VEDI ANCHE Newsletter dell'8 novembre 2023

[doc. web n. 9949494]

Provvedimento del 12 ottobre 2023

Registro dei provvedimenti
n. 477 del 12 ottobre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la segnalazione del 6 luglio 2021 della Stazione dei Carabinieri di XX;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’attività istruttoria.

Con la nota del 6 luglio 2021, la Stazione dei Carabinieri di XX segnalava a questa Autorità l’installazione, sul muro esterno di proprietà della sig.ra XX, di una telecamera che, dagli accertamenti compiuti e dai rilievi fotografici, risultava idonea a riprendere l’area pubblica antistante dove si trovano un parco giochi e una piazza.

Con la richiesta di informazioni del 4 novembre 2022, formulata ai sensi dell’art. 157 del d.lgs. n. 196 del 2003, recante il Codice in materia di protezione dei dati personali, l’Ufficio avviava l’istruttoria preliminare, invitando a riferire in ordine a quanto segnalato e contestualmente delegava il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza a effettuare le opportune verifiche.

Nel corso dell’accertamento, eseguito il 2 marzo 2023, gli agenti rilevavano che l’impianto di videosorveglianza risulta composto da una prima telecamera brandeggiabile, con possibilità di movimento a 360°, posizionata sulla porta di accesso dell’abitazione, orientabile mediante l’applicazione installata sullo smartphone; tale dispositivo, oltre a riprendere le immagini, consente anche di “registrare audio nelle immediatezze e di intervenire parlando attraverso il microfono” e da una seconda telecamera, non attiva, posizionata immediatamente dopo un vialetto di accesso che collega l’entrata con uno spazio interno all’edificio.

In relazione all’angolo di visuale di ripresa delle telecamere la parte dichiarava che “l’impianto che riprende le immagini esterne… è composto da due telecamere…Una, posizionata proprio sopra la porta di accesso dell’abitazione, riprende la porzione di spazio antistante l’ingresso e le zone immediatamente attigue. La mia proprietà, o meglio le mura perimetrali, confinano con un piccolo parco giochi antistante che non è mia intenzione riprendere. L’altra, ripeto collegata ma non attiva, direzionata, potenzialmente atta a riprendere lo spazio del vialetto che collega il cancello di accesso alla mia abitazione allo spazio interno dell’edificio”.

La parte rappresentava inoltre che “la telecamera che è posizionata immediatamente sopra la porta di accesso , per le sue caratteristiche, potrebbe inquadrare anche parte del parco giochi. Ma non è mio interesse farlo. Non ho nessuna intenzione di direzionare la mia telecamere oltre gli spazi di mia proprietà/disponibilità. Fatti salvi tutti quegli accadimenti di danneggiamento o minacce esplicite nei miei confronti, che ho dichiarato prima nelle finalità perseguite, per i quali mi riservo attraverso le immagini di sporgere denuncia”.

La parte, infine, dichiarava che “a riprova di ciò fornisco video/audio (all.n.10) salvato sul mio telefono e non più presente sull’applicazione, dove si evince come queste persone mi minaccino. Mi son tenuta questi video/audio perché è mia intenzione confrontarmi con il mio avvocato e sporgere una denuncia…”

2. L’avvio del procedimento.

Con la comunicazione del 17 aprile 2023, l’Ufficio notificava alla parte l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice.

Ciò in quanto, sulla base delle verifiche compiute e delle dichiarazioni rese, risultava infatti accertato che l’impianto di videosorveglianza, per le sue caratteristiche tecniche, è idoneo alla ripresa di aree che non sono di diretta pertinenza, trattandosi di spazi pubblici (parco), e, pertanto, il correlato trattamento di dati personali risultava effettuato in assenza di un valido presupposto di liceità - anche in relazione alle registrazioni di “audio” riconducibili a conversazioni avvenute su area pubblica - in violazione degli art. 5, par.1, lett. a), c) e 6, par. 1, del Regolamento e in assenza dell’informativa prevista dall’art. 13 del Regolamento

La parte, informata dall’Ufficio della possibilità di produrre scritti difensivi o documenti in relazione al procedimento a suo carico, ha fatto pervenire una nota indicante le misure adottate per rendere conforme il suddetto trattamento al Regolamento.

Nello specifico, in data 15 giugno 2023 è stata trasmessa all’Ufficio una comunicazione dalla quale risultava che “la Sig.ra … ha provveduto a sostituire la telecamera relativa all'impianto di videosorveglianza collocato nell'abitazione a XX, XX, con il modello a telecamera fissa puntato verso l'ingresso…”.

3. L’esito dell’istruttoria.

All’esito dell’esame delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice, risulta accertato che la sig.ra XX ha effettuato un trattamento di dati personali non conforme alla disciplina rilevante in materia di protezione dei dati personali contenuta nel RGPD.

Il trattamento dei dati posto in essere mediante un impianto di videosorveglianza se effettuato da persone fisiche per finalità personali e domestiche è da ricondurre nelle cause di esclusione dell’applicazione della normativa in materia di protezione dati di cui all’art. 2 par. 2 del Regolamento UE 2016/679. A tal proposito, il considerando n. 18 del Regolamento specifica che si considera “attività a carattere esclusivamente personale o domestico” quella effettuata senza che si realizzi una connessione con un’attività commerciale o professionale.

L’utilizzo di sistemi di videosorveglianza da parte di persone fisiche nelle aree di diretto interesse (quali quelle inerenti al proprio domicilio e le sue pertinenze) è quindi da ritenersi, in linea di massima, escluso dall’ambito di applicazione materiale delle disposizioni in materia di protezione dati, perché rientrante tra i trattamenti effettuati per l’esercizio di attività a carattere esclusivamente personale e domestico.

Ciò a condizione che l’ambito di comunicazione dei dati non ecceda la sfera familiare del titolare e le immagini non siano oggetto di comunicazioni a terzi o di diffusione e il trattamento non si estenda oltre gli ambiti di stretta pertinenza del titolare riprendendo immagini in aree comuni (anche di tipo condominiale quali scale, androni, parcheggi), luoghi aperti al pubblico (vie o piazze), o aree di pertinenza di terzi (giardini, terrazzi, porte o finestre di pertinenza di terzi).

Ne discende quindi che è possibile installare sistemi di ripresa video, senza dover adempiere agli obblighi previsti dalle norme in materia di protezione dei dati personali, purché l’angolo di visuale delle telecamere sia limitato alle sole zone di propria pertinenza, anche eventualmente attraverso l’attivazione di una funzione di oscuramento delle parti eccedenti.

Soltanto in presenza di situazioni di rischio effettivo, il titolare del trattamento può, sulla base di un legittimo interesse, estendere la ripresa delle videocamere anche ad aree che esulano dalla propria esclusiva pertinenza, purché ciò sia adeguatamente motivato e suffragato da idonea documentazione (es. denunce, minacce, furti).

In tali casi, il titolare del trattamento è tenuto tuttavia al rispetto delle disposizioni in materia di protezione dati personali, rinvenibili nelle Linee guida n. 3/2019, sul trattamento dei dati personali attraverso dispositivi video, adottate dal Comitato europeo per la protezione dei dati e nel Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 (reperibile sul sito dell’Autorità www.gpdp.it, doc. web 1712680).

Nel caso in esame, l’istruttoria ha rilevato che la ripresa delle aree ultronee, rispetto a quelle di pertinenza, è avvenuta in assenza di idonei presupposti di liceità, considerato che il titolare del trattamento non ha dimostrato la sussistenza di un legittimo interesse riferito a una situazione di rischio effettivo che avrebbe giustificato tale trattamento.

Quanto sopra vale anche per la captazione di conversazioni avvenute in spazi pubblici attraverso dispositivi audio.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, del Regolamento.

Alla luce delle considerazioni sopra riportate, si rileva quindi che, almeno fino agli interventi correttivi di cui alla comunicazione del 15 giugno 2023, il trattamento di dati personali posto in essere risulta illecito poiché effettuato in maniera non conforme ai principi di “liceità” e di “minimizzazione” dei dati, in violazione dell’art. 5, par. 1, lett. a) e c) e dell’art. 6, par. 1 del Regolamento, in considerazione del fatto che la telecamera per le sue caratteristiche, risultava idonea a inquadrare anche parte del parco giochi antistante l’abitazione della sig.ra XX (cfr. Verbale accertamenti ispettivi).

Si tiene conto del fatto che le dichiarazioni contenute negli scritti difensivi sono da ritenersi meritevoli di considerazione ai fini della valutazione della condotta e che la stessa ha esaurito i suoi effetti, avendo il titolare del trattamento provveduto a sostituire la telecamera precedentemente installata con una fissa puntata verso l’ingresso; in relazione a quanto precede, il caso può essere qualificato come “violazione minore”, ai sensi dell’art. 83, par. 2 e del Considerando 148 del Regolamento.

Si ritiene, pertanto, sufficiente ammonire il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

a) dichiara, ai sensi degli artt. 57, par. 1, lett. a) e 83 del Regolamento, l’illiceità del trattamento effettuato dalla sig.ra XX (c.f. XX), residente in XX, nei termini di cui in motivazione, per la violazione dell’art.5, par. 1, lett. a) e c) e dell’art. 6, par. 1 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce il medesimo titolare del trattamento per la violazione dell’art. 5, par. 1, lett. a) e c) e dell’art. 6, par. 1 del Regolamento;

DISPONE

l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del RGPD con il presente provvedimento, come previsto dall’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 ottobre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei