Videosorveglianza presso un esercizio commerciale: tutela della privacy e tutela dei lavoratori a confronto

Videosorveglianza e tutela dei dati personali

1. L’attività ispettiva condotta dal “Nucleo speciale tutela privacy e frodi tecnologiche” della Guardia di finanza
Il Garante per la protezione dei dati personali, con provvedimento n. 317 del 18 luglio 2023, ha ordinato as un’impresa il pagamento della somma di euro 1.000, a titolo di sanzione amministrativa pecuniaria per la violazione delle disposizioni di cui all’articolo 5, par. 1, lett. a) e 13 del Regolamento (UE) Generale sulla protezione dei dati personali n. 679/2016, per effetto delle quali il titolare del trattamento è tenuto a effettuare un trattamento in modo trasparente (articolo 5, par. 1, lett. a) del Regolamento) e a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento (articolo 13 del Regolamento), disponendo, altresì, a titolo di sanzione accessoria, la pubblicazione del provvedimento sul sito web.
L’intervento del Garante era stato sollecitato da un reclamo, con cui veniva segnalata al Garante Privacy l’installazione di un impianto di videosorveglianza, presso un negozio sito all’interno di un centro commerciale, non conforme alle norme in materia di protezione dei dati personali, in quanto le telecamere, posizionate sia all’esterno che all’interno del negozio, non sarebbero state segnalate da opportuni cartelli informativi. 
A seguito di attività ispettiva condotta dal “Nucleo speciale tutela privacy e frodi tecnologiche” della Guardia di finanza, si rilevava la presenza di un impianto di videosorveglianza costituito da una telecamera funzionante posizionata all’interno del locale, in assenza dei cartelli informativi della presenza della stessa.
Risultava, inoltre, accertato che, nonostante presso l’esercizio commerciale operassero dei dipendenti, l’installazione del sistema di videosorveglianza era stata effettuata senza la necessaria autorizzazione da parte dell’Ispettorato del lavoro competente.
Successivamente al controllo ispettivo, il titolare dell’impresa inviava la documentazione integrativa, comprensiva di documentazione fotografica, comprovante l’avvenuta rimozione della telecamera posta sopra la cassa.
L’Ufficio del Garante provvedeva, quindi, a notificare l’atto di avvio del procedimento sanzionatorio, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. 5 par. 1, lett. a) e 13, 88 del Regolamento e 114 del Codice.
Con nota successiva, il medesimo titolare dell’impresa inviava scritti difensivi rappresentando che:

• solo una telecamera era attiva e funzionante;
• i dipendenti erano al corrente dell’installazione della telecamera all’interno del locale;
• di aver agito in buona fede, nell’”errata convinzione” che l’obbligo di apposizione di cartelli informativi non fosse necessario;
• di aver provveduto, immediatamente dopo il controllo effettuato in loco dalla Guardia di finanza, a “dismettere l’impianto” come comprovato da documentazione fotografica integrativa.

2. Il quadro giuridico del trattamento effettuato
L’utilizzo di sistemi di videosorveglianza può determinare, in relazione al posizionamento delle telecamere e alla qualità delle immagini riprese, un trattamento di dati personali. Tale trattamento deve essere effettuato nel rispetto dei principi generali contenuti nell’articolo 5 del Regolamento e, in particolare, del principio di trasparenza che presuppone che “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”.
A questo scopo, quindi, il titolare del trattamento deve apporre idonei cartelli informativi secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza - 8 aprile 2010 (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità).
Analogamente le Linee Guida n. 3/2019 del Comitato europeo per la protezione dei dati sul trattamento dei dati personali attraverso dispositivi video, punto 7), specificano che “Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)”. 
Nelle linee guida si prevede inoltre che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”. Le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi), “per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.
I trattamenti di dati personali effettuati nell’ambito del rapporto di lavoro, se necessari per la finalità di gestione del rapporto stesso (v. articoli 6, par. 1, lett. c); 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’articolo 5 del Regolamento, ed in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (articolo 5, par. 1, lett. a) del Regolamento). 
Coerentemente con tale impostazione, l’articolo 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”), volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori. 
Il legislatore nazionale ha approvato, quale disposizione più specifica, l’articolo 114 del d.lgs. 30 giugno 2003, recante il “Codice in materia di protezione dei dati personali” che tra le condizioni di liceità del trattamento, ha stabilito l’osservanza di quanto prescritto dall’articolo 4, legge 20 maggio 1970, n. 300 (cd. “Statuto dei lavoratori”).  
La violazione dell’articolo 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria, ai sensi dell’articolo 83, par. 5, lett. d) del Regolamento.
In base al richiamato articolo 4, l. n. 300/1970, gli apparati di videosorveglianza, qualora dagli stessi derivi anche la possibilità di controllo a distanza dell'attività dei dipendenti, possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.
L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. articolo 171 del Codice). 
Il trattamento dei dati personali effettuato dalla società attraverso il sistema di videosorveglianza risulta, quindi, illecito, nei termini su esposti, in relazione agli articoli 5, par. 1, lett. a), 13 e 114 del Codice.
Né è idonea a far venir meno l’obbligo di conformarsi alla richiamata disciplina, la circostanza, rappresentata dalla società, che i lavoratori fossero al corrente del trattamento dei dati personali attraverso il sistema di videosorveglianza.
Infatti, sul punto, la giurisprudenza di legittimità ha più volte ritenuto che l’articolo 4, l. n. 300 del 1970, “tutela interessi di carattere collettivo e superindividuale”, pertanto anche il consenso, eventualmente prestato dai singoli lavoratori all’installazione di impianti, non è equivalente alla necessaria attivazione della procedura con le rappresentanze dei dipendenti o, in mancanza, sotto il controllo dell’autorità pubblica (v., tra le altre, Cass., sez. III pen., 8 maggio 2017, n. 22148 e 17.12.2019, n. 50919 cit.). 
In proposito, inoltre, si rappresenta che il Garante ha più volte ribadito che in ambito lavorativo il consenso non costituisce base giuridica idonea per il trattamento dei dati personali dei dipendenti (v., tra gli altri, provvedimento 13.12.2018, n. 500, punto 3.1.; con specifico riferimento alla videosorveglianza v. provvedimenti 4 luglio 2013, n. 336 e 18 luglio 2013, n. 361).

3. L’esito dell’istruttoria e del procedimento sanzionatorio avviato dal Garante
Sulla base dell’accertamento effettuato, è emerso che l’impianto di videosorveglianza, installato presso i locali dell’attività commerciale era attivo e funzionante e che non risultava essere stato apposto alcun cartello recante l’informativa di cui all’articolo 13 del Regolamento.
Inoltre, lo stesso era stato installato in assenza delle garanzie previste dall’articolo 4 della Legge n. 300/1970, richiamato dall’articolo 114 del Codice, in relazione all’attività lavorativa svolta, nel locale videosorvegliato, dal personale della società.
Nel caso di specie, risulta pertanto comprovato che è stato effettuato un trattamento di dati personali, per mezzo di un impianto di videosorveglianza, in assenza della prescritta informativa.
Tale condotta si pone in contrasto con quanto stabilito dall’articolo 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento. 
Poiché l’installazione del sistema di videosorveglianza non era stata precedentemente autorizzata dall’Ispettorato del Lavoro, il trattamento è stato effettuato anche in violazione dell’articolo 114 del Codice in materia di protezione dei dati personali.

4.  Adozione dell'ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie
Il Garante, ai sensi dell’articolo 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’articolo 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (articolo 18, legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla società per mezzo dell’impianto di videosorveglianza, di cui è risultata accertata l’illiceità, nei termini su esposti, in relazione agli articoli 5, par. 1, lett. a), 13 del Regolamento e all’art. 114 del Codice.
Con riferimento agli elementi elencati dall’articolo 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (articolo 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

• Con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento, la circostanza che è stata installata una sola telecamera rimossa durante l’iter istruttorio, nonché la responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati e di attuare la procedura di garanzia prevista dall’art. 114 del Codice;
• L’assenza di precedenti specifici a carico della società relativi a violazioni della disciplina in materia di protezione dei dati personali;
• La circostanza che la società, titolare del trattamento, abbia inviato scritti difensivi al Garante comprovando quanto dichiarato con idonea documentazione.

Si ritiene, inoltre, che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (articolo 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate con riferimento al bilancio di esercizio per l’anno 2022.
In ragione dei suddetti elementi, valutati nel loro complesso, il Garante ha determinato l’ammontare della sanzione pecuniaria nella misura di euro 1.000,00 (mille) per la violazione degli articoli 5, 13 del Regolamento e 114 del Codice.
In considerazione della tipologia di violazione accertata, che ha riguardato i principi di protezione dei dati personali, si rileva, ai sensi dell’articolo 166, comma 7, del Codice e dell’articolo 16, comma 1, del regolamento del Garante n. 1/2019, il Garante ha disposto la pubblicazione del provvedimento sanzionatorio sul proprio sito internet.
 

Videosorveglianza nei luoghi di lavoro

1. Le indicazioni dell’Ispettorato Nazionale del Lavoro - Direzione centrale per la Tutela, la vigilanza e sicurezza del lavoro
La legge 20 maggio 1970, n. 300, recante lo “Statuto dei lavoratori”, articolo 4, stabilisce:
«1. Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell'Ispettorato nazionale del lavoro. I provvedimenti di cui al terzo periodo sono definitivi. 2. La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze. 3. Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196».
In riferimento ai provvedimenti autorizzativi, adottati ai sensi dell’articolo 4 della legge n. 300/1970, l’Ispettorato Nazionale del Lavoro - Direzione centrale per la Tutela, la vigilanza e sicurezza del lavoro – con propria Circolare n. 2572 del 14 aprile 2023, ha fornito indicazioni e chiarimenti, tenendo anche conto, attesa l’interconnessione in materia, degli orientamenti del Garante per il trattamento dei dati personali. 
La disciplina in materia di trattamento dei dati personali e i relativi principi generali (liceità, finalità, pertinenza e non eccedenza, proporzionalità, necessità, indispensabilità) assolvono, infatti, a una funzione contenitiva di eventuali abusi datoriali e potenziali lesioni di “beni personali” e contribuiscono ad adeguare le previsioni dell’articolo 4 in commento allo sviluppo della tecnologia e al rispetto della riservatezza dei prestatori di lavoro ponendosi quale corollari dei valori di dignità e libertà presidiati dallo stesso.
Inoltre, occorre considerare che il rispetto delle garanzie di cui all’articolo 4 costituisce condizione di liceità del trattamento (articoli 5, 6, 88 del Regolamento generale sulla protezione dei dati UE 2016/676 e articolo 114 del d.lgs. 30 giugno 2003, n. 196), ragion per cui i relativi trattamenti di dati possono essere effettuati solo in costanza dei requisiti e delle garanzie previste dall’ articolo 4.

2. Provvedimento autorizzativo: insufficienza del consenso dei lavoratori
Fermo restando il divieto assoluto di controllo intenzionale a distanza, l’installazione di un impianto audiovisivo o di altri strumenti da cui possa derivare un controllo a distanza dei lavoratori deve necessariamente e prioritariamente essere preceduta dall’accordo collettivo con le RSA e/o RSU presenti.
Secondo l’Ispettorato Nazionale del lavoro, l'accordo con le rappresentanze aziendali costituisce, infatti, il percorso prioritario previsto dal legislatore e la procedura autorizzatoria pubblica risulta solo eventuale e successiva al mancato accordo con i sindacati ed è condizionata, ai fini istruttori, alla dimostrazione dell’assenza della RSA/RSU, ovvero del mancato accordo con esse, per cui:
«Le istanze dovranno contenere, quindi, la dichiarazione di assenza delle RSA/RSU o la documentazione comprovante il mancato accordo.
Tenuto conto che il bene giuridico tutelato dalla disposizione de qua ha natura collettiva e non individuale, la carenza di codeterminazione (accordo) tra il datore di lavoro e le rappresentanze sindacali aziendali o del successivo provvedimento autorizzativo (se l’accordo non è raggiunto o in assenza della RSA/RSU) non possono essere supplite dall’eventuale consenso, seppur informato, dei singoli lavoratori, restando in quest’ultimo caso l’istallazione illegittima e penalmente sanzionata, in quanto la tutela penale è apprestata per la salvaguardia di interessi collettivi di cui le rappresentanze sindacali sono portatrici, in luogo dei lavoratori (Corte di Cassazione, Sez. III, 08/05/2017 n. 22148; Corte di Cassazione, Sez. III, 17/12/2019 n. 50919; Corte di Cassazione, Sez. III, 17/01/2020, n. 1733)».

3. Disposizioni normative che favoriscano o impongano l’utilizzo di sistemi di videosorveglianza
L’articolo 4 dello Statuto e la procedura di garanzia ivi prevista, peraltro penalmente sanzionata, trova necessaria applicazione in presenza di lavoratori, anche nel caso di specifiche disposizioni normative, che favoriscano o impongano l’utilizzo di sistemi di videosorveglianza.
La legge n. 55 del 14 giugno 2019, di conversione con modificazioni del DL 18 aprile 2019, n. 32, c.d. “Sblocca cantieri”, recante disposizioni urgenti per il rilancio del settore dei contratti pubblici, ha introdotto l’articolo 5-septies (Sistemi di videosorveglianza a tutela dei minori e degli anziani), con cui sono stati istituiti dei fondi, rispettivamente nello stato di previsione del Ministero dell'interno e del Ministero della salute, finalizzati all'erogazione delle risorse finanziarie occorrenti per l'installazione di sistemi di videosorveglianza a circuito chiuso presso le relative strutture scolastiche ovvero socio sanitarie e socio assistenziali per anziani e persone con disabilità, a carattere residenziale, semiresidenziale o diurno, nonché per l'acquisto delle apparecchiature finalizzate alla conservazione delle immagini per un periodo temporale adeguato.
Secondo l’Ispettorato, infatti, il citato articolo 5-septies, relativo all’erogazione dei finanziamenti in esso previsti, «non può rappresentare il solo motivo legittimante l’installazione stessa, né può essere considerato ex se idonea base giuridica per i trattamenti di dati personali che ne derivano». 
Le garanzie sancite dall’articolo 4 della legge n. 300/1970 (procedura concertativa o autorizzatoria) restano applicabili anche a tali fattispecie e, ai fini del rilascio del provvedimento autorizzativo, gli Uffici verificheranno, pertanto, la sussistenza dei presupposti di cui all’articolo 4, comma 1, della legge n. 300/1970, come peraltro già indicato nella Circolare INL n. 5/2018.

4. La disciplina sanzionatoria penale
L’articolo 38 della legge n. 300/1970, dedicato precipuamente alle disposizioni penali, stabilisce: «Le violazioni degli articoli 2, 5, 6, e 15, primo comma, lettera a), sono punite, salvo che il fatto non costituisca più grave reato, con l'ammenda da lire 100.000 a lire un milione o con l'arresto da 15 giorni ad un anno. Nei casi più gravi le pene dell'arresto e dell'ammenda sono applicate congiuntamente. Quando, per le condizioni economiche del reo, l'ammenda stabilita nel primo comma può presumersi inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo. Nei casi previsti dal secondo comma, l'autorità giudiziaria ordina la pubblicazione della sentenza penale di condanna nei modi stabiliti dall'articolo 36 del codice penale».
L’articolo 171 del d.lgs. n. 196/2003 (modificato dall’articolo 15, comma 1, lett. f) del d.lgs. n. 101/2018), stabilisce: «La violazione delle disposizioni di cui agli articoli 4, comma 1, e 8 della legge 20 maggio 1970, n. 300, è punita con le sanzioni di cui all'articolo 38 della medesima legge».
Per effetto della disposizione introdotta nel d.lgs. n. 196/2003, recante il “Codice in materia di protezione dei dati personali”, dal d.lgs. n. 101/2018, l’installazione di un impianto di videosorveglianza in assenza di un accordo collettivo con le organizzazioni sindacali, ovvero di un’autorizzazione dell’ispettorato del lavoro, è punita ai sensi degli articoli 4, comma 1, e 38, comma 1, della legge n. 300/1970.

5. Le novità introdotte dalla “Riforma Cartabra”
Il nuovo articolo 131-bis, cod. pen., come modificato dall’articolo 1, comma 1, lett. c), n. 1, d.lgs. n. 150/2022 (cd. decreto “Cartabia”), prevede non solo l’applicabilità generalizzata dell’istituto a tutti i reati puniti con pena minima pari o inferiore a due anni, ma, con specifico riferimento ai parametri di valutazione, introduce la “condotta susseguente al reato”.
A seguito della modifica legislativa, la condotta susseguente al reato, in uno con i criteri di cui all’articolo 133, comma 1, cod.pen., rientra nell’ambito di valutazione del giudice per stabilire se, per le modalità della condotta e l’esiguità del danno o del pericolo, l’offesa risulta di particolare tenuità.

6. Videosorveglianza nei luoghi di lavoro e particolare tenutà del fatto: l’orientamento della Corte di Cassazione
Il Pubblico Ministero ricorreva per cassazione avverso la sentenza del 15 settembre 2022, con la quale il Tribunale di Asti aveva assolto l’imputato, quale amministratore unico della società, del reato di cui agli articoli 4, comma 1, e 38, comma 1, della legge n. 300/1970, per avere installato all’interno dell’officina, un impianto di videosorveglianza in assenza di un accordo collettivo con le organizzazioni sindacali, ovvero di un’autorizzazione dell’ispettorato del lavoro, ritenendo sussistente la causa di non punibilità per particolare tenuità del fatto, ai sensi dell’articolo 131-bis, cod.pen.    «A rendere infondato il ricorso del Pubblico Ministero, che contesta che il giudice avrebbe valutato la condotta susseguente al reatolà dove l’articolo 131-bis, cod.pen., richiama il solo articolo 133, comma 1, cod.pen., è il mancato connfronto con i principi affermati dalla pronuncia a sezioni unite della Corte di Cassazione, 27 gennaio 2022, n. 18891, che, prima ancora che venisse adottato il d.lgs. n. 150/2022, chiariva che la valorizzazione da parte del legislatore di tale specifico criterio di delega – ora espressamente previsto dal d.lgs. n. 150/2022 – comporta, infatti, la necesità di superare l’indirizzo al riguardo seguito dalla giurisprudenza di legittimità, includendo, nel catalogo  degli indicatori richiamati, anche il profilo di valutazione inerente alla condotta sussseguente al reato
Non di meno, come osseevato dai giudici nella loro massima espressione, entro tale prospettiva, dunque, le condotte successive al reato ben possono integrare nel caso concreto un elemento suscettibile di essere preso in considerazione nell’ambito del giudizio di particolare tenutà dell’offesa, rilevando ai fini dell’apprezzamento della entità del danno, ovvero come possibile spia dell’intensità dell’elemento soggettivo».
Nel caso di specie, la Corte di Cassazione, Sez. III, 27 luglio 2023, n. 32733, in adesione alla pronuncia del giudice di merito, ha ritenuto sussistente la particolare tenuità per avere l’imputato eliminato le conseguenze del reato, avendo ottenuto l’autorizzazione all’impiego dei messi di controllo dei lavoratori e corrisposto la dovuta sanzione amministrativa. 

Articolo di Gaetano Alborino