Ordinanza ingiunzione o revoca n. 577 del 11/09/2025

Ordinanza ingiunzione per videosorveglianza occulta in area pubblica durante una sagra

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti del titolare di un impianto di videosorveglianza installato in modo occulto in un’area pubblica utilizzata per la manifestazione religiosa e popolare denominata "Sagra di san Rocco 2024". Il procedimento è scaturito da una segnalazione e dagli accertamenti svolti dai Carabinieri, dai quali è emersa la presenza di telecamere non visibili e prive di qualsiasi informativa al pubblico.

Origine del procedimento e fatti accertati

Dagli atti trasmessi all’Autorità risulta che, a seguito di verifiche effettuate il 26 settembre 2024 e il 21 dicembre 2024, sono state individuate tre telecamere funzionanti, occultate all’interno di scatole elettriche e collocate su due pali di illuminazione e su un chiosco abusivo. Le telecamere riprendevano un’area destinata a parcheggio pubblico e ai festeggiamenti della sagra. Il funzionamento del sistema e il conseguente trattamento di dati personali non erano resi noti in alcuna forma, neppure tramite cartellonistica semplificata.

Qualificazione del trattamento e soggetto responsabile

Il titolare dell’impresa individuale DSG Impianti è stato individuato quale autore dell’installazione, proprietario del supporto di archiviazione delle immagini e unico soggetto autorizzato ad accedervi con credenziali. L’interessato ha dichiarato di essersi assunto la responsabilità dell’impianto, affermando che l’iniziativa era stata concordata con il parroco e resa nota ad altri organizzatori. La finalità dichiarata era quella di individuare gli autori di furti e danneggiamenti verificatisi in precedenti edizioni della sagra e di vigilare sugli spazi contenenti materiali del comitato dei festeggiamenti.

Violazioni contestate e norme richiamate

Con nota del 17 marzo 2025 l’Ufficio ha contestato la violazione:

• dei principi generali di cui all’art. 5, par. 1, lett. a) GDPR, in particolare liceità, correttezza e trasparenza;
• dell’art. 13 GDPR, per l’assenza di idonea informativa agli interessati.

Nel provvedimento il Garante ha ribadito che l’utilizzo di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e che la sistematica osservazione di spazi pubblici con finalità di prevenzione/accertamento di reati è riservata ai soggetti pubblici titolari delle funzioni di sicurezza pubblica, non potendo essere svolta autonomamente da privati. È stato inoltre rilevato che il titolare non ha dimostrato l’esistenza di una base giuridica ex art. 6 GDPR.

Valutazioni del Garante

L’Autorità ha evidenziato che il trattamento era radicalmente illecito, poiché realizzato da un privato in uno spazio pubblico, senza collegamento con la tutela di beni propri e in assenza di una base giuridica idonea. Ha inoltre sottolineato che la modalità occultata di installazione e la mancata informativa hanno integrato una grave violazione anche dei principi di correttezza e trasparenza.

Il Garante ha escluso che le violazioni potessero essere considerate minori, richiamando la natura del trattamento, la gravità della condotta, la sua intenzionalità e l’ampiezza della platea di interessati coinvolti durante la manifestazione pubblica. È stato richiamato anche il considerando 148 GDPR.

Sanzione e criteri di quantificazione

Ai fini dell’art. 83 GDPR, l’Autorità ha considerato:

• la condotta dolosa del titolare;
• l’inadempimento degli obblighi in materia di videosorveglianza, oggetto di consolidato orientamento del Garante e della giurisprudenza;
• l’ampia platea di interessati coinvolti in ragione del luogo pubblico e della ricorrenza;
• l’assenza di precedenti specifici;
• il riconoscimento di responsabilità e l’occasionalità della condotta;
• il fatto che gli effetti della violazione si fossero esauriti per la sovrascrittura dei dati registrati.

In base a tali elementi, la sanzione amministrativa pecuniaria è stata determinata in euro 500 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato al titolare di pagare euro 500 entro 30 giorni dalla notifica, con le conseguenti iniziative esecutive in caso di mancato pagamento;
• richiamato la possibilità di definizione agevolata mediante pagamento di metà della sanzione nei termini previsti dall’art. 166, comma 8, del Codice;
• disposto la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito internet dell’Autorità;
• disposto l’annotazione delle violazioni e delle misure nel registro interno del Garante.

Tutela giurisdizionale

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.