L'autorité italienne de protection des données (GPDP) a publié une décision de sanction à l'encontre de la municipalité de Coccaglio, comprenant le prononcé d'une amende de 6 000 €, pour des manquements liés à l'installation d'un système de vidéosurveillance sur le lieu de travail et à l'utilisation des images à des fins disciplinaires. Cette affaire débute par la plainte d'un employé qui s'est vu notifier des mesures disciplinaires sur la base d'images extraites du système de vidéosurveillance de la municipalité.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (articles 5, 6 et 88 du RGPD) : La municipalité a installé quatre caméras de vidéosurveillance dans et autour d'un entrepôt communal sans avoir préalablement obtenu l'accord syndical ou l'autorisation de l'inspection du travail, comme l'exige le droit national. L'autorité a rejeté l'argument selon lequel l'entrepôt n'était pas un lieu de travail en raison d'un accès intermittent des employés, jugeant que le respect de ces garanties spécifiques au droit du travail constitue une condition de licéité du traitement des données des travailleurs.

* Obligation de limitation des finalités (article 5, paragraphe 1, point b) du RGPD) : Les images issues du système de vidéosurveillance illégalement mis en place ont été utilisées pour étayer une procédure disciplinaire à l'encontre du plaignant. L'autorité a rappelé que des données collectées en violation des garanties prévues par le droit du travail ne peuvent être utilisées à d'autres fins, leur traitement ultérieur étant par conséquent illicite.

* Obligation de transparence et d'information (articles 12 et 13 du RGPD) : Les employés n'ont pas reçu d'information spécifique concernant le traitement de leurs données par le système de vidéosurveillance. La municipalité a omis de fournir une notice d'information conforme, estimant à tort que les employés n'étaient que des sujets accessoires du traitement.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'autorité a constaté l'absence d'une analyse d'impact préalable au traitement, obligatoire pour la vidéosurveillance en contexte de travail. Le document fourni ultérieurement a été jugé non conforme, notamment car il n'a pas été daté et le délégué à la protection des données n'a pas été consulté, ce qui constitue une violation de la procédure, l'autorité rappelant que son avis doit être sollicité.

En conséquence, l’autorité a imposé une amende de 6 000 € à la municipalité.
En outre, l’autorité a ordonné la publication de sa décision sur son site internet.