Telecamere installate in area privata idonee a riprendere strade e spazi pubblici

Il trattamento dei dati personali attraverso strumenti di videosorveglianza

Ai sensi dell’articolo 2, par. 2 del Regolamento Generale (UE) per la protezione dei dati personali (G.D.P.R.) n. 679/2016, quando il trattamento è effettuato da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico, non trovano applicazione le disposizioni del Regolamento.

A tal proposito, il considerando n. 18 del Regolamento specifica che si considera “attività a carattere esclusivamente personale o domestico”, quella effettuata senza che si realizzi una connessione con un’attività commerciale o professionale.

L’utilizzo di sistemi di videosorveglianza da parte di persone fisiche nelle aree di diretto interesse (quali quelle inerenti al proprio domicilio e le sue pertinenze), sono quindi da ritenersi, in linea di massima, escluse dall’ambito di applicazione materiale delle disposizioni in materia di protezione dati.

Ciò a condizione che l’ambito di comunicazione dei dati non ecceda la sfera familiare del titolare e le immagini non siano oggetto di comunicazioni a terzi o diffusione e il trattamento non si estenda oltre gli ambiti di stretta pertinenza del titolare riprendendo immagini in aree comuni (anche di tipo condominiale quali scale, androni, parcheggi, luoghi aperti al pubblico come vie o piazze, o aree di pertinenza di terzi come giardini, terrazzi, porte o finestre di pertinenza di terzi).

In tali circostanze, dunque, il trattamento effettuato deve ritenersi illecito in quanto privo di un’idonea base giuridica.

Soltanto in presenza di situazioni di rischio effettivo, il titolare del trattamento può, sulla base di un legittimo interesse, estendere la ripresa delle videocamere anche ad aree che esulano dalla propria esclusiva pertinenza, purché ciò sia adeguatamente motivato e suffragato da idonea documentazione (es. denunce, minacce, furti).

In tali casi, il titolare del trattamento è tenuto al rispetto delle disposizioni in materia di protezione dati personali, rinvenibili nelle Linee guida n. 3/2019, sul trattamento dei dati personali attraverso dispositivi video, adottate dal Comitato europeo per la protezione dei dati.

L’accertamento della Polizia locale di un illecito trattamento dei dati personali

Il Garante per la protezione dei dati personali, con Provvedimento n. 304 del 23 maggio 2024, ha ordinato ad un cittadino privato il pagamento della somma di € 400,00, a titolo di sanzione amministrativa pecuniaria, per la violazione degli articoli 5, par. 1, lett. a) (principio di trasparenza) e 6 (mancanza di idonei presupposti di legittimità) del Regolamento (UE) Generale sulla protezione dei dati personali n. 679/2016, disponendo altresì, a titolo di sanzione accessoria, la pubblicazione del provvedimento sul sito web dell’Autorità.

L’intervento del Garante è stato determinato da una comunicazione della Polizia Locale del Comune di San Benedetto del Tronto, con cui veniva segnalata la presenza di due telecamere esterne poste rispettivamente sotto al balcone del primo piano dell’immobile e sulla parete dello stesso, idonee a riprendere - come confermato dalle dichiarazioni rese dalla parte in sede di controllo – il portone di  ingresso principale di sua proprietà e parte della strada pubblica e di una terza telecamera, orientata verso la facciata sud dell’immobile e verso l’area pubblica.

Le telecamere erano, peraltro, idonee a riprendere parte della strada pubblica prospiciente l’ingresso di un bar.

L’Ufficio del Garante provvedeva, quindi, a notificare l’atto di avvio del procedimento, ai sensi dell’articolo 166, comma 5, d.lgs. n. 196/2003, in relazione alla violazione degli articoli 5, par. 1, lett. a) e 6 del Regolamento.

Il titolare del trattamento, informato della possibilità di produrre scritti difensivi o documenti in relazione al procedimento sanzionatorio a suo carico, inviava una comunicazione al Garante, con la quale rappresentava:

• di aver installato alcune telecamere di videosorveglianza per fini di sicurezza e in ragione del fatto che i clienti del bar, posto di fronte alla propria abitazione, erano soliti disturbare la quiete notturna;
• di aver provveduto a commissionare una perizia acustica per provare che il rumore antropico generato dal bar in questione superava la normale tollerabilità nelle ore notturne;
• che a partire da una certa data, la telecamera aveva cessato di funzionare in quanto rotta.

Con successiva nota, il medesimo inviava al Garante un’ulteriore nota, alla quale aveva allegato alcuni esposti, presentati alla Procura della Repubblica presso il Tribunale di Ascoli Piceno, con cui aveva denunciato comportamenti molesti da parte di avventori del bar e una segnalazione alla Polizia Municipale di San Benedetto del Tronto, per inquinamento acustico da parte dello stesso bar.

Sulla base dell’accertamento effettuato dalla Polizia Locale di San Benedetto del Tronto, è emerso che l’impianto di videosorveglianza installato era attivo e funzionante al momento del controllo e che era idoneo a riprendere anche aree ulteriori, rispetto a quelle di propria esclusiva pertinenza e, in particolare, le parti di strada pubblica prospicienti l’ingresso di un pubblico esercizio.

Essendo le riprese delle telecamere dirette verso l’esterno della sfera privata della persona che procedeva al trattamento dei dati, esse hanno determinato un trattamento di dati personali che non poteva essere considerato fuori dall’ambito di applicazione del Regolamento, ai sensi dell’articolo 2, par. 2 del  Regolamento (trattamento effettuato da una “persona fisica per l’esercizio di attività a carattere  esclusivamente personale o domestico”), come chiarito dalla Corte di giustizia (Corte giustizia  Unione Europea, sez. IV, sentenza 11/12/2014, C-212/13).

Sarebbe stato possibile installare sistemi di ripresa video, senza dover adempiere agli obblighi previsti dalle norme in materia di protezione dei dati personali, solo se l’angolo di visuale  delle telecamere fosse stato limitato alle sole zone di propria pertinenza, anche eventualmente attraverso l’attivazione di una funzione di oscuramento delle parti eccedenti, nella prospettiva, tuttavia, che  un minimo coinvolgimento in prossimità degli accessi potesse ritenersi ammissibile (in tema di  oscuramento v. Provvedimento Garante n. 429 del 28 settembre 2023).

In casi eccezionali, in presenza di situazioni di rischio effettivo, il titolare del trattamento può, sulla base di un legittimo interesse, estendere la ripresa delle videocamere anche ad aree pubbliche o aperte al pubblico, immediatamente prossime a quelle di pertinenza, a condizione che lo spazio  pubblico ripreso sia solo quello immediatamente prospicente gli ingressi e le finestre della propria  abitazione e che tale estensione risulti necessaria e proporzionata, in relazione al contesto, per assicurare una protezione efficace (Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video, punto 27).

In questi casi è, tuttavia, necessario che l’entità e l’attualità della minaccia siano adeguatamente documentate (ad esempio da denunce di minacce, furti o atti di vandalismo).

Non è comunque mai ammissibile la ripresa di spazi pubblici o comuni che non hanno un immediato collegamento con le aree di pertinenza o la ripresa di aree di pertinenza di terzi.
Nei casi in cui sussistano motivate ragioni per una limitata estensione delle riprese anche ad aree pubbliche o comuni, il titolare del trattamento è tenuto al rispetto delle disposizioni in materia di protezione dati personali, rinvenibili nelle citate Linee guida n. 3/2019.

Ove sia accertato che le telecamere riprendono aree ulteriori rispetto a quelle di pertinenza, in assenza dei sopra citati presupposti o degli adempimenti previsti dalle disposizioni, il trattamento che ne deriva risulterebbe illecito, con conseguente applicazione dei provvedimenti correttivi e sanzionatori da parte dell’Autorità (vedi per un caso di applicazione concreta il Provvedimento Garante del 27 aprile 2023).

A questo riguardo, nel corso del procedimento, seppure la parte abbia fornito elementi in ordine a una situazione di disagio prodotto dal comportamento di persone che frequentavano il locale situato di fronte alla propria abitazione, gli stessi non potevano ritenersi idonei, di per sé, a legittimare una ripresa costante di aree pubbliche soggette al passaggio di persone, al di là di quelle immediatamente prossime gli accessi dell’abitazione.

I Provvedimenti correttivi del Garante ex art. 58, par. 2, Regolamento Generale (UE) n. 679/2016

Il Garante, ai sensi dell’articolo 58, par. 2, lett. i) del Regolamento e dell’articolo 166, d.lgs. n. 196/2003, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’articolo 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (articolo 18. legge 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato per mezzo dell’impianto di videosorveglianza.

Con riferimento agli elementi elencati dall’articolo 83, par. 2, del Regolamento, ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, dato atto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (articolo 83, par. 1 del Regolamento), il Garante ha tenuto conto, nel caso di specie, delle seguenti circostanze sotto riportate:

• con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento in relazione, in particolare, alla telecamera posta su XX (attualmente funzionante) che risulta ancora in corso coinvolgendo un numero indefinito di interessati;
• la circostanza che, malgrado il sig. XX abbia cooperato con l’Autorità inviando propri scritti difensivi, lo stesso abbia dichiarato che una telecamera posta su Viale XX non fosse più funzionante dal 7 dicembre 2021 senza fornire al Garante documentazione a sostegno delle proprie dichiarazioni con la conseguente impossibilità di verificare che siano state adottate misure idonee per attenuare il danno subito dagli interessati.

Alla luce delle valutazioni che precedono, considerati tutti gli elementi acquisiti nel corso dell’istruttoria, il Garante ha ritenuto che la condotta posta in essere risulti contraria al principio di liceità di cui all’articolo 5, par. 1, lett. a, del Regolamento, nonché priva di idonei presupposti di legittimità ai sensi dell’articolo 6 del medesimo Regolamento.

La disciplina sanzionatoria prevista dal Regolamento UE per la protezione dei dati personali 

Ai sensi dell’articolo 83, comma 4, del Regolamento, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a € 10.000.000, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:

• gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43;
• gli obblighi dell’organismo di certificazione a norma degli articoli 42 e 43;
• gli obblighi dell’organismo di controllo a norma dell’articolo 41, paragrafo 4.

Ai sensi dell’articolo 83, comma 5, del Regolamento, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a € 20.000.000, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:

• i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
• i diritti degli interessati a norma degli articoli da 12 a 22;
• i trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale a norma degli articoli da 44 a 49;
• qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
• l’inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo ai sensi dell’articolo 58, paragrafo 2, o il negato accesso in violazione dell’articolo 58, paragrafo 1.

Alla violazione delle disposizioni del Regolamento Generale (UE) per la protezione dei dati personali n. 679/2016, non si applica, per effetto dell’articolo 166, comma 7, d.lgs. n. 196/2003 (Codice Privacy), il pagamento in misura ridotta ex articolo 16, legge n. 689/1981.

Il Provvedimento del Garante per la protezione dei dati personali n. 304 del 23 maggio 2024 

Il Garante per la protezione dei dati personali, dichiarata, ai sensi degli articoli 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato dal privato cittadino attraverso l’utilizzo del sistema di videosorveglianza installato presso la propria abitazione, sita in San Benedetto del Tronto, per la violazione degli articoli 5, par. 1, lett. a) e 6 del Regolamento, ha ordinato al medesimo di pagare la somma di euro 400,00 a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione, ingiungendo:

• al medesimo di conformare, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, il trattamento dei dati posto in essere alle disposizioni del Regolamento, con riferimento alla dislocazione delle telecamere con angolo di visuale su XX in modalità tale da limitare la ripresa alle aree di propria pertinenza e a quelle immediatamente prospicienti la propria abitazione;
• di pagare la somma di euro 400,00, secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’articolo 27 della legge n. 689/1981. 

Ai sensi dell’articolo 166, comma 8, d.lgs. n. 196/2003, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata entro il termine di cui all’articolo 10, comma 3, d. lgs. n. 150/2011, previsto per la proposizione del ricorso.