[doc. web n. 9865404]

Provvedimento del 26 gennaio 2023

Registro dei provvedimenti
n. 27 del 26 gennaio 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato ai sensi dell’art. 77 del Regolamento in data 18 giugno 2019 dal sig. XX nei confronti di Agema s.r.l. (già Agema S.p.A.);

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo nei confronti della Società e l’attività istruttoria.

Con reclamo presentato il 18 giugno 2019, il sig. XX ha lamentato presunte violazioni del Regolamento da parte di Agema s.r.l. (già Agema S.p.A., di seguito, la Società), in particolare l’installazione di un sistema di videosorveglianza le cui telecamere sarebbero state posizionate in modo tale da riprendere “costantemente la portineria” e quindi il reclamante nell’atto dello svolgimento della sua attività lavorativa come guardia giurata della società immobiliare Ime s.a.s. presso l’immobile dove aveva sede la Società, in assenza di un’informativa.

Nel reclamo è stata anche lamentata la mancata risposta da parte della Società all’istanza di esercizio dei diritti presentata dal reclamante.

Con nota del 9 settembre 2019 la Società, nel fornire riscontro alle richieste del Dipartimento formulate il 31 luglio 2019, ha dichiarato che:

- “IME s.a.s. è azionista di Agema S.p.A” (nota 31.7.2019 cit., p. 1);

- il reclamante “fu assunto da IME s.a.s. […]. Al [reclamante] in quell’occasione venivano consegnate tutte le opportune informative come da ricevute da lui controfirmate […]. Tale contratto successivamente, in data 01.08.2012 veniva convertito in contratto a tempo indeterminato, indicando quale mansione del [reclamante] quella di guardia giurata addetta alla sicurezza” (nota cit., p. 2);

- “[presso la sede della Società] è stato installato un sistema di videosorveglianza. In particolare, le telecamere che riprendono gli accessi al portone dello stabile (e non della portineria), come anche agli altri accessi di Agema, sono parte di un sistema più complesso di TVCC […]. Le telecamere esterne, che riprendono gli accessi (che sono anche uscite di emergenza) sono attualmente 11 […], di cui, quella diretta verso l’accesso dell’ascensore che porta alla reception di Agema […] completamente disconnessa perché manomessa e non funzionante” (nota cit., p. 2);

-  “Agema S.p.A., titolare del trattamento dei dati, ha provveduto a dotarsi di sistema TVCC in adempimento a quanto previsto dalle normative di settore, tra cui, la normativa PCI-DSS e Bancomat filone Service 103030; per dar corso alla lavorazione in sicurezza dei codici segreti delle carte di credito, degli assegni e degli altri valori in bianco che quotidianamente Agema produce e consegna ai propri clienti Istituti di credito” (nota cit., p. 3);

- “sia esternamente che internamente all’edificio […], è segnalata la presenza di telecamere con appositi cartelli che riportano la versione breve dell’informativa come disposto dal Garante” (nota cit., p. 3);

- “il [reclamante] fu quindi informato della presenza delle telecamere (nessuna diretta intenzionalmente verso il luogo di lavoro, cioè la portineria, ma verso l’accesso all’ascensore che porta alla reception di Agema […]) e del trattamento dei dati. Pertanto sia IME che Agema hanno assolto l’obbligo di informativa nei suoi confronti” (nota cit., p. 3).
Con nota del 23 gennaio 2020, la Società, in risposta a un invito a fornire ulteriori chiarimenti inviato dal Dipartimento il 17 dicembre 2019, ha dichiarato che:

- “quanto all’istanza di accesso ex art. 15 del Regolamento presentata dal [reclamante] in data 15 maggio 2019, non fu dato seguito ad alcuna risposta formale, in quanto non vi era (e non vi è) in corso un trattamento di dati personali che lo riguardino, pertanto mancava il presupposto per ottenere l’accesso ai dati personali, stante il mancato funzionamento dell’impianto di videosorveglianza con riferimento alla videocamera interessata dalla richiesta” (v. nota 23.1.2020, cit., p. 1);

- “quanto alla telecamera «diretta verso l’ascensore che porta all’accesso di Agema», essa non era orientata verso la portineria e ciò in quanto tale luogo era già presidiato proprio dal [reclamante], pertanto non vi era necessità di un video-controllo di tale impostazione, ma diretta verso l’ingresso dell’ascensore della scala A ed il ridotto delle caselle della posta” (v. nota cit., p.1);

- “la data di manomissione della telecamera «diretta verso l’ascensore che porta all’accesso di Agema» risale al periodo tra maggio e settembre” (v. nota cit., p.1);

- “il [reclamante] non ha svolto attività di guardia giurata presso lo stabile […], da agosto 2019 ed è rientrato in servizio in data 20/01/2020” (v. nota cit., p.2);

- “il [reclamante] per un periodo ha gestito personalmente la visione delle [telecamere del sistema di videosorveglianza] attraverso un monitor al quale aveva accesso presso la portineria” (v. nota cit., p.2).
In data 2 febbraio 2022 la Società ha fornito gli ulteriori chiarimenti richiesti dal Dipartimento con nota del 3 gennaio 2022, in particolare ha dichiarato che:

- “allo stato il sistema di videosorveglianza non è più attivo in quanto Agema non è presente più nel complesso [dove in precedenza si trovava] dal dicembre 2020 (le operazioni di trasloco sono cominciate in ottobre 2020), e l’intero palazzo ha cambiato proprietà ed è attualmente in fase di completa ristrutturazione. Le telecamere non sono più in uso da dicembre 2018. […] Si segnala inoltre che il [reclamante] è stato licenziato da IME Sas per giusta causa, […] il 16 aprile 2020 e quindi da quella data non occupava né poteva occupare più definitivamente la postazione in portineria” (v. nota 2.2.2022 cit., p. 1);

- “la cartellonistica contenente la c.d. «informativa breve» è stata affissa a partire dal maggio 2010 all’atto di installazione delle telecamere stanti i numerosi atti di vandalismo avvenuti sia all’interno sia all’esterno del palazzo […], come testimoniano i numerosi esposti alla polizia locale, e perdurata fino a quando il sistema di telecamere fu in uso. In varie occasioni è stato necessario ripristinare tale cartellonistica in quanto vandalizzata” (v. nota cit., p. 1);

- “il sistema di telecamere non prevedeva, e non poteva prevederlo senza specifica autorizzazione, la memorizzazione di alcun dato” (v. nota cit., p. 2);

- “l’autorizzazione di IME ad Agema (autorizzazione ad Agema installazione telecamere) prevedeva esplicitamente che: il servizio di videosorveglianza doveva essere svolto esclusivamente a tutela dei beni e delle persone che transitano dallo stabile medesimo; e ciò in armonia con il Capo I art. 11 c. 1 del D. Lgs. 196/2003; l’installazione dei cartelli della c.d. «informativa breve» doveva essere a cura e spese di Immobiliare IME S.a.s. e così è stato fino all’avvento della liquidatela il 1.2.2016” (v. nota cit., p. 2);

- “le telecamere, ed i relativi cartelli informativi, sono state installate secondo le direttive [dell’allora] amministratore unico di Grafiche Agema S.p.A. (oggi Agema s.r.l.) e socio amministratore di Immobiliare S.a.s. secondo il principio sancito ora dall’art. 5, par. 2 del Regolamento; all’epoca il testo in vigore era il D. Lgs. 196/2003. La videosorveglianza è stata effettuata nell’intento di perseguire fini di tutela di persone ([coloro che] abitavano nel palazzo, circa 15 persone, otto minorenni) e beni (anche di ingente valore quadri e matrici per assegni) rispetto a possibili aggressioni, furti, rapine, atti di vandalismo, prevenzione di incendi” (v. nota cit., p. 2).

Il 3 febbraio e il 26 giugno 2020 il reclamante ha inviato proprie controdeduzioni.

2.  L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della Società.

L’11 maggio 2022 l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione alla Società delle presunte violazioni del Regolamento riscontrate, relativamente all’art. 12 con riferimento agli artt. 15 e 17 del Regolamento.

Con scritti difensivi, inviati in data 8 giugno 2022, la Società ha dichiarato che:

-  “non vi fu risposta formale alla richiesta del 15/05/2019 tramite email, ma una spiegazione orale alle singole domande, peraltro, spiegazioni già pienamente conosciute e comprese dal [reclamante] ed infatti immediatamente dopo la richiesta veniva chiarito al [reclamante] che: - nessuna telecamera riprendeva direttamente la portineria, nemmeno quella diretta verso l’ascensore che porta all’accesso della scala A del palazzo dove risiedeva Agema; la telecamera non solo non era funzionante […], sin dal maggio 2017, ma mai avrebbe potuto riprendere la posizione di lavoro sita in portineria, semplicemente perché l’angolo di ripresa era occluso dal manufatto architettonico della colonna ascensore; - le finalità della visualizzazione (ma non della raccolta perché non vi era alcun sistema di memorizzazione […]) riguardavano la sicurezza del palazzo; - il sistema di telecamere non prevede la memorizzazione dei dati a partire dal 10/07/2018, in precedenza registravano solo le 24 ore; - si rappresentava al [reclamante] il fatto che le sole immagini relative al reclamante erano quelle riprese a mezzo di un telefono cellulare dalle visualizzazioni delle telecamere esterne poste sul portone del palazzo, visualizzazioni in tempo reale presenti sui monitor siti nella reception di Agema durante i fatti occorsi in data 08/07/2018. Altre sono le immagini invece riprese dal cellulare della [moglie del rappresentante legale della Società] e salvate su supporto magnetico al solo scopo di consegnarle alla polizia giudiziaria al fine di condurre le indagini che hanno portato alla sentenza di condanna del [reclamante] e pertanto a lui note perché visionate tramite accesso al fascicolo delle indagini preliminari” (v. nota 8/6/2022, p. 1, 2);

- “tali informazioni, inoltre, oltre essere già a conoscenza del [reclamante] venivano a lui fornite nell’ambito del procedimento a suo carico” (v. nota cit., p. 2);

- “circa la conoscenza da parte del [reclamante] del difettoso funzionamento delle telecamere, del titolare del trattamento, della finalità e direzione delle stesse, si producono alcune email con le quali il reclamante ne chiedeva il ripristino e la manutenzione” (v. nota cit., p. 2);

- “si richiama, inoltre, l’informativa relativa anche al sistema di videosorveglianza consegnata al [reclamante] e sottoscritta dallo stesso per ricezione […]. Detto documento esplicita il titolare del trattamento dei dati e la funzione/finalità del sistema di videosorveglianza, il posizionamento delle telecamere e come erano indicate e pubblicizzate, il tempo di registrazione dei dati per 24 ore (sino al 10/07/2018 […]), l’espressa assenza di telecamere dirette verso la portineria per altro occultata ad ogni possibile ripresa dalla struttura architettonica dell’ascensore” (v. nota cit., p. 2);

-  in merito a “natura e durata della violazione” si “ribadisce di avere risposto oralmente all’istanza del 15/05/2019 del reclamante. Non vi fu risposta formale perché tutte le informazioni erano già in possesso del [reclamante] e pertanto Agema ne diede conferma oralmente al [reclamante] in presenza di testimoni” (v. nota cit., p. 2);

- “tutte le spiegazioni sono state fornite alla […] Autorità a partire dal 09/09/2019 con la massima collaborazione da parte di Agema che ha condiviso tutti i documenti richiesti” (v. nota cit., p. 3);

- “il [reclamante] era a conoscenza dell’unico frammento memorizzato indirettamente dalla telecamera sul cortile e che lo riguarda perché agli atti del procedimento penale a suo carico” (v. nota cit., p. 3);

- in merito al “carattere doloso o colposo della violazione” “qualora l’Autorità confermasse esserci stata violazione del regolamento, la stessa ha natura meramente colposa” (v. nota cit., p. 3);

- con riferimento alle “misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati” “l’impianto era guasto da tempo; […] Agema ha prontamente risposto alla […] Autorità nell’ambito del procedimento promosso dal reclamante a partire dalla missiva del 09/09/2019 (ossia 2 mesi e mezzo dalla scadenza del termine assegnato con l’istanza presentata in data 15/05/2019) e successive missive di chiarimenti del 22/01/2021 e 02/02/2022; […] dal 2020 Agema non si trova più [presso la precedente sede], oggetto di demolizione, e quindi le telecamere già guaste, non sono più utilizzare e dismesse” (v. nota cit., p. 3);

-  con riferimento alle “misure tecniche e organizzative messe in atto ai sensi degli articoli 25 e 32” “Agema ha consegnato al reclamante l’informativa prevista, ben prima che lo stesso proponesse reclamo; […] Agema ha affisso l’idonea cartellonistica, preoccupandosi anche di sostituirla più volte a causa di atti vandalici; […] assenza di registrazione, sempre e comunque prima effettuata per solo 24 ore, delle telecamere a partire dal 10/07/2018” (v. nota cit., p. 3);

- “Agema non ha mai effettuato violazioni né mai le sono state contestate” (v. nota cit., p. 4);

- “ben prima del 15/05/2019 non vi era nessuna registrazione; e Agema ritiene che, proprio per il tipo di impianto, non vi sia stata alcuna categoria di dati personali interessati; […] la telecamera che il reclamante sostiene fosse rivolta verso l’ascensore della scala A del palazzo dove Agema aveva la propria sede; inoltre la stessa non era funzionante perché vandalizzata e mai ripristinata; […] le uniche immagini riguardanti il [reclamante] sono quelle che riportano, attraverso la registrazione di un telefono cellulare dei monitor che trasmettevano in tempo reale, una scena avvenuta nell’esterno del palazzo e utilizzata nel procedimento penale conclusosi con la condanna per aggressione del [reclamante]” (v. nota cit., p. 4);

- l’Autorità ha preso conoscenza della violazione “attraverso il reclamo” (v. nota cit., p. 4);

- “Agema ritiene possano essere valutati […] i seguenti fattori attenuanti: i. la piena e completa collaborazione con l’Autorità da parte di Agema; ii. la piena conoscenza delle informazioni contenute nell’istanza da parte del [reclamante]; iii. la strumentalità del reclamo […]; iv. l’assenza di registrazione delle telecamere anche delle 24 ore a partire dal 10/07/2018; v. il non funzionamento, dal 2016, della telecamera più vicina alla portineria e diretta verso l’ascensore della scala A del palazzo dove aveva sede Agema; vi. la conoscenza del [reclamante] che gli unici filmati relativi alla sua persona […] sono quelli utilizzati nel procedimento penale […]; vii. la dismissione totale dell’impianto delle telecamere” (v. nota cit., p. 4).

A seguito della richiesta della Società, in data 22 giugno 2022 si è tenuta l’audizione della stessa. In tale occasione la parte ha rappresentato che:

- “il procedimento avviato dal reclamante davanti all’Autorità ha natura strumentale rispetto alla complessa vicenda che vede coinvolte le stesse parti in un autonomo procedimento incardinato dinanzi alla competente autorità giudiziaria penale”;

- “posto che il reclamante svolgeva servizio di portineria ed abitava nel medesimo stabile, ricevuta la richiesta di informazioni da parte del reclamante, il legale rappresentante lo ha contattato direttamente per sapere il motivo per il quale avesse formulato la richiesta pur essendo al corrente che il sistema non consentiva di registrare le immagini ed ha provveduto a fornirgli, nuovamente, ogni informazione”;

- “la modalità con la quale è stato dato seguito all’istanza (informazioni rese oralmente) è stata dunque condizionata dal contesto più generale”;

- “in ogni caso Agema ha sottovalutato, ma non per colpa, la richiesta formulata dal reclamante e per i motivi su esposti che hanno determinato un clima di particolare tensione tra le parti ha fornito riscontro oralmente, ma comunque entro trenta giorni”.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che la Società, in qualità di titolare, ha effettuato alcune operazioni di trattamento, riferite al reclamante, che risultano non conformi alla disciplina in materia di protezione dei dati personali, in particolare non avendo fornito idoneo riscontro alle istanze di esercizio dei diritti.
In proposito si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Dagli elementi acquisiti nel corso dell’attività istruttoria, è emerso che la Società non ha fornito idoneo riscontro all’istanza di esercizio dei diritti presentata dal reclamante, per il tramite del proprio avvocato, in data 15 maggio 2019 ed inviata all’indirizzo di posta elettronica “agema@pec.agema.it”, con la quale è stato chiesto, con riferimento al sistema di videosorveglianza installato presso la sede della Società, “ai sensi degli artt. 15 e ss. [del Regolamento] - chi sia il titolare del trattamento e per quale finalità vengano raccolte le immagini […]; - quali siano le modalità di conservazione delle immagini e per quanto tempo vengano conservate; - se, allo stato, esistano presso [gli] archivi [della Società] immagini o altri dati, in formato elettronico, cartaceo, magnetico, o su qualsiasi diverso supporto, relative al [reclamante]. In ogni caso, il [reclamante], ai sensi dell’art. 17 [del Regolamento], si oppone al trattamento dei propri dati e chiede la cancellazione di ogni suo dato da[lla Società] detenuto”.

La stessa Società, in proposito, ha infatti dichiarato che “non fu dato seguito ad alcuna risposta formale, in quanto non vi era (e non vi è) in corso un trattamento di dati personali che […] riguardino [il reclamante], pertanto mancava il presupposto per ottenere l’accesso ai dati personali, stante il mancato funzionamento dell’impianto di videosorveglianza con riferimento alla videocamera interessata dalla richiesta”.

La Società ha inoltre dichiarato che “non vi fu risposta formale alla richiesta del 15/05/2019 tramite email, ma una spiegazione orale alle singole domande, peraltro, spiegazioni già pienamente conosciute e comprese” e che “in ogni caso Agema ha sottovalutato, ma non per colpa, la richiesta formulata dal reclamante”.

A sostegno di ciò ha prodotto una dichiarazione (tra l’altro priva di data che attribuisca una collocazione temporale certa della stessa) di un condomino che avrebbe assistito alla risposta fornita oralmente dal rappresentante legale della Società al reclamante ed ha dichiarato che avrebbe presentato altre dichiarazioni che, però, non risultano allegate alla comunicazione del 22 giugno 2022.
In proposito si rileva come, in disparte il valore da attribuire alla dichiarazione del soggetto che avrebbe assistito al riscontro orale del rappresentante legale, si rileva come in ogni caso, la Società non abbia fornito idoneo riscontro all’istanza presentata dal reclamante in quanto il riscontro alle istanze di esercizio dei diritti, in base a quanto richiesto chiaramente dal Regolamento, deve essere trasmesso “per iscritto o con altri mezzi, anche se del caso con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente” (v. art. 12, par. 1, del Regolamento).
Nel caso di specie non risulta che la Società abbia fornito al reclamante riscontro per iscritto o con altri mezzi idonei, nonostante l’interessato abbia inviato l’istanza di esercizio dei diritti tramite pec e non vi siano evidenze della volontà di ricevere informazioni in proposito oralmente.

L’art. 15 del Regolamento precisa, tra l’altro, che “se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune” (art. 15, par. 3, del Regolamento).

Considerato che l’istanza di accesso ha riguardato il trattamento dei dati del reclamante effettuato attraverso un sistema di videosorveglianza composto da 11 telecamere, attivo, secondo quanto dichiarato dalla Società, almeno fino a dicembre 2018 che riprendeva (seppur senza registrare dal 10.7.2018, sempre in base a quanto dichiarato dalla Società), tra l’altro, aree dove, almeno fino ad agosto 2019, il reclamante ha svolto attività lavorativa come guardia giurata, e quindi poteva essere ripreso dalle stesse telecamere, la Società, in qualità di titolare del trattamento avrebbe dovuto fornire un riscontro all’interessato visto quanto previsto dall’art. 12 con riferimento agli artt. 15 e 17 del Regolamento.

Anche con riferimento all’istanza di cancellazione dei dati la Società avrebbe, quindi, dovuto fornire riscontro all’interessato, ai sensi dell’art. 12 del Regolamento, considerato che la stessa effettuava un trattamento dei dati del reclamante attraverso il sistema di videosorveglianza, fermo restando, comunque, quanto disposto dall’art. 160-bis del Codice (“La validità, l'efficacia e l'utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti basati sul trattamento di dati personali non conforme a disposizioni di legge o di Regolamento restano disciplinate dalle pertinenti disposizioni processuali”).

In capo al titolare del trattamento, infatti, sussiste l’obbligo di fornire riscontro alle istanze di esercizio dei diritti (tra cui il diritto di accesso di cui all’art. 15 del Regolamento e il diritto alla cancellazione ai sensi dell’art. 17 del Regolamento) presentate dall’interessato fornendo le informazioni richieste entro il termine indicato dall’art. 12, par. 3, del Regolamento, o, qualora non possa ottemperare alla richiesta, informando l’interessato senza ritardo e comunque entro un mese dall’istanza in merito ai “motivi dell’inottemperanza e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale” (art. 12, par. 4, del Regolamento).

Con riferimento a quanto affermato dalla Società in merito all’adempimento dell’obbligo di c.d. informativa nei confronti del reclamante si rammenta che il diritto, riconosciuto all’interessato, di accedere alle informazioni previste dall’art. 15 del Regolamento non può ritenersi soddisfatto per il solo fatto di aver fornito le informazioni previste dagli artt. 13 e 14 del Regolamento.

Il diritto di accesso e il c.d. diritto di informativa, seppur correlati, sono, infatti, diritti differenti, sanciti da distinte disposizioni dell’ordinamento, rispondenti ad esigenze di tutela e garanzia dell’interessato non completamente sovrapponibili. Come recentemente chiarito anche dalle Guidelines 01/2022 on data subject rights – Right of access, adottate il 18 gennaio 2022 (sottoposte a consultazione pubblica conclusa l’11 marzo 2022), in sede di riscontro all’istanza di accesso il titolare deve adattare alla specifica condizione dell’interessato quanto indicato in termini necessariamente generali nell’informativa (o nel registro dei trattamenti).

Pertanto tutte le informazioni fornite nell’informativa, in sede di comunicazione all’interessato delle informazioni ai sensi dell’art. 15 del Regolamento, devono essere verificate e declinate alla luce delle concrete operazioni di trattamento effettuate nei confronti del richiedente (v. Guidelines 01/2022 cit., punto 110 e ss.; in termini generali v. par. 111 “In the context of an access request under Art. 15, any information on the processing available to the controller may therefore have to be updated and tailored for the processing operations actually carried out with regard to the data subject making the request. Thus, referring to the wording of its privacy policy would not be a sufficient way for the controller to give information required by Art. 15(1)(a) to (h) and (2) unless the « tailored » information is the same as the « general » information”, (trad. non ufficiale: “Nel contesto della comunicazione delle informazioni di cui all'articolo 15, tutte le informazioni sul trattamento di cui dispone il titolare del trattamento devono pertanto essere aggiornate e adattate alle operazioni di trattamento effettivamente svolte nei confronti dell'interessato che presenta la richiesta. Pertanto, il rinvio all’informativa privacy generale (privacy policy) non sarebbe un mezzo sufficiente per consentire al titolare del trattamento di fornire le informazioni di cui all'articolo 15, paragrafo 1, lettere a) -h), e (2), a meno che le informazioni "su misura" non coincidano con le informazioni "generali").

Nel caso di specie, tra l’altro ed in ogni caso, quanto contenuto nella copia dell’“informativa su TVCC” prodotta in atti e che risulta predisposta da Ime s.a.s. (e non da Agema s.r.l.), “versione giugno 2010”, non contiene tutte le informazioni richieste dagli artt. 13 e 14 del Regolamento.

Per quanto riguarda, infine, le domande presentate con reclamo di “vietare l’illegittimo trattamento dei […] dati personali [riguardanti il reclamante]” e “ordinare la cancellazione dei […] dati personali [riguardanti il reclamante] che siano conservati da Agema SpA”, considerato che il sistema di videosorveglianza secondo quanto dichiarato dalla Società allo stato non è più attivo e che, comunque, non effettuava la registrazione delle immagini almeno dal 10 luglio 2018, considerato, tra l’altro, quanto previsto dall’art. 160-bis del Codice, si ritiene non vi siano i presupposti per l’adozione di provvedimenti da parte dell’Autorità.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

La condotta della Società che non ha fornito idoneo riscontro all’istanza di esercizio dei diritti presentata dal reclamante risulta infatti illecita, nei termini su esposti, in relazione all’art. 12 con riferimento agli artt. 15 e 17 del Regolamento.

Considerati tutti gli elementi acquisiti nell’ambito dell’istruttoria, si ritiene che la violazione accertata nei termini di cui in motivazione possa comunque essere considerata “minore”, tenuto conto, in particolare, del numero di interessati coinvolti (uno) e dell’assenza di precedenti violazioni pertinenti (v. art. 83, par. 2, e cons. 148 del Regolamento).

Si ritiene, quindi, che, relativamente al caso in esame, occorra ammonire il titolare del trattamento, ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento, per aver omesso di fornire idoneo riscontro ex art. 12 del Regolamento all’istanza di accesso e di cancellazione presentata dal reclamante ai sensi degli artt. 15 e 17 del Regolamento, nei termini indicati in motivazione.

Si rappresenta, altresì, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, rileva l’illiceità del trattamento effettuato da Agema s.r.l. (già Agema S.p.A.), in persona del legale rappresentante, con sede legale in Viale Monza, 7, Milano, C.F. 00887390151 descritto nei termini di cui in motivazione, per la violazione dell’art. 12 in relazione agli artt. 15 e 17 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce Agema s.r.l. (già Agema S.p.A.), quale titolare del trattamento in questione, per avere omesso di fornire idoneo riscontro ai sensi dell’art. 12 del Regolamento all’istanza di esercizio dei diritti presentata dalla reclamante ex artt. 15 e 17 del Regolamento;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 26 gennaio 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feronio

IL SEGRETARIO GENERALE
Mattei