E’ stata inflitta una sanzione di 3mila euro per trattamento illecito di dati personali ad un Comune che, in assenza delle garanzie di legge, ha installato i c.d. “occhi elettronici” (telecamere) in prossimità dei dispositivi di rilevazione delle presenze dei lavoratori.

Al riguardo, il Garante ha ribadito che l’installazione degli “occhi elettronici” nei luoghi di lavoro può avvenire solo nel rispetto degli obblighi previsti dallo Statuto dei lavoratori e delle garanzie assicurate ai dipendenti dalla normativa sul trattamento e sulla protezione dei dati personali.

Il Provvedimento sanzionatorio, n. 234 dell'11/04/2024, è stato reso noto il 21/05/2024 in occasione della Newsletter del 21/05/24.

Il fatto sanzionato per effetto del trattamento illecito, La segnalazione della dipendente e la natura e l'entità della sanzione irrogata sono di seguito sintetizzati .

• IL FATTO SANZIONATO

Il Comune ha installato un sistema di videosorveglianza nell’atrio della propria sede, in prossimità dei sistemi di rilevazione delle presenze. Secondo le dichiarazioni rilasciate dal Comune al Garante, la telecamera posizionata all’interno dell’atrio del Comune è stata installata al solo scopo di tutelare il patrimonio comunale e l’incolumità dei dipendenti. In particolare, l’installazione e il collegamento all’impianto di videosorveglianza è avvenuto a seguito di un’aggressione nei confronti dell’assistente sociale e di un assessore.

Sempre secondo la versione del Comune, la finalità del trattamento non consiste nella “videosorveglianza sui luoghi di lavoro per la tutela del patrimonio aziendale” ma, per contro, va individuata nella “pubblica sicurezza e […] accertamento dei reati”, così come previsto dal regolamento dell’ente locale, ai sensi del quale il Comune può “monitorare, anche con l’uso di videocamere, il territorio, l’interno e l’esterno degli edifici pubblici”.

A comprova dell’assenza di una finalità di videosorveglianza sui luoghi di lavoro milita - secondo la ricostruzione del Comune - la circostanza che non è stata mai prevista, installata o collegata alcuna videocamera che sia in grado di riprendere, in alcun modo, i lavoratori dipendenti negli Uffici ma nemmeno nelle immediate adiacenze degli stessi e, tantomeno, in altri ambienti dove possa dirsi lesa la loro dignità o la loro riservatezza. L’unica telecamera interna all’edificio è stata indirizzata nell’atrio di entrata del pubblico.

• IL TRATTAMENTO ILLECITO

Nonostante la dichiarata finalità del trattamento per motivi di sicurezza, tuttavia, attraverso l’utilizzo delle immagini registrate, l’amministrazione ha contestato ad una dipendente:

• violazioni ai doveri d’ufficio, tra cui il mancato rispetto dell’orario di servizio.

Con tale comportamento, l'amministrazione ha dimostrato di utilizzare i dati personali raccolti attraverso le registrazioni per finalità di gestione del rapporto di lavoro.

Al riguardo va tenuto presente che sin dal Provvedimento in materia di videosorveglianza dell’8 aprile 2010, il Garante ha chiarito che i soggetti pubblici “in qualità di titolari del trattamento […], possono trattare dati personali nel rispetto del principio di finalità, perseguendo scopi determinati, espliciti e legittimi […] per lo svolgimento delle proprie funzioni istituzionali” (cfr. sez. 3.2 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” del Comitato europeo per la protezione dei dati del 29 gennaio 2020).

In più occasioni, il Garante ha chiarito anche che quando, come nel caso di specie, “le telecamere di videosorveglianza sono idonee a riprendere anche il personale che transita o sosta nei luoghi di lavoro, il trattamento dei dati personali dei lavoratori può essere effettuato, dal titolare in qualità di datore di lavoro, se è necessario, in generale, per la gestione del rapporto di lavoro e nell’ambito del quadro giuridico applicabile definito da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi (artt. 6, par. 1, lett. c), e 88 del Regolamento). In tale quadro, il datore di lavoro deve, quindi, rispettare le norme nazionali che “includono misure appropriate e specifiche a salvaguardia della dignità umana […] degli interessati in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro” (artt. 6, par. 2, e 88, par. 2, del Regolamento)”.

Ciò premesso, è evidente che l’osservanza dell’art. 4 della l. 20 maggio 1970, n. 300 costituisce una condizione di liceità del trattamento laddove stabilisce che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali […]. In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro o, in alternativa, […] della sede centrale dell'Ispettorato nazionale del lavoro”.

Le informazioni raccolte sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal Codice (D.Lgs.196/2003).

Se non chè, il trattamento dei dati personali mediante il predetto sistema di videosorveglianza è stato effettuato dal Comune:

• in violazione degli artt. 5, par. 1, lett. a), 6, e 88 del Regolamento, nonché 114 del Codice, in riferimento all’art. 4, comma 1, della l. n. 300 del 1970, posto che è avvenuto in assenza delle condizioni previste dalla disciplina in materia di controlli a distanza;
• in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del GDPR, essendo stata omessa, la fornitura ai lavoratori e anche ai visitatori dell’informativa sul trattamento dei dati personali mediante il predetto sistema di videosorveglianza;
• in assenza dei presupposti richiesti dalla disciplina di settore in materia di controlli a distanza, in violazione degli artt. 5, par. 1, lett. a) e b), 6, e 88 del Regolamento, nonché 114 del Codice, in riferimento all’art. 4, comma 3, della l. n. 300 del 1970, essendo stati utilizzati i dati raccolti mediante il predetto sistema di videosorveglianza nell’ambito del procedimento disciplinare avviato nei confronti della dipendente interessata.

• LA SEGNALAZIONE DELLA DIPENDENTE

Il procedimento sanzionatorio dell’Autorità è stato avviato a seguito della segnalazione di una dipendente che ha lamentato:

1. l’installazione di una telecamera nell’atrio del Comune, in prossimità dei dispositivi di rilevazione delle presenze dei lavoratori;
2. l’impiego delle registrazioni della predetta telecamera per l’effettuazione di specifiche contestazioni disciplinari alla dipendente medesima in ordine al mancato rispetto dell’orario di servizio e alla violazione dei propri dei doveri d’ufficio.

Il Comune ha comunque riportato la condotta segnalata alla finalità di pubblica sicurezza evidenziando, testualmente le seguenti circostanze:

• “coerentemente con [tali] reali finalità del trattamento […, il] Sindaco, quale Ufficiale di Polizia Giudiziaria ex art. 57, comma 1 lett. c c.p.p., all’esito dei gravi indizi a carico della segnalante consistiti nel mancato adempimento delle “formalità previste per la rilevazione delle presenze” […] e nelle lamentele “da parte del restante personale”, nonché, nelle “segnalazioni riguardanti la condotta della dipendente riportate al Sindaco da alcuni cittadini, che stazionando quotidianamente nei pressi del Comune, avevano notato e riferito con dovizia di particolari, gli accadimenti riportati nel procedimento” […] decideva, per il tempo strettamente necessario, di trattare il dato raccolto nel rispetto delle finalità esplicate nel regolamento comunale [sulla videosorveglianza]”;
• “è di tutta evidenza la piena legittimità dell’originaria raccolta e, di conseguenza, dell’utilizzo del dato atteso che nel corso delle indagini di P.G. la condotta non ricade nell’ambito del [Regolamento] ma nel d.lgs. 51/2018 inerente il trattamento dei dati effettuato dalle Autorità Pubbliche a fini di prevenzione, indagine, accertamento o perseguimento degli illeciti. […] Accertamento che, nella specie, riguardava condotte poste in essere dalla segnalante ed aventi rilievo penale e, di conseguenza, portate anche all’attenzione degli inquirenti a mezzo di querela orale sporta in data XX”;

Tali circostanze non sono state ritenute fondate dal Garante per i motivi di seguito indicati.

• LA SANZIONE IRROGATA: SANZIONE AMMINISTRATIVA PECUNIARIA E MISURA CORRETTIVA

La normativa europea prevede che i dati personali devono essere trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato” e “raccolti per finalità determinate, esplicite e legittime” (principi di “liceità, correttezza e trasparenza” e “limitazione della finalità”), ammettendo la possibilità di successivi trattamenti ma solo “in modo che non sia incompatibile con [le] finalità” iniziali del trattamento (art. 5, par. 1, lett. a) e b), del Regolamento).

In tale quadro, il titolare può utilizzare per ulteriori trattamenti i soli dati personali lecitamente raccolti in presenza di un’idonea base giuridica, avendo previamente “soddisfatto tutti i requisiti per la liceità del trattamento originario” (cfr. cons. n. 50 del Regolamento), e dunque nei limiti in cui l’originaria raccolta sia stata lecitamente effettuata, avuto riguardo alla finalità principale e nel rispetto dei principi generali di protezione dei dati, tra cui quello di “liceità, correttezza e trasparenza”, in attuazione del quale quale il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (cfr. art. 12, par. 1, del Regolamento).

Nel caso di specie, il trattamento è avvenuto in violazione dei principi di liceità correttezza trasparenza e limitazione delle finalità in quanto il Garante ha accertato, all’esito dell’istruttoria, che il Comune non ha assicurato il rispetto delle procedure di garanzia previste dalla disciplina di settore in materia di controlli a distanza e ha peraltro utilizzato le immagini di videosorveglianza per:

• adottare un provvedimento disciplinare nei confronti della lavoratrice.

L’Autorità ha, pertanto adottato:

• l’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria di euro 3.000 e delle sanzioni accessorie.

Ha adottato anche:

• la misura correttiva di fornire a tutti gli interessati (ovvero sia i lavoratori sia i visitatori presso la sede del Comune), un’idonea informativa sul trattamento dei dati personali, contenente tutti gli elementi informativi essenziali di cui all’art. 13 del GDPR (art. 58, par. 2, lett. d), del GDPR).