PRIVACY – Le telecamere di videosorveglianza su spazi condominiali – Garante Protezione Dati Personali 26.10.23 n. 502

Provvedimento del 26 ottobre 2023

Registro dei provvedimenti
n. 502 del 26 ottobre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, l’avv. Guido Scorza, componente, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il reclamo presentato dal sig. XX ai sensi dell’art. 77 del Regolamento, con il quale è stata lamentata l’installazione di un impianto di videosorveglianza presso il Condominio XX in XX, in assenza di idonei presupposti di legittimità;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Il reclamo, l’istruttoria preliminare e l’avvio del procedimento.

Con il reclamo presentato a questa Autorità in data 29/01/2021, regolarizzato il 28/05/2021, il sig. XX ha lamentato un illecito trattamento di dati personali da parte del sig. XX, amministratore pro tempore del Condominio di Via della XX, sito in XX, che aveva provveduto a installare un sistema di videosorveglianza in assenza della delibera assembleare.

L’Ufficio, pertanto, formulava una richiesta di informazioni nei confronti dell’amministratore del Condominio, ai sensi dell’art. 157 del Codice, al fine di acquisire utili elementi di valutazione. Tale richiesta, datata 30/08/2021 e inviata all’indirizzo e-mail dell’Amministratore, restava inevasa.
Pertanto, veniva delegato il Nucleo tutela privacy e frodi tecnologiche della Guardia di finanza al fine di notificare all’amministratore l’atto di avvio del procedimento sanzionatorio, per la violazione dell’art. 157 del Codice (atto prot. n. 53712 del 26/10/2021) nonché ad acquisire le informazioni già oggetto della precedente nota.

All’esito dell’accertamento ispettivo, eseguito il 17/11/2021, risultava che, presso il Condominio, era presente un sistema di videosorveglianza composto da due telecamere, posizionate all’esterno dell’edificio, attive e funzionanti, il cui angolo visuale era esteso all’area destinata al parcheggio e al cancello di accesso, con parziale visione della strada pubblica. Inoltre, risultava che tale impianto era stato installato nel mese di novembre 2020 in assenza della delibera dell’assemblea condominiale.

I condomini erano stati avvisati dell’installazione delle telecamere con una e-mail datata 06/11/2020. Le immagini erano visualizzabili sul telefonino dell’amministratore tramite l’immissione di codice e password. Veniva, inoltre, accertata la presenza di cartelli recanti l’informativa di cui all’art. 13 del Regolamento, ancorché privi dell’indicazione del titolare del trattamento.

Con successiva nota del 02/12/2021, a integrazione di quanto rappresentato nel corso dell’accertamento ispettivo, l’amministratore, tramite il proprio legale, dichiarava, in primo luogo, di non aver dato riscontro alla richiesta di informazioni formulata dal Garante ai sensi dell’art. 157 del Codice, in quanto non risultava consegnata alla sua casella di posta elettronica.

Nel merito della vicenda, l’amministratore evidenziava come tutti i condomini fossero concordi nella necessità di provvedere all’installazione di un impianto di videosorveglianza, per far fronte ai continui danneggiamenti che si verificavano nell’area antistante il Condominio, e che l’impianto in questione era stato installato con urgenza, riservandosi di adottare la delibera condominiale alla prima occasione utile.

L’Ufficio, sulla base degli accertamenti eseguiti di cui al predetto verbale  nonché delle successive integrazioni pervenute, notificava al sig. XX, individuato quale titolare del trattamento dei dati personali, con nota del 04/03/2022 (prot. n. 13810) l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 58, par. 2, e 83 del Regolamento, in conformità a quanto previsto dall’art. 166, comma 5, del Codice, in relazione alla violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento.

La parte, con nota del 15/03/2022, si limitava a richiamare le osservazioni già presentate nel corso del procedimento.

2. Il quadro giuridico del trattamento effettuato.

Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento, si rileva come tale trattamento debba essere effettuato nel rispetto dei principi generali contenuti nell’art. 5 del Regolamento e, in particolare del principio di liceità e trasparenza (art. 5, par. 1, lett. a) e del principio di limitazione delle finalità (art. 5, par. 2, lett. b).

Sotto questo aspetto, occorre richiamare le Linee guida n. 3/2019 sul trattamento dei dati personali mediante dispositivi video, adottate dal Comitato europeo per la protezione dei dati il 29/01/2020, in base alle quali, prima di procedere a un trattamento di dati personali mediante impianti di videosorveglianza, è necessario che vengano specificate in maniera dettagliata le finalità del trattamento, le quali devono essere documentate per iscritto e specificate per ogni telecamera in uso.

Inoltre, gli interessati devono essere sempre informati che stanno per accedere a un’area videosorvegliata nonché delle finalità del trattamento stesso, ai sensi dell’art. 13 del Regolamento (par. 3, n. 15 Linee guida cit.).

A tale scopo, quindi, occorre che il titolare del trattamento predisponga idonei cartelli informativi secondo le indicazioni contenute al punto 3.1. del provvedimento in materia di videosorveglianza – 8 aprile 2010 [1712680] (in tal senso anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità) affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza”.

Analogamente le citate Linee guida chiariscono che “le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)” (par. 7, n. 111). Nelle Linee guida si prevede inoltre che “Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”. Le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi) “per consentire all’interessato di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario” (par. 7.1.1, n. 113).

Con riferimento ai presupposti di liceità del trattamento, le Linee guida in materia di videosorveglianza prevedono che “In linea di principio, ogni fondamento di diritto ai sensi dell’articolo 6, paragrafo 1, può fornire una base giuridica per il trattamento dei dati di videosorveglianza (…). Tuttavia, nella pratica, le disposizioni più suscettibili di essere utilizzate sono: articolo 6, paragrafo 1, lettera f) (legittimo interesse); articolo 6, paragrafo 1, lettera e) (necessità al fine di eseguire un compito di interesse pubblico)”(par. 3). In particolare, “la videosorveglianza è lecita se è necessaria per conseguire la finalità di un legittimo interesse perseguito da un titolare del trattamento o da un terzo, a meno che su tali interessi prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato (articolo 6, paragrafo 1, lettera f)”.

In ultimo, si fa presente che l’installazione di impianti di videosorveglianza in ambito condominiale è stato regolamentato dall’art. 1122-ter c.c. (introdotto dalla legge di riforma del condominio con la legge 11 dicembre 2012 n. 220) il quale prevede che “Le deliberazioni concernenti l’installazione sulle parti comuni dell’edificio volti a consentire la videosorveglianza su di esse sono approvate dall’assemblea con la maggioranza di cui al secondo comma dell’art. 1136” (ovvero un numero di voti che rappresenti la maggioranza degli intervenuti e almeno la metà del valore dell’edificio).

La delibera condominiale rappresenta lo strumento che consente all’amministratore di dare esecuzione alle decisioni assunte dai condomini durante l’assemblea (art. 1130, 1 co, punto 1, c.c.), in virtù del mandato ricevuto.

L’amministratore, in qualità di mandatario, soggiace infatti alle regole generali dettate dal Codice civile per questa fattispecie contrattuale, a cui espressamente fa rinvio l’art. 1129, co. 15, c.c. (norma recante “Nomina, revoca e obblighi dell’amministratore”).  

Sotto altro profilo, si osserva che la delibera condominiale rappresenta, in questo ambito il presupposto necessario per la liceità del trattamento realizzato, mediante la videosorveglianza, in ambito condominiale. Infatti, mediante tale atto, i condomini concorrono a definire le caratteristiche principali del trattamento, andando a individuare le modalità e le finalità del trattamento stesso, i tempi di conservazione delle immagini riprese, l’individuazione dei soggetti autorizzati a visionare le immagini.

Il Condominio nel suo complesso, pertanto, assume in tal modo la qualifica di titolare del trattamento, come risulta dalla definizione resa dall’art. 4, n. 7, del Regolamento.

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

Premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”, in base agli elementi acquisiti nel corso dell’attività istruttoria (richiamati nel precedente paragrafo 1) nonché delle successive valutazioni di questo Dipartimento, risulta accertato che quanto segue.

Rispetto alla violazione relativa alla mancata risposta alla richiesta di informazioni formulata in sede istruttoria dall’Autorità, ai sensi dell’art. 157 del Codice, preso atto dei riscontri resi dalla parte nel corso del procedimento e, in particolare, della circostanza che la nota dell’Ufficio, datata 30/08/2021 e inviata all’indirizzo e-mail personale dell’amministratore, non risulta essere stata ricevuta dal destinatario, in assenza di prova contraria, essendo la comunicazione stata inviata a un indirizzo di posta elettronica ordinario (non certificato), si dispone l’archiviazione del procedimento avviato con l’atto del 26/10/2021 prot. n. 53712, ai sensi dell’art. 11, comma 1, lett. b) e dell’art. 14 del regolamento del Garante n. 1/2019 del 4 aprile 2019.

Con riferimento invece al trattamento effettuato a mezzo del sistema di videosorveglianza, si osserva che, dall’esame complessivo della documentazione acquisita nel corso del procedimento, è emerso che l’installazione delle telecamere presso il Condominio è stata disposta direttamente dall’amministratore (sig. XX), in assenza della delibera condominiale prevista dall’art. 1122-ter c.c, essendosi lo stesso limitato, in occasione dell’assemblea del 12/12/2019, “a invitare i condomini a produrre preventivi per la messa in opera di telecamere idonee alla tutela dello spazio esterno condominiale” (all. 2 al verbale di operazioni compiute).

L’assenza di una delibera condominiale, in relazione alla specifica questione, ha fatto sì che l’amministratore abbia operato al di fuori dei compiti a lui attribuiti dalla normativa (l’art. 1130 c.c., infatti, nell’elencare i compiti propri dell’amministratore, individua, al primo punto, proprio l’esecuzione delle delibere assembleari, riconoscendogli una certa autonomia, solo per ciò che concerne la gestione ordinaria, la disciplina dell’uso delle cose comuni e la prestazione dei servizi nell’interesse comune). 

A ciò si aggiunga come dagli atti risulti che l’amministratore del condominio si sia occupato di fare installare le telecamere, definendone anche l’angolo visuale, e si sia dotato di un’applicazione per visionare le immagini attiva sul proprio smartphone, previo inserimento di credenziali di autenticazione a lui solo conosciute.

Tali circostanze, esaminate nel loro complesso, assumono particolare rilievo ai fini della corretta individuazione del titolare del trattamento e della connessa imputabilità delle responsabilità derivanti dall’inosservanza della disciplina in materia di protezione dei dati personali, contribuendo a qualificare, in questo caso, l’amministratore (e non il Condominio) come titolare del trattamento.

Ciò posto, ne deriva che il trattamento dei dati personali in questione sia stato effettuato dall’amministratore in assenza di un idoneo presupposto di liceità, ai sensi dell’art. 6 del Regolamento.
Se, infatti, il perseguimento di un legittimo interesse del titolare a tutelare la proprietà da furti o atti vandalici, poteva essere perseguita dal Condominio mediante l’installazione dell’impianto di videosorveglianza a fronte della necessità della misura, rapportata a una situazione di rischio reale e sulla base di adeguato bilanciamento con i diritti e le libertà fondamentali degli interessati, si osserva invece come il trattamento realizzato dall’amministratore, al contrario, non sia sorretto da nessuna di tali circostanze.

Infatti, non risulta in capo all’amministratore un legittimo interesse, effettivo e attuale, nonché collegato a una situazione di reale difficoltà, che gli consenta di effettuare lecitamente il trattamento per mezzo delle videocamere. 

Ciò posto, si rileva che il trattamento in questione è illecito perché effettuato in violazione dei principi generali di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a) del Regolamento) nei confronti di tutti gli interessati (condomini e non) nonché in assenza di un idoneo presupposto di legittimità ai sensi dell’art. 6 del Regolamento.

Per quanto concerne le ulteriori violazioni, si rileva che le dichiarazioni rese dalla parte nel corso del procedimento non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento sanzionatorio datato 04/03/2022 (prot. n. 13810) e risultano insufficienti a consentirne l’archiviazione, per le motivazioni di seguito esposte.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Il trattamento dei dati personali effettuato dall’amministratore attraverso il sistema di videosorveglianza, rispetto al quale è stato avviato un procedimento con comunicazione n. 13810 del 4/3/2022, risulta quindi illecito, nei termini su esposti, in relazione agli artt. 5, par. 1, lett. a) e 6 del Regolamento.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, tenuto conto della natura, della gravità e della durata della violazione stessa, del grado di responsabilità e della maniera in cui l’autorità di controllo ha preso conoscenza della violazione (cons. 148 del Regolamento).

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento, alla luce del caso concreto e in assenza di comunicazioni successive all’avvio del procedimento da cui si desuma l’adozione della delibera condominiale richiesta dall’art. 1122-ter concernente l’installazione sulle parti comuni dell’edificio di impianti volti a consentire la videosorveglianza su di esse, si dispone il divieto del trattamento (art. 58, par. 2, lett. f), Regolamento).

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. legge 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali effettuato dalla parte per mezzo dell’impianto di videosorveglianza, in violazione dei principi generali di cui all’art. 5, par. 1, lett. a) e in assenza di idonei presupposti di liceità ai sensi dell’art. 6 del Regolamento. 

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state tenute in considerazione le circostanze sotto riportate:

con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta dell’amministratore di condominio che, in assenza della richiesta delibera assembleare, ha avviato il trattamento dei dati per mezzo di un sistema di videosorveglianza. Rileva, quale aggravante della condotta, la circostanza che tale adempimento è espressamente previso dal codice civile all’art. 1122-ter, nella parte dedicata alle regole per la gestione dei condomini;

rileva inoltre il fatto che, benché nella notifica di violazione fosse stato espressamente richiesto di comunicare le misure adottate per rendere conforme il trattamento al Regolamento, con particolare riferimento all’adozione di una apposita delibera condominiale, quale condizione di liceità del trattamento in esame, la parte non abbia inviato alcun documento al riguardo, né comunicato le ragioni che possano avere determinato tale inadempimento;

l’assenza di precedenti specifici relativi a violazioni della disciplina in materia di protezione dei dati personali.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.000,00 (mille) per la violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento.

In tale quadro, anche in considerazione della tipologia di violazione accertata, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente provvedimento sul sito internet del Garante.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del trattamento effettuato dal sig. XX, residente in XX, XX, C.F. XX, attraverso l’utilizzo del sistema di videosorveglianza installato presso il Condominio XX in XX, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento;

DISPONE

ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, il divieto del trattamento mediante il sistema di videosorveglianza effettuato dal sig. XX nei termini indicati in motivazione, ferma restando la possibilità che lo stesso trattamento possa essere effettuato dal codominio, previa adozione della delibera condominiale richiesta dall’art. 1122-ter del c.c.;

ORDINA

al sig. XX di pagare la somma di euro 1.000,00 (mille) a titolo di sanzione amministrativa pecuniaria per la violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, come indicato in motivazione;

INGIUNGE

di pagare la somma di euro 1.000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981. Si rappresenta che ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante e ritiene che ricorrano i presupposti di cui all’art. 17 del regolamento n. 1/2019.

Si dispone, inoltre, che siano comunicate le iniziative intraprese al fine di dare attuazione a quanto disposto con il presente provvedimento e di fornire comunque riscontro adeguatamente documentato ai sensi dell’art. 157 del Codice, entro il termine di 30 giorni dalla data di notifica del presente provvedimento; l’eventuale mancato riscontro può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. e) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 ottobre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei

* * *

1. l’Art. 1 del Codice originariamente era rubricato Diritto alla protezione dei dati personali e recitava Chiunque ha diritto alla protezione dei dati personali che lo riguardano; ora è rubricato Oggetto, e recita che Il trattamento dei dati personali avviene secondo le norme del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, di seguito «Regolamento», e del presente codice, nel rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona. ↩︎