Prescrizioni del Garante n. 431 del 17/07/2025

Videosorveglianza illecita presso un’attività commerciale per riprese di aree esterne e mancata informativa

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da un’impresa individuale nell’ambito di un impianto di videosorveglianza installato presso l’attività commerciale. Il procedimento è stato avviato a seguito di un controllo della Polizia locale, che aveva rilevato la presenza di 4 telecamere funzionanti, la ripresa del viale esterno e di parte del piazzale antistante l’attività, nonché l’assenza di cartelli informativi.

Origine del procedimento e difese del titolare

La vicenda origina da una nota del 23 novembre 2024 del Comando della Polizia locale del Comune di Capaccio Paestum, trasmessa all’Autorità insieme al verbale di accertamento. Sulla base di tali atti, l’Ufficio ha notificato al titolare del trattamento l’avvio del procedimento sanzionatorio per violazione degli artt. 5, par. 1, lett. a), 6 e 13 GDPR.

Nelle difese, il titolare ha precisato che l’impianto era stato installato nella sede dell’attività in via Salvatore Paolino 90/92 per prevenire furti e rapine, ha contestato l’indicazione di un diverso indirizzo riportato nell’atto di avvio e ha rappresentato che il contratto di locazione dei locali si era concluso il 22 novembre 2024, con cessazione dell’attività in quei locali da tale data.

Quadro normativo richiamato

L’Autorità ribadisce che la videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare i principi del Regolamento, in particolare:

• il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• l’obbligo di informativa all’interessato ex art. 13 GDPR;
• la necessità di una base giuridica del trattamento ai sensi dell’art. 6 GDPR.

Sono inoltre richiamati:

• il provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010;
• le FAQ dell’Autorità in materia di videosorveglianza;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, con riferimento ai cartelli informativi e alla limitazione del campo di ripresa.

Valutazioni del Garante sulle modalità di trattamento

Secondo il Garante, gli interessati devono essere sempre informati dell’accesso a una zona videosorvegliata e ciò richiede la presenza di idonei cartelli, posizionati in modo tale da rendere immediatamente percepibile la sorveglianza prima dell’ingresso nell’area ripresa.

Quanto alle riprese di aree esterne, il provvedimento ricorda che l’angolo visuale deve essere limitato all’area effettivamente da proteggere, evitando la captazione di luoghi circostanti e di elementi non pertinenti. Le Linee guida EDPB richiamate ammettono, solo ove necessario, l’adozione di misure tecniche come il blocco o la pixelatura delle zone non rilevanti.

Violazioni accertate

Dalla documentazione istruttoria, in particolare dal verbale di accertamento e dalla documentazione fotografica, il Garante ha ritenuto provato che il trattamento non si conformasse al quadro regolatorio richiamato. In particolare sono state rilevate le seguenti violazioni:

• assenza di cartelli informativi idonei, in violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• ripresa del viale esterno e di parte del piazzale antistante l’attività, con coinvolgimento di area pubblica, ritenuta trattamento illecito per mancanza di base giuridica ai sensi dell’art. 6 GDPR.

Esito finale

Il Garante ha dichiarato, ai sensi degli artt. 57, par. 1, lett. f) e 83 GDPR, l’illiceità del trattamento effettuato dal titolare, per violazione degli artt. 5, par. 1, lett. a), 6 e 13 GDPR.

Nel testo disponibile non è riportato l’importo di una sanzione pecuniaria né altre prescrizioni correttive specifiche. Sono invece disposte:

• la pubblicazione del provvedimento sul sito internet dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno previsto dal Regolamento del Garante.

Rimedi

Il provvedimento indica la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 1° settembre 2011, n. 150, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.