali e occasionali e non vadano a compromettere la libertà dell’individuo né a nuocere la dignità dell’ospite”;

- “l’Istituto […] in data XX ha deliberato con giusto atto commissariale l’implementazione dell’impianto di videosorveglianza”;

- “gli ospiti vulnerabili e ipovedenti ma autosufficienti sono N° 3, in regime di convitto, ed alloggiano nelle rispettive stanze N° 8, 9, e 10; stanze con bagno ma senza doccia […]. Le telecamere installate N° 16 -17, nei corridoi di cui la numero 17 in prossimità del disimpegno di accesso alle docce, inquadrano solo una piccola porzione del corridoio con lo scopo di inquadrare solo gli accessi vulnerabili. L’Istituto ha cercato di trovare soluzioni alternative […], ma a causa di locali non idonei […] l’Istituto ha deciso che gli ospiti non potevano essere spostati in altri ambienti […]”;

- “l’Istituto […] prima ancora che entrassero in funzione le telecamere ha coinvolto attivamente gli interessati […], ed ha informato oralmente loro […] della futura attivazione dell’impianto di videosorveglianza. […] L’informazione istituzionale della messa in funzione delle telecamere è avvenuta nel giorno del XX pubblicata nel sito sezione “Amministrazione trasparente” […]”;

- “sempre durante la fase di progettazione dell’ampliamento del sistema di videosorveglianza ([in cui il] sistema [non era] ancora non in funzione) il Commissario Straordinario […] [ha] informato oralmente il personale dipendente e gli ospiti, che durante i lavori di ristrutturazione […] a causa della vulnerabilità dell’immobile l’Istituto riteneva necessario l’implementazione del sistema di videosorveglianza”;

- nell’informativa resa agli ospiti vi è stata un’“inesattezza […] [nel] non aver specificato adeguatamente con la dicitura “nelle zone di ingresso e uscita dal complesso come corridoi interni” dicitura rettificat[a] nell’informativa rev. 04”;

- “la decisione di aggiungere le telecamere nei corridoi e nelle aree di disimpegno avviene con la relazione di sopralluogo della [azienda incaricata,] datata XX, [e le telecamere sono state] attivate il 10 Febbraio 2020 con autorizzazione dell’Ispettorato del Lavoro di Catania e il XX l’Istituto ha spento le telecamere dei corridoi e disimpegni della area di residenza degli ospiti ipovedenti, data che coincide con la conclusione e collaudo dei lavori del cantiere”;

- il trattamento è giustificato dalla necessità “di salvaguardare l’incolumità fisica dei soggetti vulnerabili, dei dipendenti, dei visitatori e dei terzi presenti in struttura” durante il periodo in cui hanno avuto luogo i lavori di ristrutturazione;

- “è stato valutato preventivamente, che prima dell’inizio dei lavori di ristrutturazione (periodo limitato di tempo), l’incolumità fisica soprattutto dell’ospite ipovedente o con deficit visivo (soggetti vulnerabile) fosse più importante rispetto alla visualizzazione degli stessi soltanto per pochissimi momenti della giornata. Tale visualizzazione […] è stata considerata del tutto occasionale in quanto per la quantità delle immagini, vengono ripresi solo fotogrammi dell’individuo in transito nel corridoio che porta al disimpegno di accesso alle docce; la qualità della risoluzione delle immagini (vista la lunghezza dei corridoi) non è perfettamente nitida (immagini non ad alta risoluzione, senza zoom e senza riconoscimento facciale); il tempo di riprese (su una durata di ripresa di 24 ore corrisponde solo pochi minuti se non secondi di fotogrammi) il tutto correlato ad una zona solo ed esclusivamente di transito ove non si svolge nessuna attività e di esclusiva pertinenza degli ospiti”;

-  “agli utenti, ospiti, visitatori e dipendenti sono state fornite indicazioni chiare ed esplicite, anche se sintetiche, che all’interno dell’Istituto sono presenti impianti di videosorveglianza; l’Istituto ha installato un messaggio audio di allert zona video sorvegliata […]  e le informative complete sono a disposizione nella bacheca esterna alla portineria, unico snodo centrale e di passaggio obbligato prima di accedere all’interno dell’Istituto. Il personale addetto (istruttori e/o operatori socio assistenziali) sono formati a spiegare il contenuto dell’informativa ai soggetti vulnerabili ed a tutti i visitatori con relativo rilascio della medesima”.

In occasione dell’audizione, richiesta dall’Istituto ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX, l’Istituto ha, inoltre, dichiarato, in particolare, che:

- “[…] [i lavori di ristrutturazione] hanno esposto i locali a un elevato rischio in termini di sicurezza, specialmente per possibili atti vandalici e furti. Peraltro, poco dopo l’avvio di questi lavori, è iniziata l’emergenza epidemiologica da Covid-19, sussistendo ulteriori rischi, anche di natura sanitaria, in caso di ingressi non autorizzati nell’Istituto. L’incolumità fisica e la tutela della salute dovevano, pertanto, essere tenuti nella debita considerazione nell’effettuare la ponderazione dei diversi interessi in gioco”;

- “il reclamo è stato presentato al Garante prima della installazione delle telecamere. Ciò dimostra che gli ospiti dell’Istituto, che al tempo dei fatti erano soltanto tre, erano perfettamente a conoscenza dei trattamenti di dati personali in questione. Peraltro, tutti gli ospiti dell’Istituto sono ipovedenti e non sono in grado di comprendere il linguaggio braille; pertanto, anche se le informative fossero state redatte in tale linguaggio, gli ospiti non avrebbero potuto comprenderle. In quanto ipovedenti, gli ospiti della struttura erano comunque in grado di consultare i cartelli informativi”;

- “poiché dai corridoi si ha accesso a zone di ingresso e di uscita, nell’informativa privacy, a fini di semplificazione, si è scelto di far riferimento a tali zone. Pertanto, sotto un profilo sostanziale, l’informativa sul trattamento dei dati personali può comunque considerarsi esaustiva”;

- “i tre ospiti dell’Istituto si trovano in una parte isolata dello stesso e le camere che li ospitano sono dotati di servizi igienici. Le docce, invece, si trovano in locali esterni alle camere, raggiungibili tramite un corridoio. Nel regolamento dell’Istituto c’è scritto che anche nel tragitto dalla camera ai locali docce occorre garantire il decoro e tenere un abbigliamento consono. In ogni caso, l’Ente ha ritenuto che la tutela della riservatezza in tale contesto fosse recessiva rispetto all’incolumità degli ospiti, i quali dovevano essere preservati e tutelati, stante il rischio di accessi non autorizzati nel periodo di durata dei lavori di ristrutturazione dell’edificio, anche tenuto conto della sopravvenuta emergenza epidemiologica da Covid-19”;

- “si trattava comunque di telecamere a circuito chiuso, con registrazione per massimo 24 ore, e tali immagini erano accessibili solo da parte dei soggetti autorizzati, fermo restando che era possibile la visualizzazione in tempo reale nella guardiola da parte dei dipendenti dell’istituto a tal fine autorizzati. I monitor della guardiola non sono in ogni caso accessibili e visualizzabili da soggetti terzi”;

- “per quanto riguarda la valutazione d’impatto sulla protezione dei dati, occorre considerare che il sistema di videosorveglianza non era dotato di funzioni di riconoscimento facciale o altre funzioni tecnologicamente avanzate, non essendo nemmeno in grado di acquisire l’audio. Pertanto, non si ritiene che sussistessero i presupposti di legge per i quali la normativa in materia di protezione dei dati richiede obbligatoriamente una valutazione d’impatto. L’Istituto ha agito in un contesto di emergenza, dovuto alla necessità di eseguire dei lavori strutturali ed ha, comunque, adottato ogni idonea cautela per impattare il meno possibile sugli ospiti dell’Istituto”.

3. Esito dell’attività istruttoria.

3.1. La minimizzazione dei dati personali.

Sulla base degli elementi emersi nel corso dell’istruttoria, risulta provato che l’Istituto, nel periodo intercorrente tra il 10 febbraio e il 19 ottobre 2020, ha installato alcune telecamere idonee a riprendere le aree occupate da tre ospiti della struttura, che alloggiano nelle stanze n. 8, 9 e 10 (dotate di bagno, ma senza doccia), i quali devono necessariamente recarsi nei locali doccia attraversando un corridoio sottoposto a videosorveglianza, potendosi, pertanto, trovare, anche involontariamente, in circostanze lesive della propria dignità (v., in particolare, le telecamere nn. 14, 15, 16 e 17; cfr. planimetrie allegate alla nota del XX, prot. n. XX e alla nota del XX, prot. n. XX).

In tale contesto, con riguardo alle telecamere che riprendono tali aree, non possono ritenersi preminenti, nel bilanciamento tra i diversi diritti e interessi in gioco, le esigenze di sicurezza sottese ai trattamenti posti in essere dall’Istituto mediante dispositivi video, non essendo i dati oggetto di trattamento adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali essi sono stati trattati.

Il fatto che, come sostenuto dall’Istituto, le riprese che riguardavano il transito degli ospiti verso i locali doccia fossero occasionali e di breve durata e che la qualità delle stesse non fosse “perfettamente nitida” non consente di superare tale profilo di illiceità. D’altra parte, taluni accorgimenti procedurali - come, ad esempio, la pianificazione di finestre temporali di spegnimento delle telecamere per consentire agli ospiti di recarsi nei locali doccia senza essere soggetti alle riprese, provvedendo temporaneamente alla sicurezza dei luoghi mediante misure alternative, come l’impiego di personale di sicurezza - avrebbero potuto consentire all’Istituto di perseguire in maniera altrettanto efficace le finalità del trattamento, evitando di condizionare in maniera ingiustificata le libertà degli interessati. Come, infatti, evidenziato anche a livello europeo, “i dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»)”. Pertanto, “prima di installare un sistema di videosorveglianza, il titolare del trattamento deve sempre valutare criticamente se questa misura sia in primo luogo idonea a raggiungere l’obiettivo desiderato e, in secondo luogo, adeguata e necessaria per i suoi scopi”, dovendo “optare per misure di videosorveglianza unicamente se la finalità del trattamento non può ragionevolmente essere raggiunta con altri mezzi meno intrusivi per i diritti e le libertà fondamentali dell’interessato […] come la recinzione della proprietà, il pattugliamento regolare di personale di sicurezza, l’impiego di custodi […]”. Conseguentemente, il titolare del trattamento, “invece di installare un sistema di videosorveglianza potrebbe adottare misure di sicurezza alternative”, valutando, caso per caso, “dove e quando siano assolutamente necessarie misure di videosorveglianza” (sez. 3.1.2, parr. 24, 25 e 26 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il 29 gennaio 2020).

Anche la circostanza che l’Istituto avesse apposto dei cartelli informativi e installato degli allarmi sonori per segnalare la presenza delle telecamere non può ritenersi sufficiente a controbilanciare la legittima aspettativa degli interessati a non essere sorvegliati mentre gli stessi si trovavano in contesti afferenti alla propria sfera personale (cfr. sez. 3.1.3.2, par. 40, delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, sopra citate, ove si afferma che “la presenza di segnaletica che informa l’interessato in merito alla videosorveglianza è del tutto irrilevante al fine di determinare ciò che un interessato può oggettivamente aspettarsi”).

Inoltre, il monitoraggio anche in tempo reale, cui ha fatto ricorso l’Istituto, “può risultare anche più intrusivo rispetto alla conservazione e alla cancellazione automatica delle registrazioni dopo un lasso di tempo limitato” (sez. 3.1.2, par. 29, delle medesime Linee guida), determinando uno stato di incertezza e apprensione negli interessati in merito ai soggetti che in un dato momento possono effettivamente prendere visione da remoto della propria immagine in diretta.

Peraltro, sebbene l’Istituto abbia dichiarato nel corso dell’istruttoria che le immagini di videosorveglianza “non sono visibili dai visitatori, ma solo dagli addetti alla portineria” (nota del XX, prot. n. XX) e che “la distanza dall’ingresso alla postazione dei monitor e di circa 2,5 metri, distanza che non permette all’avventore una visualizzazione chiara delle immagini” (memoria difensiva, pag. 8), il posizionamento dei monitor di videosorveglianza, quale emerge dalle fotografie prodotte dall’Istituto (cfr. allegato n. 14 alla memoria difensiva), non sembra escludere del tutto il rischio che soggetti terzi non autorizzati, quali, ad esempio, i visitatori esterni o i fornitori, potessero visionare anche accidentalmente, in tutto o in parte, le immagini in questione. 

Per tali motivi, il trattamento delle immagini di videosorveglianza ritraenti gli ospiti dell’Istituto, limitatamente a quelle relative al transito degli stessi verso i locali doccia, è stato effettuato dall’Istituto in violazione del principio di “minimizzazione dei dati” di cui all’art. 5, par. 1, lett. c), del Regolamento.

3.2. L’informativa sul trattamento dei dati personali.

In ossequio al principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a), del Regolamento), il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12 del Regolamento).

Allorquando siano impiegati sistemi di videosorveglianza, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale (sportello informazioni, reception, cassa, ecc.) o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, citate, in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1, nonché, da ultimo, la recente FAQ del Garante n. 4 in materia di videosorveglianza, doc. web 9496574; cfr., altresì, provv. 11 marzo 2021, n. 90, doc. web n. 9582791).

Nel caso di specie risulta, invece, accertato che l’Istituto ha fornito ai propri ospiti l’informativa completa sul trattamento dei dati personali mediante dispositivi video soltanto nel mese di XX (cfr. nota prot. n. XX del XX), a seguito della prima richiesta d’informazioni formulata dal Garante (prot. n. XX del XX), pur essendo il sistema di videosorveglianza stato attivato già in data 10 febbraio 2020.

Non può, invece, ritenersi idonea a soddisfare gli obblighi informativi nei confronti degli interessati la circostanza che l’Istituto avesse informato oralmente questi ultimi in merito alla prossima attivazione dell’impianto di videosorveglianza e ne avesse dato notizia sul proprio sito web, atteso che la normativa in materia di protezione dei dati personali richiede che agli interessati vengano messi a disposizione - per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici (cfr. art. 12, par. 1, del Regolamento) - specifici elementi informativi (cfr. art. 13 del Regolamento; v., sul punto, provv. 17 dicembre 2020, n. 280, doc. web n. 9524175) in maniera omogenea e unitaria (sull’inidoneità delle informazioni rese in maniera frammentarietà in molteplici atti, diversi per natura e funzione, stratificatisi nel tempo, v. provv. 13 maggio 2021, n. 190, doc. web n. 9669974), potendo tali elementi essere resi oralmente soltanto su richiesta dell’interessato (cfr. art. 12, par. 1, del Regolamento).

Peraltro, sebbene solo a partire dal mese di giugno 2020, l’Istituto si è limitato a rendere disponibile l’informativa “in portineria oltre che [mediante affissione] in bacheca, la consegna [della stessa essendo avvenuta solo] su richiesta del richiedente”, senza tener conto del fatto che gli interessati dal trattamento erano al tempo soggetti ipovedenti. L’art. 12, par. 1, del Regolamento richiede, invece, che le informazioni di cui all’art. 13 siano rese in forma “trasparente, intelligibile e facilmente accessibile”. Pertanto, allorquando il titolare del trattamento sia “consapevole che i suoi beni/servizi sono utilizzati da (o destinati ad) altri soggetti vulnerabili della società, tra cui persone con disabilità o persone che possono incontrare difficoltà ad accedere alle informazioni, [si dovrebbe] tenere conto delle vulnerabilità di tali interessati nella valutazione del modo in cui assolvere gli obblighi di trasparenza nei loro confronti. Ciò si ricollega alla necessità che il titolare del trattamento valuti il probabile livello di comprensione del proprio pubblico […]” (Gruppo di Lavoro Articolo 29, “Linee guida sulla trasparenza ai sensi del regolamento 2016/679” dell’11 aprile 2018, WP260 rev.01, par. 16; si veda anche la Convenzione delle Nazioni Unite sui diritti delle persone con disabilità, che richiede che alle persone con disabilità si forniscano forme appropriate di assistenza e di supporto per garantire loro l’accesso alle informazioni). In particolare, allorquando gli interessati siano soggetti con disabilità visive, è necessario fornire l’informativa sul trattamento dei dati personali anche mediante metodi audio, assicurandosi che gli interessati possano riascoltare il messaggio preregistrato (cfr. par. 12 delle  “Linee guida sulla trasparenza ai sensi del regolamento 2016/679”, sopra citate, ove si afferma che “se le informazioni sono scritte (e, nel caso in cui le informazioni scritte siano fornite  oralmente, o con metodi audio/audiovisivi, fra l’altro per interessati con disabilità visive), si devono seguire le migliori prassi per una scrittura chiara; v. anche par. 21, ove si chiarisce, con riguardo alla possibilità per gli interessati di riascoltare i messaggi preregistrati, che “è obbligatorio procedere in tal senso qualora la richiesta d’informazioni orali si riferisca a interessati con disabilità visive o ad interessati che possano incontrare difficoltà nell’accesso o nella comprensione delle informazioni scritte”).

Inoltre, l’informativa completa messa a disposizione degli interessati (nella versione “rev. 3 del XX”, allegata alla nota del XX, prot. n. XX) non risulta pienamente conforme all’art. 13 del Regolamento. Ciò in quanto in essa si afferma che “il trattamento comporta […] la possibilità di riprendere i perimetri aziendali, cortili e zone di ingresso ed uscita dal complesso”, risultando, invece, dalle planimetrie e dalle fotografie dell’edificio presentate dall’Istituto in allegato alla medesima nota, che le telecamere sono presenti anche nei corridoi interni dell’edificio; non è indicata la base giuridica del trattamento (art. 13, par. 1, lett. c) del Regolamento); non sono indicati i dati di contatto del responsabile della protezione dei dati (art. 13, par. 1, lett. b), del Regolamento); non è menzionato il diritto degli interessati di proporre reclamo a un’autorità di controllo (art. 13, par. 2, lett. d) del Regolamento).

Anche l’informativa generale sul trattamento dei dati personali, fornita agli ospiti della struttura in relazione ai trattamenti effettuati in ragione del soggiorno presso l’Istituto (versione XX, allegata alla nota del XX, prot. n. XX), non risulta conforme all’art. 13 del Regolamento, in quanto: si afferma che per il trattamento dei dati personali degli ospiti, inclusi quelli relativi allo stato di salute, è richiesto il consenso degli stessi, non potendo, invece, i soggetti pubblici, come l’Istituto, fondare il trattamento di dati personali su tale base giuridica, in ragione dell’evidente squilibrio tra l'interessato e il titolare del trattamento (cfr. Considerando n. 43 del Regolamento); si afferma che la base giuridica del trattamento consiste anche nel “legittimo interesse del titolare”, senza indicare gli specifici legittimi interessi perseguiti dal titolare (come richiesto dall’art. 13, par. 1, lett. d) del Regolamento), non potendo, peraltro, i soggetti pubblici, come l’Istituto, fondare il trattamento di dati personali su tale base giuridica nell’esecuzione dei loro compititi (art. 6, par. 1, del Regolamento) e non potendo tale base giuridica applicarsi al trattamento di categorie particolari di dati personali, come quelli relativi allo stato di salute (cfr. art. 9 del Regolamento); non sono indicati i dati di contatto del responsabile della protezione dei dati (art. 13, par. 1, lett. b), del Regolamento); non è menzionato il diritto degli interessati di proporre reclamo a un’autorità di controllo (art. 13, par. 2, lett. d) del Regolamento).

Alla luce delle considerazioni che precedono, l’Istituto ha trattato i dati personali dei propri ospiti in maniera non conforme al principio di liceità, correttezza e trasparenza, omettendo di fornire un’informativa estesa sul trattamento dei dati personali tramite dispositivi video fino al mese di giugno 2020 e, successivamente, fornendo un’informativa carente di taluni degli elementi previsti dalla normativa in materia di protezione dei dati (anche con riguardo ai trattamenti relativi, più in generale, al soggiorno degli ospiti presso l’Istituto), senza aver adottato un’informativa trasparente, intelligibile e facilmente accessibile in ragione dello stato di vulnerabilità degli interessati destinatari della stessa, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

3.3. La valutazione d’impatto sulla protezione dei dati.

In attuazione del principio di responsabilizzazione (art. 5, par. 2, del Regolamento), che impone l’adozione di adeguate misure tecniche e organizzative atte a garantire che il trattamento avvenga in conformità alla normativa vigente (cfr. artt. 24 e 25 del Regolamento), spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali ai sensi dell’art. 35 del Regolamento.

Nel caso di specie, il trattamento dei dati personali degli ospiti ipovedenti dell’Istituto mediante dispositivi video è stato effettuato in assenza di una preliminare valutazione d’impatto sulla protezione dei dati, sul presupposto che tale trattamento non presentasse rischi specifici per gli stessi.

A tal proposito, si osserva che, tenuto conto delle indicazioni fornite anche a livello europeo sul punto, di regola, considerata la particolare “vulnerabilità” degli interessati, come, nel caso di specie, persone ipovedenti, il trattamento dei dati personali mediante sistemi di videosorveglianza può, invece, presentare rischi specifici per i diritti e le libertà degli interessati in termini di possibile monitoraggio degli stessi (cfr., con riguardo al trattamento dei dati personali mediante sistemi di videosorveglianza, Comitato europeo per la protezione dei dati, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video, citate, in particolare par. 10; più in generale, con riguardo al trattamento di dati personali relativi a soggetti vulnerabili e al loro monitoraggio, cfr. le “Linee guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento "possa presentare un rischio elevato" ai sensi del Regolamento 2016/679, WP 248 del 4 aprile 2017, parte III, ove si afferma che “nella maggior parte dei casi, un titolare del trattamento può considerare che un trattamento che soddisfi due criteri debba formare oggetto di una valutazione d'impatto sulla protezione dei dati” e si indicano, tra i criteri da tenere in considerazione ai fini della valutazione della necessità di effettuare una valutazione d’impatto sulla protezione dei dati, che assumono rilevanza nel caso di specie, il “monitoraggio sistematico”, i “dati aventi carattere altamente personale” e i “dati relativi a interessati vulnerabili”; v. anche Provv. del Garante dell’11 ottobre 2018, n. 467, doc web 9058979, all. n. 1, che espressamente menziona i “trattamenti non occasionali di dati relativi a soggetti vulnerabili (minori, disabili, anziani, infermi di mente, pazienti, richiedenti asilo”).

L’effettuazione di una preventiva valutazione d’impatto sulla protezione dei dati avrebbe, infatti, potuto portare l’Istituto a meglio e più compiutamente valutare la conformità del trattamento ai principi in materia di protezione dei dati (in particolare, a quello di minimizzazione, considerando la “necessità e proporzionalità dei trattamenti in relazione alle finalità” - art. 35, par. 7, lett. b) del Regolamento), nonché le opportune modalità con cui rendere l’informativa sul trattamento dei dati personali ad interessati vulnerabili (cfr. art. 35, par. 7, lett. d) del Regolamento), avvalendosi anche del parere del proprio responsabile della protezione dei dati (cfr. art. 35, par. 2, del Regolamento) e raccogliendo le opinioni degli interessati sul trattamento previsto (cfr. art. 35, par. 9, del Regolamento).

Per tali ragioni, nel prendere atto che in data 13 gennaio 2020 la ditta installatrice dell’impianto di videosorveglianza aveva redatto un documento tecnico (denominato “Sopralluogo sistema di videosorveglianza”, allegato alla memoria difensiva) che, seppur comprensivo di alcune valutazioni in materia di protezione dei dati, non soddisfa i requisiti previsti dall’art. 35 del Regolamento, e che l’Istituto, seppur tardivamente (quando il trattamento era ormai cessato) e nel corso dell’istruttoria, ha provveduto ad effettuare una valutazione d’impatto sulla protezione dei dati personali (cfr. il documento denominato “PIA”, allegato alla memoria difensiva dell’Istituto, recante “data di creazione: XX”), si ritiene che, nel periodo tra il 10 febbraio e il 19 ottobre 2020, il trattamento dei dati personali degli ospiti ipovedenti dell’Istituto mediante dispositivi video sia stato effettuato in assenza di una valutazione d’impatto sulla protezione dei dati e quindi in violazione dell’art. 35 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Istituto, per aver trattato, nel periodo tra il 10 febbraio e il 19 ottobre 2020, le immagini di videosorveglianza ritraenti gli ospiti ipovedenti dell’Istituto, limitatamente a quelle relative al transito degli stessi verso i locali doccia, in maniera non conforme al principio di minimizzazione dei dati, omettendo di fornire un’informativa estesa sul trattamento dei dati personali fino al mese di giugno 2020 e, successivamente, fornendo un’informativa carente di taluni degli elementi previsti dalla normativa in materia di protezione dei dati (anche con riguardo ai trattamenti relativi, più in generale, al soggiorno degli ospiti presso l’Istituto), senza aver adottato un’informativa trasparente, intelligibile e facilmente accessibile in ragione dello stato di vulnerabilità degli interessati, nonché omettendo di effettuare una previa valutazione d’impatto sulla protezione dei dati, in violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1, 13 e 35 del Regolamento.

La violazione delle predette disposizioni si rende applicabile, ai sensi degli artt. 58, par. 2, lett. i), del Regolamento, la sanzione amministrativa prevista dall’art. 83, par. 3, 4 e 5, del Regolamento medesimo.

5. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

L’art. 58, par. 2, lett. d), del Regolamento prevede che il Garante ha i poteri correttivi di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del […] regolamento, se del caso, in una determinata maniera ed entro un determinato termine”.

Premesso che il trattamento dei dati personali mediante dispostivi video nei corridoi dell’Istituto che conducono ai locali doccia risulta essere cessato in dato 19 ottobre 2020 e che l’Istituto ha provveduto a recepire i rilievi del Garante nei testi dell’informativa sul trattamento dei dati personali rese agli ospiti (rev. 1 del XX  e rev. 05 del XX, rispettivamente allegato 3 e 4 alla memoria difensiva, rispetto ai quali il Garante si riserva di effettuare ogni ulteriore valutazione), si rileva che l’Istituto continua a rendere ai propri ospiti l’informativa sul trattamento dei dati personali in maniera inidonea a garantire la necessaria trasparenza nei confronti di soggetti vulnerabili, quali non vedenti e ipovedenti.

Si rende, pertanto, necessario, ai sensi degli artt. 12, 13 e 58, par. 2, lett. d), del Regolamento, ingiungere all’Istituto, ove non vi abbia già provveduto, di rendere ai propri ospiti, entro trenta giorni dalla notifica del presente provvedimento, l’informativa sul trattamento dei dati personali anche in formato audio, consentendo agli interessati di riascoltare il messaggio preregistrato, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che il trattamento di dati personali ha riguardato soggetti vulnerabili, sottoposti a videosorveglianza in contesti afferenti alla propria sfera personale. 

Di contro, è stato considerato il numero limitato di interessati i cui dati sono stati trattati (ovvero tre ospiti ipovedenti al tempo residenti presso l’Istituto) e la circostanza che il trattamento oggetto di contestazione sia stato effettuato per un lasso temporale comunque circoscritto, ovvero dal 10 febbraio al 19 ottobre 2020 (cfr. la dichiarazione della ditta installatrice dell’impianto, allegata alla memoria difensiva, in cui si attesta “che in data odierna sono state disattivate le telecamere 14-15-16-17-18”), per il periodo di durata dei lavori di ristrutturazione che hanno interessato l’Istituto. Non risultano, inoltre, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1, 13 e 35 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che il trattamento è consistito nel monitoraggio di soggetti vulnerabili in contesti afferenti alla propria sfera personale, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rileva l’illiceità del trattamento dei dati personali effettuato dall’Istituto per Ciechi Ardizzone Gioeni per violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1, 13 e 35 del Regolamento, nei termini di cui in motivazione;

ORDINA

all’Istituto per Ciechi Ardizzone Gioeni, in persona del legale rappresentante pro-tempore, con sede legale in Via Etnea, 595 - 95125 Catania (CT), C.F. 80001650870, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento, di pagare la somma di euro 5.000 (cinquemila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha la facoltà di definire la controversia mediante pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Istituto:

a) di pagare la somma di euro 5.000 (cinquemila) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

b) ai sensi dell’art.  58, par. 2, lett. d), del Regolamento, ove non vi abbia già provveduto, di rendere ai propri ospiti, entro trenta giorni dalla notifica del presente provvedimento, l’informativa sul trattamento dei dati personali di cui agli artt. 12, 13 del Regolamento anche in formato audio, consentendo agli interessati di riascoltare il messaggio preregistrato, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019;

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 settembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi