Ordinanza ingiunzione o revoca n. 167 del 12/03/2026

Hanako s.r.l. - videosorveglianza in esercizio di ristorazione

Il provvedimento riguarda la società titolare di un’attività di ristorazione, destinataria di un procedimento sanzionatorio avviato a seguito di verifiche della Guardia di Finanza. Il Garante ha accertato criticità nell’uso di un impianto di videosorveglianza installato nei locali dell’esercizio.

Origine del procedimento e svolgimento degli accertamenti

La Guardia di Finanza di Roma ha trasmesso al Garante, il 25 febbraio 2025, il verbale relativo ai controlli eseguiti il 15 agosto 2024 presso l’esercizio della società. Nel corso delle verifiche è stato rilevato:

• un impianto di videosorveglianza composto da 4 telecamere esterne e 1 interna;
• la presenza di lavoratori nelle aree interessate dalle riprese;
• un solo cartello informativo, riferito a più ambienti situati su piani diversi;
• l’accesso alle immagini da parte del personale autorizzato senza utilizzo di credenziali.

È stato anche acquisito un atto dell’Ispettorato del lavoro di Padova-Rovigo, da cui risultava un’autorizzazione all’installazione del sistema solo a decorrere dal 31 ottobre 2024, dunque in data successiva al controllo.

Con nota del 17 dicembre 2025 l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione del principio di trasparenza, del principio di liceità in materia di controllo dei lavoratori e degli obblighi di sicurezza. Il titolare non ha presentato difese.

Quadro giuridico richiamato

Il Garante ha richiamato che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare, tra l’altro:

• il principio di trasparenza e l’obbligo informativo di cui agli artt. 5, par. 1, lett. a), e 13 GDPR;
• il principio di liceità, con riguardo ai trattamenti dei lavoratori, in combinato disposto con l’art. 88 GDPR, l’art. 114 del Codice e l’art. 4 della l. 300/1970;
• il principio di integrità e riservatezza e le misure di sicurezza di cui agli artt. 5, par. 1, lett. f), e 32 GDPR.

Sul piano delle regole speciali per i lavoratori, è stato ribadito che gli impianti da cui derivi anche la possibilità di controllo a distanza possono essere installati solo per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, previa procedura sindacale o autorizzazione dell’Ispettorato del lavoro.

Valutazioni sull’illecito trattamento

L’istruttoria ha confermato tre profili di illegittimità:

• informativa insufficiente: l’impianto era attivo e funzionante, ma privo di idonei cartelli informativi in tutti gli ambienti interessati;
• mancanza della previa autorizzazione: al momento del controllo non risultava ancora rilasciata l’autorizzazione dell’Ispettorato territoriale del lavoro, poi intervenuta solo successivamente;
• misure di sicurezza inadeguate: l’accesso alle immagini avveniva senza credenziali, circostanza ritenuta inidonea a garantire la riservatezza e a consentire la tracciabilità delle operazioni compiute sui dati.

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e f), 13 e 32 GDPR, nonché dell’art. 114 del Codice e dell’art. 4 l. 300/1970.

Misure correttive ordinate

Poiché non risultava provato che le violazioni fossero cessate, il Garante ha adottato misure correttive ex art. 58, par. 2, lett. d), GDPR, imponendo alla società di conformare il trattamento entro 30 giorni dalla notifica del provvedimento mediante:

• apposita cartellonistica per rendere l’informativa agli interessati;
• misure tecniche e organizzative adeguate per consentire l’accesso alle immagini solo ai soggetti legittimati, nel rispetto delle prescrizioni dell’Ispettorato del lavoro di Padova-Rovigo.

Per la violazione relativa al profilo lavoristico, il Garante ha osservato che l’autorizzazione è stata successivamente rilasciata e, per questo motivo, non ha ritenuto di adottare ulteriori misure correttive su tale specifico aspetto.

Sanzione amministrativa pecuniaria

Il Garante ha applicato una sanzione amministrativa pecuniaria di euro 2.000,00 ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, per la violazione degli artt. 5, par. 1, lett. a) e f), 13, 32 GDPR e 114 del Codice.

Nella quantificazione sono stati considerati, in particolare:

• la natura colposa della condotta;
• il fatto che la violazione dell’obbligo informativo potesse incidere su un’ampia platea di interessati, trattandosi di un esercizio aperto al pubblico;
• la rilevanza della mancata osservanza delle garanzie previste per il controllo a distanza dei lavoratori;
• la mancata adozione di adeguate misure di sicurezza;
• l’assenza di precedenti specifici a carico del titolare.

Ulteriori disposizioni

Il Garante ha disposto:

• la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata inoltre richiamata la facoltà di ricorso davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.