Prescrizioni per il corretto impiego di un sistema di videosorveglianza all’interno di un hotel

Prescrizioni per il corretto impiego di un sistema di videosorveglianza all’interno di un hotel – Registro dei provvedimenti n.  142 del 14 aprile 2011

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

VISTO il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

VISTO il provvedimento del Garante dell’8 aprile 2010 (doc. web n. 1712680), in materia di trattamento di dati personali effettuato mediante sistemi di videosorveglianza;

VISTA la segnalazione del 20 gennaio 2009, con cui la Polizia municipale del Comune di Firenze, a seguito di un controllo effettuato presso la struttura ricettiva “Hotel Four Seasons” di Firenze, ha informato il Garante dell’avvenuta istallazione di un impianto di videosorveglianza in violazione della disciplina di protezione dei dati personali;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Mauro Paissan;

PREMESSO

1. Con nota pervenuta il 2 marzo 2009, la Polizia municipale del Comune di Firenze ha segnalato al Garante che, in occasione di un controllo effettuato presso la struttura ricettiva “Hotel Four Seasons” di Firenze, di proprietà di Cu.Gi.Mi S.p.A., aveva verificato l’avvenuta installazione “sulle facciate dell’immobile di cinque telecamere, puntate verso gli ingressi”, senza che risultasse affissa alcuna informativa al riguardo.

Disposti dall’Autorità appositi accertamenti ispettivi, il 30 settembre 2009 il “Nucleo speciale privacy” della Guardia di finanza ha rilevato che presso la struttura in questione è stato installato un sistema digitale di videosorveglianza, costituito da 45 telecamere (quattro delle quali brandeggianti e dotate di zoom), provvisto di sei monitor e di “server dedicati utilizzati per la registrazione” e “custoditi sotto chiave”, ove le immagini sono conservate “per circa sessanta ore, decorse le quali si autocancellano con sovrascrittura di nuove immagini”.

La titolarità del trattamento dei dati è risultata essere in capo a Cu.Gi.Mi S.p.A., la quale ha rappresentato che la struttura alberghiera ha un’estensione di circa quattro ettari e che ad essa si può accedere da cinque diverse vie di collegamento cittadine (per complessivi n. 10 ingressi). Secondo la società, l’installazione dell’impianto si sarebbe resa necessaria, “fin dall’apertura al pubblico dell’Hotel”, non solo “per garantire elevati standard di sicurezza alla clientela”, ma anche per proteggere i negozi di preziosi presenti all’interno della struttura e per scongiurare il ripetersi di eventi criminosi, per reprimere i quali le forze dell’ordine, in passato, avevano già chiesto di visionare i filmati registrati dal sistema.

Inoltre, la società ha dichiarato di aver appaltato il servizio di vigilanza alla Security Consulting Group S.r.l., nominata “responsabile esterna del trattamento”, e che “la visione delle telecamere è consentita solamente agli addetti alla sorveglianza”, regolarmente designati “incaricati” dalla stessa società appaltatrice.

2. Ciò premesso, all’esito dell’espletamento delle attività ispettive sono state rilevate alcune anomalie.

In primo luogo è stato appurato che l’informativa minima, “resa tramite cartelli metallici affissi in prossimità di alcuni ingressi lungo le aree perimetrali esterne”, non era integrata “da almeno un avviso circostanziato riportante gli elementi di cui all’art. 13 D. Lgs. 196/2003”, in violazione di quanto stabilito al punto 3.1 dell’allora vigente Provvedimento generale sulla videosorveglianza del 29 aprile 2004.

Tali rilievi hanno formato oggetto di apposita contestazione amministrativa (n. 60/2009, notificata il 23 novembre 2009), con cui è stato ingiunto a Cu.Gi.Mi. S.p.A. di versare la somma di euro 4.800,00 per “omessa o inidonea informativa all’interessato” ai sensi degli artt. 161 e 164-bis, comma 1 del Codice. Detto procedimento si è ritualmente concluso per intervenuto pagamento, in data 23 dicembre 2009, della sanzione in misura ridotta.

Inoltre, in relazione alle modalità di attuazione delle disposizioni di cui all’art. 4 della legge 20 maggio 1970, n. 300, il sig. Alfiero Mario, Responsabile della sicurezza di Cu.Gi.Mi. S.p.A., appositamente intervenuto nel corso delle operazioni ispettive, ha dichiarato che, benché nessuna telecamera inquadri direttamente “postazioni fisse” di lavoro, il personale di servizio può comunque essere ripreso allorché si trovi “in transito” negli ambienti sottoposti a videosorveglianza; inoltre, il predetto Responsabile ha altresì asserito che, “non essendovi rappresentanze sindacali dei dipendenti (perché le riunioni indette dalle organizzazioni di categoria, seppur concesse, sono andate deserte)”,  l’Hotel, “per conto della società”, ha acquisito “un’informativa/consenso scritto da parte dei dipendenti (…) al momento dell’ingresso in struttura”, attraverso cui il “personale addetto all’inserimento di nuovi dipendenti” ha indicato a questi ultimi non solo “la presenza di telecamere”, ma anche i luoghi rispettivamente interessati alle riprese (cfr. verbale di operazioni compiute del 30 settembre 2009, p. 5).

3. Successivamente, nel corso dell’istruttoria, questa Autorità, con nota del 2 marzo 2010 (prot. 4770) ha sollecitato Cu.GI.Mi S.p.A. ad adottare ogni misura idonea per adeguare il trattamento dei dati personali alla disciplina di protezione dei dati personali, in particolare per emendare le riscontrate carenze dell’informativa e per dare effettiva attuazione alla disciplina sul controllo a distanza dei lavoratori.

Circa il primo dei suddetti profili, Cu.Gi.Mi. S.p.A., con nota del 2 aprile 2010 (prot. 9653) a firma del direttore dell’Hotel, ha dichiarato, tra l’altro, “di aver provveduto ad esporre presso la reception e l’ingresso dipendenti un avviso circostanziato completo di tutti gli elementi previsti dall’art. 13 del Codice”, così come richiesto dal Provvedimento del 2004.

Alla luce di tale affermazione -della cui veridicità, ai sensi di quanto previsto dall’art. 168 del Codice, il dichiarante può essere chiamato a rispondere anche penalmente- questa Autorità ritiene che su tale profilo siano venute meno le ragioni di provvedere.

Per quanto concerne, invece, l’attuazione delle prescrizioni contenute nell’art. 4 della legge n. 300/1970, è stato ribadito che l’impianto non sarebbe idoneo a realizzare un controllo a distanza sull’attività lavorativa, “anche per le misure organizzative adottate per la sua gestione”, che escluderebbero “qualsiasi ipotesi di consultazione delle registrazioni o di visione delle immagini da parte di soggetti diversi dal responsabile della Sicurezza e degli addetti all’attività di sorveglianza, appaltata da ditta esterna”. Pertanto, pur riaffermando che il sistema garantirebbe l’incolumità del personale e degli ospiti e che la disattivazione o la “radicale modifica del sistema di videosorveglianza” determinerebbe “un innalzamento dei rischi, anche per l’incolumità dei lavoratori, […] non giustificabile se dovuto ad ostacoli derivanti da interpretazioni apodittiche e non ad una situazione effettivamente lesiva dei diritti dei lavoratori” (vedi pag. 2 della nota del 2 aprile 2010),  la società ha comunicato di aver comunque modificato l’orientamento delle telecamere suscettibili di poter riprendere anche in modo discontinuo i lavoratori, “in modo da limitare quanto più possibile le aree inquadrate”, oscurando “con strumenti meccanici negli orari di lavoro quelle presenti nei punti presidiati da addetti alla struttura, fatta eccezione [per i] luoghi ove è previsto un passaggio occasionale”; infine, la società ha anche fatto presente di aver impartito nuove prescrizioni al Responsabile della sicurezza, ribadendo il divieto per costui di consentire l’accesso alle immagini a chiunque “non sia” [stato] “designato per le finalità già richiamate nella relazione riguardante l’impianto in parola redatta in ottemperanza al punto 3.5 del Provvedimento […] del 29 aprile 2004”.

Però, le misure di cui sopra, spontaneamente adottate dalla società nel corso del procedimento, per quanto volte a garantire una maggiore riservatezza dei dipendenti sui luoghi di lavoro, non possono essere ritenute conformi a quanto previsto dall’art. 4, comma 2 della legge n. 300/1970 sul controllo a distanza dei lavoratori, soprattutto ove si tenga conto del fatto che, secondo la giurisprudenza, il divieto di controllo a distanza dell’attività lavorativa non è escluso dal fatto che lo stesso sia destinato, come nel caso in oggetto, ad essere discontinuo (cfr. Cass. 6 marzo 1986, n. 1490).

Ne consegue che, affinché il trattamento in questione possa reputarsi conforme a legge, si rende necessario che Cu.Gi.Mi. S.p.A. raggiunga uno specifico accordo con le rappresentanze sindacali aziendali riguardo all’installazione ed al funzionamento del sistema di videosorveglianza o, in difetto, ottenga una specifica autorizzazione da parte della direzione provinciale del lavoro competente.

Pertanto, stante la riferita insussistenza di un accordo tra la società e le rappresentanze sindacali, al fine di rendere il trattamento conforme alle disposizioni vigenti, si deve prescrivere alla Cu.Gi.Mi. S.p.A. (artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice) di chiedere all’Ispettorato del lavoro, nel termine di 30 gg. dalla ricezione del presente provvedimento, l’apposita autorizzazione prevista dall’art. 4, comma 2 della legge n. 300/1970, volta a definire le corrette modalità per l’uso dell’impianto di videosorveglianza attualmente installato presso la struttura ricettiva “Hotel Four Seasons” di Firenze; dell’avvenuta presentazione di tale richiesta dovrà essere data immediata comunicazione al Garante.

Inoltre, allo stato, stante la non conformità a legge del trattamento in essere (artt. 11, comma 1, lett. a) e 114 del Codice), in attesa dell’espletamento delle procedure previste dall’art. 4 della legge n. 300/1970, nei confronti di Cu.Gi.Mi. S.p.A. dev’essere disposto (artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice) il blocco dell’eventuale uso delle immagini rilevate per finalità di controllo a distanza dell’attività dei lavoratori.

Si rammenta altresì che, in caso di inosservanza del presente provvedimento, si renderanno applicabili le sanzioni previste dagli artt. 162, comma 2-ter e 170 del Codice.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, al fine di rendere il trattamento conforme alle disposizioni vigenti, prescrive a Cu.Gi.Mi S.p.A. di presentare all’Ispettorato del lavoro, nel termine di 30 gg. dalla ricezione del presente provvedimento, l’apposita richiesta di autorizzazione prevista dall’art. 4, comma 2 della legge n. 300/1970, volta a definire le corrette modalità per l’uso dell’impianto di videosorveglianza attualmente installato presso la struttura ricettiva “Hotel Four Seasons” di Firenze; dell’avvenuta presentazione di tale richiesta dovrà essere data immediata comunicazione al Garante.

ai sensi degli artt. 143, comma 1, lett. c), 144 e 154, comma 1, lett. d) del Codice, in attesa dell’espletamento delle procedure previste dall’art. 4 della legge n. 300/1970, dispone, nei confronti di Cu.Gi.Mi. S.p.A., il blocco dell’eventuale uso delle immagini rilevate per finalità di controllo a distanza dell’attività dei lavoratori.

Avverso il presente provvedimento, ai sensi dell’art. 152 del Codice, può essere proposta opposizione davanti al tribunale ordinario del luogo dove ha sede il titolare del trattamento entro il termine di trenta giorni dalla notificazione del presente provvedimento.

Roma, 14 aprile 2011

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
De Paoli