Italian Court dismisses GDPR appeal, upholding fine for video footage retention exceeding seven days.

nciato la seguente ORDINANZA sul ricorso 15571-2021 proposto da: GARANTE PER LA PROTEZIONE DEI DATI PERSONALI, in persona del legale rappresentante pro tempore, domiciliato in ROMA, VIA DEI PORTOGHESI n. 12, presso l’AVVOCATURA GENERALE DELLO STATO, che lo rappresenta e difende -ricorrente - contro PENSIONE LA PERGOLA S.A.S. DI CASTAGNA ARNALDO, in persona del legale rappresentante pro tempore, rappresentata e difesa dall’avv. DOMENICO PUCA e ANTONIO RISPOLI e domiciliata presso la cancelleria della Corte di Cassazione -controricorrente e ricorrente incidentale - avverso la sentenza n. 158/2020 del TRIBUNALE di NAPOLI, depositata il 30/11/2020; udita la relazione della causa svolta in camera di consiglio dal Consigliere Oliva FATTI DI CAUSA Con ricorso ritualmente depositato la Pensione La Pergola S.a.s. di Castagna Arnaldo proponeva opposizione avverso l’ordinanza- ingiunzione n. 464/2017, con la quale le era stata contestata la violazione degli artt. 13 e 154 del codice per la protezione dei dati personali ed irrogata la sanzione complessiva di € 14.400, di cui € 2.400 a fronte della mancata informativa della propria clientela in relazione al trattamento dei dati personali pervenuti nella disponibilità della società tramite il sito internet della stessa, ed € 12.000 a fronte della conservazione delle immagini videoregistrate presso la struttura ricettiva per un periodo superiore a sette giorni.

Con sentenza n. 158/2020 il Tribunale di Napoli accoglieva in parte l’opposizione, annullando l’ordinanza-ingiunzione limitatamente alla contestazione della violazione dell’art. 154, riducendo di conseguenza la sanzione al solo importo di € 2.400. Propone ricorso per la cassazione di tale pronuncia il Garante per la protezione dei Dati Personali, affidandosi ad un unico motivo. Resiste con controricorso la Pensione La Pergola S.a.s. di Castagna Arnaldo, spiegando a sua volta ricorso incidentale affidato a due motivi. In prossimità dell’adunanza camerale, la parte ricorrente incidentale ha depositato memoria.

RAGIONI DELLA DECISIONE Con l’unico motivo del ricorso principale, il Garante per la Protezione dei Dati Personali lamenta la violazione o falsa applicazione degli artt. 154, 143 e 162 del D. Lgs. n. 196 del 2003 e del provvedimento dell’8.4.2010 del Garante per la Privacy, in relazione all’art. 360, primo comma, n. 3, c.p.c., perché il Tribunale avrebbe erroneamente accolto l’opposizione ritenendo che l’obbligo di non conservare le immagini acquisite dalle apparecchiature di videosorveglianza per più di 24 ore presupponesse l’individuazione di un soggetto determinato, e non fosse quindi riferito alla pluralità dei destinatari.

La censura è infondata. Il Tribunale ha ritenuto che la disposizione di cui all’art. 154, primo comma, lettera c) del cd. codice per la protezione dei dati personali sia rivolta nei confronti di un soggetto specifico, valorizzando la sua collocazione, all’interno del predetto codice, nella sezione destinata ai reclami, la sua rubrica (“Procedimento per i reclami”), la struttura della norma, che presuppone, quale condizione per l’adozione del provvedimento sanzionatorio, l’esaurimento dell’istruttoria, nonché il suo tenore letterale, che fa riferimento all’emanazione di prescrizioni dirette al titolare del trattamento dei dati personali ed alla loro inosservanza (cfr. pagg. 8 e 9 della sentenza impugnata).

Tali considerazioni non sono adeguatamente attinte dalla censura in esame, con la quale il Garante propone una diversa opzione interpretativa, ritenendo la disposizione rivolta nei confronti di tutti i consociati, senza tuttavia confrontarsi in modo specifico con i vari argomenti valorizzati dal giudice di merito. La statuizione del Tribunale, peraltro, appare condivisibile, poiché la disposizione di cui all’art. 154, per la sua struttura, formulazione letterale, rubrica e collocazione sistematica nell’ambito del cd. codice della privacy allude alla mancata osservanza di specifiche prescrizioni che, nell’ambito di una determinata istruttoria, vengano impartite ad un destinatario determinato, in relazione ad una specifica ipotesi di trattamento dei dati personali.

Non è quindi possibile comminare la sanzione prevista per la violazione della predetta disposizione senza la preventiva apertura di un’istruttoria, eventualmente conseguente ad un reclamo, nell’ambito della quale siano impartite disposizioni che il destinatario ometta di osservare. Passando all’esame del ricorso incidentale, con il primo motivo la società Pensione La Pergola S.a.s. denunzia la violazione o falsa applicazione degli artt. 113, 115, 116 c.p.c., 2697 c.c., mancanza ed apparenza della motivazione ed omessa valutazione di una prova decisiva, in relazione all’art. 360, primo comma, nn. 3, 4 e 5, c.p.c., perché il Tribunale avrebbe erroneamente confermato la sanzione prevista per la mancata informativa alla clientela del trattamento dei dati personali acquisiti dalla società mediante il sito internet, senza considerare che lo stesso era ancora in fase di allestimento, al momento della verifica; che comunque l’informativa era stata fornita mediante affissione del prescritto avviso dei locali della struttura ricettiva; che il titolare si era immediatamente attivato presso il proprio fornitore di servizi per segnalare il disservizio, prontamente risolto.

Tutto ciò avrebbe dovuto condurre il giudice di merito a ritenere assente il requisito soggettivo prescritto per la contestazione della sanzione amministrativa in commento. La censura è infondata. Il Tribunale ha ritenuto che il sito internet fosse regolarmente funzionante ed accessibile agli utenti, nei confronti dei quali a nulla rilevava il fatto che l’avviso prescritto in relazione al trattamento dei dati personali fosse affisso nei locali della struttura o inserito in altro materiale pubblicitario, posto che ciò non dimostrava l’effettiva informazione ai clienti che avevano esercitato l’accesso mediante internet né escludeva l’assenza del prescritto avviso sul canale internet, oggetto della contestazione impugnata.

Quanto poi alla condotta del titolare della struttura ricettiva, il giudice di merito ha evidenziato che la responsabilità può escludersi soltanto in presenza della dimostrazione di aver fatto tutto il possibile, cosicché nessun addebito possa esser mosso al destinatario della sanzione, neppure sotto il profilo della negligenza omissiva. Nella fattispecie, tuttavia, la negligenza omissiva è rappresentata dall’aver affidato la gestione del proprio sito internet ad un fornitore di servizi esterno, facendo affidamento sulle sue capacità e senza verificare adeguatamente il risultato della sua attività.

Va di conseguenza ribadito, sul punto, il principio secondo cui “In tema di violazioni amministrative, poiché, ai sensi dell'art. 3 della legge 24 novembre 1981, n. 689, per integrare l'elemento soggettivo dell'illecito è sufficiente la semplice colpa, per cui l'errore sulla liceità della relativa condotta, correntemente indicato come buona fede, può rilevare in termini di esclusione della responsabilità amministrativa, al pari di quanto avviene per la responsabilità penale in materia di contravvenzioni, solo quando esso risulti inevitabile, occorrendo a tal fine un elemento positivo, estraneo all'autore dell'infrazione, idoneo ad ingenerare in lui la convinzione della sopra riferita liceità, oltre alla condizione che da parte dell'autore sia stato fatto tutto il possibile per osservare la legge e che nessun rimprovero possa essergli mosso, così che l'errore sia stato incolpevole, non suscettibile cioè di essere impedito dall'interessato con l'ordinaria diligenza” (Cass.

Sez. L , Sentenza n. 16320 del 12/07/2010, Rv. 614381; conf. Cass. Sez. 6 - 2 , Ordinanza n. 19759 del 02/10/2015, Rv. 636814; Cass. Sez. 2 , Ordinanzan. 33441 del 17/12/2019 , Rv. 656323). Con il secondo motivo, la ricorrente incidentale denunzia la violazione o falsa applicazione dell’art. 112 c.p.c., in relazione all’art. 360, primo comma, n. 5, c.p.c., perché il Tribunale avrebbe omesso di pronunciarsi sulla doglianza con la quale la società aveva contestato l’infrazione concernente il trattamento dei dati acquisiti mediante l’impianto di videosorveglianza, evidenziando che l’esistenza dello stesso era stata debitamente resa pubblica mediante appositi avvisi affissi presso la struttura ricettiva, e che la sua attivazione si era resa necessaria per prevenire atti dannosi a carico degli utenti della struttura stessa e dei loro beni.

Inoltre, il giudice di merito non aveva tenuto conto che anche in questo caso, non appena ricevuta la segnalazione, il titolare della struttura ricettiva si era attivato per eliminare la violazione. Il motivo va dichiarato assorbito dal rigetto del ricorso principale. In definitiva, vanno rigettati tanto il ricorso principale che quello incidentale. Le spese del presente giudizio di legittimità, in ragione della reciproca soccombenza, vanno compensate per intero. Si dà atto che sussistono i presupposti per il versamento dell’ulteriore importo a titolo di contributo unificato pari a quello previsto per il ricorso, se dovuto.

PQM la Corte rigetta il ricorso principale ed il ricorso incidentale e compensa tra le parti le spese del presente giudizio di legittimità. Dà atto che sussistono i presupposti per il versamento dell’ulteriore importo a titolo