Dall’entrata in vigore del GDPR i tempi di conservazione delle immagini catturate dalle telecamere di videosorveglianza devono essere decisi dal titolare del trattamento che può prendere spunto anche dal provvedimento generale sulla videosorveglianza del 2010.
Questo documento resta infatti sullo sfondo anche se la sua applicazione concreta è sempre più marginale per un refuso normativo correlato all'articolo 154 del codice privacy. Lo ha evidenziato la Corte di cassazione, sez. II, con l'ordinanza numero 19550 del 16 luglio 2024. Un esercente è stato sanzionato prima dell'entrata in vigore del Regolamento europeo per aver, tra l'altro, conservato le immagini registrate del sistema di videosorveglianza per un periodo superiore a sette giorni, in contrasto con quanto indicato nel provvedimento generale sulla videosorveglianza dell'8 aprile 2010. Contro questa misura punitiva l'interessato ha proposto con successo opposizione al tribunale che ha annullato la sanzione, stante l'individuazione nel provvedimento generale, che sta alla base della sanzione, di un riferimento normativo errato all'articolo 154 del codice privacy. Contro questa sentenza il Garante per la protezione dei dati personali ha proposto censure ai giudici del Palazzaccio, ma senza successo. Il Tribunale ha infatti ritenuto, specificano gli ermellini, «che la disposizione di cui all'articolo 154, primo comma, lettera c del codice per la protezione dei dati personali sia rivolta nei confronti di un soggetto specifico, valorizzando la sua collocazione, all'interno del predetto codice, nella sezione destinata ai reclami, la sua rubrica, la struttura della norma, che presuppone, quale condizione per l'adozione del provvedimento sanzionatorio, l'esaurimento dell'istruttoria, nonché il suo tenore letterale, che fa riferimento all'emanazione di prescrizioni dirette al titolare del trattamento dei dati personali ed alla loro inosservanza. Tali considerazioni non sono adeguatamente attinte dalla censura in esame, con la quale il Garante propone una diversa opzione interpretativa, ritenendo la disposizione rivolta nei confronti di tutti i consociati, senza tuttavia confrontarsi in modo specifico con i vari argomenti valorizzati dal giudice di merito. La statuizione del Tribunale, peraltro, appare condivisibile, poiché la disposizione di cui all'articolo 154, per la sua struttura, formulazione letterale, rubrica e collocazione sistematica nell'ambito del cd. codice della privacy allude alla mancata osservanza di specifiche prescrizioni che, nell'ambito di una determinata istruttoria, vengano impartite ad un destinatario determinato, in relazione ad una specifica ipotesi di trattamento dei dati personali. Non è quindi possibile comminare la sanzione prevista per la violazione della predetta disposizione senza la preventiva apertura di un'istruttoria, eventualmente conseguente ad un reclamo, nell'ambito della quale siano impartite disposizioni che il destinatario ometta di osservare». In buona sostanza il Collegio ha errato nell'individuazione formale della sanzione adeguandosi al provvedimento generale sulla videosorveglianza dell'8 aprile 2010 adottato ai sensi dell'articolo 154, comma 1, lett. c del codice privacy. Con l'entrata in vigore del regolamento europeo l'applicabilità dei provvedimenti generali precedenti al GDPR risulta già per sé molto ridimensionata. Con questa importante determinazione la Cassazione agevola ulteriormente questo percorso di potenziamento dell'accountability.
Presidente Bertuzzi – Relatore Oliva Fatti di causa Con ricorso ritualmente depositato la Pensione La Pergola Sas di Ca.Ar. proponeva opposizione avverso l'ordinanza-ingiunzione numero 464/2017, con la quale le era stata contestata la violazione degli articolo 13 e 154 del codice per la protezione dei dati personali ed irrogata la sanzione complessiva di Euro 14.400, di cui Euro 2.400 a fronte della mancata informativa della propria clientela in relazione al trattamento dei dati personali pervenuti nella disponibilità della società tramite il sito internet della stessa, ed Euro 12.000 a fronte della conservazione delle immagini videoregistrate presso la struttura ricettiva per un periodo superiore a sette giorni. Con sentenza numero 158/2020 il Tribunale di Napoli accoglieva in parte l'opposizione, annullando l'ordinanza-ingiunzione limitatamente alla contestazione della violazione dell'articolo 154, riducendo di conseguenza la sanzione al solo importo di Euro 2.400. Propone ricorso per la cassazione di tale pronuncia il Garante per la protezione dei Dati Personali, affidandosi ad un unico motivo. Resiste con controricorso la Pensione La Pergola Sas di Ca.Ar., spiegando a sua volta ricorso incidentale affidato a due motivi. In prossimità dell'adunanza camerale, la parte ricorrente incidentale ha depositato memoria. Ragioni della decisione Con l'unico motivo del ricorso principale, il Garante per la Protezione dei Dati Personali lamenta la violazione o falsa applicazione degli articolo 154, 143 e 162 del D.Lgs. numero 196 del 2003 e del provvedimento dell'8.4.2010 del Garante per la Privacy, in relazione all'articolo 360, primo comma, numero 3, c.p.c., perché il Tribunale avrebbe erroneamente accolto l'opposizione ritenendo che l'obbligo di non conservare le immagini acquisite dalle apparecchiature di videosorveglianza per più di 24 ore presupponesse l'individuazione di un soggetto determinato, e non fosse quindi riferito alla pluralità dei destinatari. La censura è infondata. Il Tribunale ha ritenuto che la disposizione di cui all'articolo 154, primo comma, lettera c del cd. codice per la protezione dei dati personali sia rivolta nei confronti di un soggetto specifico, valorizzando la sua collocazione, all'interno del predetto codice, nella sezione destinata ai reclami, la sua rubrica Procedimento per i reclami , la struttura della norma, che presuppone, quale condizione per l'adozione del provvedimento sanzionatorio, l'esaurimento dell'istruttoria, nonché il suo tenore letterale, che fa riferimento all'emanazione di prescrizioni dirette al titolare del trattamento dei dati personali ed alla loro inosservanza cfr. pagg. 8 e 9 della sentenza impugnata . Tali considerazioni non sono adeguatamente attinte dalla censura in esame, con la quale il Garante propone una diversa opzione interpretativa, ritenendo la disposizione rivolta nei confronti di tutti i consociati, senza tuttavia confrontarsi in modo specifico con i vari argomenti valorizzati dal giudice di merito. La statuizione del Tribunale, peraltro, appare condivisibile, poiché la disposizione di cui all'articolo 154, per la sua struttura, formulazione letterale, rubrica e collocazione sistematica nell'ambito del cd. codice della privacy allude alla mancata osservanza di specifiche prescrizioni che, nell'ambito di una determinata istruttoria, vengano impartite ad un destinatario determinato, in relazione ad una specifica ipotesi di trattamento dei dati personali. Non è quindi possibile comminare la sanzione prevista per la violazione della predetta disposizione senza la preventiva apertura di un'istruttoria, eventualmente conseguente ad un reclamo, nell'ambito della quale siano impartite disposizioni che il destinatario ometta di osservare. Passando all'esame del ricorso incidentale, con il primo motivo la società Pensione La Pergola Sas denunzia la violazione o falsa applicazione degli articolo 113,115,116 c.p.c., 2697 c.c., mancanza ed apparenza della motivazione ed omessa valutazione di una prova decisiva, in relazione all'articolo 360, primo comma, nnumero 3, 4 e 5, c.p.c., perché il Tribunale avrebbe erroneamente confermato la sanzione prevista per la mancata informativa alla clientela del trattamento dei dati personali acquisiti dalla società mediante il sito internet, senza considerare che lo stesso era ancora in fase di allestimento, al momento della verifica che comunque l'informativa era stata fornita mediante affissione del prescritto avviso dei locali della struttura ricettiva che il titolare si era immediatamente attivato presso il proprio fornitore di servizi per segnalare il disservizio, prontamente risolto. Tutto ciò avrebbe dovuto condurre il giudice di merito a ritenere assente il requisito soggettivo prescritto per la contestazione della sanzione amministrativa in commento. La censura è infondata. Il Tribunale ha ritenuto che il sito internet fosse regolarmente funzionante ed accessibile agli utenti, nei confronti dei quali a nulla rilevava il fatto che l'avviso prescritto in relazione al trattamento dei dati personali fosse affisso nei locali della struttura o inserito in altro materiale pubblicitario, posto che ciò non dimostrava l'effettiva informazione ai clienti che avevano esercitato l'accesso mediante internet né escludeva l'assenza del prescritto avviso sul canale internet, oggetto della contestazione impugnata. Quanto poi alla condotta del titolare della struttura ricettiva, il giudice di merito ha evidenziato che la responsabilità può escludersi soltanto in presenza della dimostrazione di aver fatto tutto il possibile, cosicché nessun addebito possa esser mosso al destinatario della sanzione, neppure sotto il profilo della negligenza omissiva. Nella fattispecie, tuttavia, la negligenza omissiva è rappresentata dall'aver affidato la gestione del proprio sito internet ad un fornitore di servizi esterno, facendo affidamento sulle sue capacità e senza verificare adeguatamente il risultato della sua attività. Va di conseguenza ribadito, sul punto, il principio secondo cui In tema di violazioni amministrative, poiché, ai sensi dell'articolo 3 della L. 24 novembre 1981, numero 689, per integrare l'elemento soggettivo dell'illecito è sufficiente la semplice colpa, per cui l'errore sulla liceità della relativa condotta, correntemente indicato come buona fede, può rilevare in termini di esclusione della responsabilità amministrativa, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando esso risulti inevitabile, occorrendo a tal fine un elemento positivo, estraneo all'autore dell'infrazione, idoneo ad ingenerare in lui la convinzione della sopra riferita liceità, oltre alla condizione che da parte dell'autore sia stato fatto tutto il possibile per osservare la legge e che nessun rimprovero possa essergli mosso, così che l'errore sia stato incolpevole, non suscettibile cioè di essere impedito dall'interessato con l'ordinaria diligenza Cass. Sez. L, Sentenza numero 16320 del 12/07/2010, Rv. 614381 conf. Cass. Sez. 6 - 2, Ordinanza numero 19759 del 02/10/2015, Rv. 636814 Cass. Sez. 2, Ordinanza numero 33441 del 17/12/2019, Rv. 656323 . Con il secondo motivo, la ricorrente incidentale denunzia la violazione o falsa applicazione dell'articolo 112 c.p.c., in relazione all'articolo 360, primo comma, numero 5, c.p.c., perché il Tribunale avrebbe omesso di pronunciarsi sulla doglianza con la quale la società aveva contestato l'infrazione concernente il trattamento dei dati acquisiti mediante l'impianto di videosorveglianza, evidenziando che l'esistenza dello stesso era stata debitamente resa pubblica mediante appositi avvisi affissi presso la struttura ricettiva, e che la sua attivazione si era resa necessaria per prevenire atti dannosi a carico degli utenti della struttura stessa e dei loro beni. Inoltre, il giudice di merito non aveva tenuto conto che anche in questo caso, non appena ricevuta la segnalazione, il titolare della struttura ricettiva si era attivato per eliminare la violazione. Il motivo va dichiarato assorbito dal rigetto del ricorso principale. In definitiva, vanno rigettati tanto il ricorso principale che quello incidentale. Le spese del presente giudizio di legittimità, in ragione della reciproca soccombenza, vanno compensate per intero. Si dà atto che sussistono i presupposti per il versamento dell'ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, se dovuto. P.Q.M. La Corte rigetta il ricorso principale ed il ricorso incidentale e compensa tra le parti le spese del presente giudizio di legittimità. Dà atto che sussistono i presupposti per il versamento dell'ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, se dovuto.