L'operatore in divisa che viene ripreso mentre entra in servizio deve essere informato sul corretto trattamento dei suoi dati personali. Il comando non può limitarsi ad applicare cartelli standard inadeguati rispetto alle reali finalità del trattamento e deve redigere informative ad hoc con tanto di valutazione di impatto privacy.
Lo ha evidenziato il Garante per la protezione dei dati personali con il provvedimento n. 201 del 10 aprile 2025. Un operatore di polizia locale sottoposto ad un procedimento disciplinare ha proposto reclamo all'Autorità specificando che le telecamere posizionate all'interno dell'ufficio non erano state regolate correttamente ai sensi del GDPR. Il Garante ha avviato un'istruttoria che si è conclusa con l'applicazione di una pesante sanzione amministrativa a carico dell'Unione. La disciplina in materia di trattamento dei dati personali, specifica il provvedimento, impone che qualsiasi forma di videosorveglianza sul luogo di lavoro rispetti il duplice binario di legittimità previsto dall'articolo 4, comma 1, dello Statuto dei lavoratori e dall'articolo 114 del Codice privacy. In assenza di un accordo sindacale o, in subordine, dell'autorizzazione dell'Ispettorato nazionale del lavoro, il trattamento è illecito, con conseguente violazione dei principi di liceità, correttezza e trasparenza sanciti dagli articolo 5, par. 1, lett. a), 6 e 88 GDPR. Nel caso esaminato la telecamera era stata installata con lo scopo dichiarato di proteggere il patrimonio e la sicurezza, ma l'angolo di ripresa copriva l'ingresso degli operatori, consentendo di fatto un controllo indiretto sull'orario di servizio. Attenzione anche alle specifiche finalità del trattamento. Al riguardo, specifica il collegio, «deve, anzitutto, evidenziarsi che risulta inconferente il richiamo effettuato dall'Unione all'ambito della sicurezza urbana integrata in relazione alla telecamera di videosorveglianza in questione». La disciplina di settore consente, infatti, ai Comuni di installare sistemi di videosorveglia per la prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria, a condizione che sia stipulato un patto per l'attuazione della sicurezza urbana tra Sindaco e Prefettura territorialmente competente. Tale telecamera di videosorveglianza, riprendendo esclusivamente un ingresso esterno alla sede di Polizia locale e parte del parcheggio delle auto di servizio, «non può ritenersi strumentale alla tutela della sicurezza urbana, non potendo ontologicamente assolvere al compito di prevenire e contrastare gli specifici fenomeni di criminalità diffusa e predatoria, cui fa riferimento la richiamata disciplina di settore, che tipicamente si verificano nella pubblica via. Né rileva, a tal riguardo, che, come dichiarato dall'Unione in sede di memoria difensiva, il patto per l'attuazione della sicurezza urbana stipulato tra il Comune di Langhirano e la Prefettura di Parma in data […] menzioni la telecamera in questione, atteso che la stessa non risulta comunque idonea a riprendere la pubblica via ed assolvere alla finalità di tutela di sicurezza urbana». Stando a quanto dichiarato, l'effettiva finalità perseguita, ovvero la tutela degli immobili di proprietà o in gestione dell'Amministrazione, impropriamente ricondotta all'ambito della sicurezza urbana, si colloca invece nell'alveo dell'articolo 4 della l. 300/1970, ai sensi del quale, come evidenziato, «gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per […] la tutela del patrimonio aziendale». Anche il cartello affisso in prossimità del comando risulta inidoneo, prosegue il collegio, «in quanto, con riferimento alla finalità perseguita dall'Unione, menziona le finalità di sicurezza pubblica – sicurezza urbana – polizia giudiziaria – polizia amministrativa, che come detto non si ritiene possano essere perseguite nel contesto di specie, e non, invece, ovvero la finalità di tutela del patrimonio, come, peraltro, confermato dalla circostanza che codesta Unione, successivamente all'avvio dell'istruttoria, ha stipulato un accordo con le organizzazioni sindacali, ai sensi dell'articolo 4 della l. 300/1970». Inoltre, anche in riferimento all'informativa completa di secondo livello, il cartello in questione rimanda al sito web istituzionale dell'Unione. Il testo di tale informativa prodotto in atti, che reca l'indicazione ultima modifica, fa generico riferimento ai trattamenti di dati personali posti in essere dall'Unione per proprie finalità istituzionali e non riguarda, pertanto, «i trattamenti posti in essere mediante detta telecamera di videosorveglianza per le finalità di sicurezza sul lavoro e tutela del patrimonio di cui all'articolo 4 della l. 300/1970, cui si fa riferimento nell'accordo sindacale concluso in data […]». L'Unione ha, pertanto, omesso di fornire agli interessati (ad esempio, visitatori, utenti, fornitori, cittadini e altre categorie di interessati) un'idonea informativa estesa, di secondo livello, sul trattamento dei dati personali. Anche per quanto attiene specificamente al trattamento dei dati personali dei lavoratori mediante il dispositivo video impiegato, l'Unione ha non comprovato di aver fornito agli stessi una specifica informativa sul trattamento dei dati personali connesso al perseguimento della finalità di tutela del patrimonio di cui all'articolo 4 della l. 300/1970. Deve, pertanto, concludersi che «l'Unione ha agito in maniera non conforme al principio di liceità, correttezza e trasparenza e in violazione degli articolo 5, par. 1, lett. a), 12 e 13 del Regolamento». Infine, è necessaria anche una valutazione di impatto privacy ad hoc. La copia della DPIA depositata agli atti, conclude il provvedimento «fa, infatti, riferimento al trattamento di dati personali eseguito con i SDV, ovvero con i sistemi di videosorveglianza, per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, anche ai sensi del decreto-legge 14/2017 che ha riconosciuto l'importanza dei sistemi di videosorveglianza come strumento atto a prevenire e contrastare fenomeni di criminalità diffusa e predatoria. Gli interessati da tali trattamenti sono identificati in tutte le persone fisiche che transitano nelle aree osservate dai SDV [… che] riguardano aree di pubblico passaggio. I dispositivi di videosorveglianza considerati ai fini di tale VIPD sono i seguenti: A. rete di telecamere fisse dedicate alla sorveglianza del territorio dell'Unione; B. rete di telecamere fisse dedicate al riconoscimento delle targhe dei veicoli […]; C. telecamere mobili per vigilanza sui rifiuti e finalità di polizia giudiziaria, tra cui le fototrappole; D. telecamere mobili applicabile alle divise degli agenti di Polizia Locale (bodycam) o sui veicoli di servizio (dashcam) […]. Emerge, pertanto, che la VIPD non ha preso in specifica considerazione il trattamento dei dati personali dei lavoratori posto in essere mediante sistemi di videosorveglianza per la tutela del patrimonio aziendale ai sensi dell'articolo 4, comma 1, della l. 300/170».
Provvedimento del 10 aprile 2025, n. 201