Ordinanza ingiunzione o revoca n. 210 del 26/03/2026

Copacabana s.r.l. – videosorveglianza in esercizio commerciale senza informativa e senza autorizzazione lavoristica

Il Garante ha esaminato il trattamento di dati personali effettuato da Copacabana s.r.l. mediante un impianto di videosorveglianza installato presso un ristorante in Roma. Il procedimento è nato da un sopralluogo della Questura, che ha rilevato l’assenza di cartelli informativi e la mancanza della necessaria autorizzazione dell’Ispettorato del lavoro, pur in presenza di lavoratori.

Origine dell’accertamento e avvio del procedimento

Con nota del 24 settembre 2025 la Questura di Roma ha trasmesso al Garante il verbale relativo al sopralluogo del 19 settembre 2025 presso il ristorante "Copacabana". Dal verbale emergeva che il sistema di videosorveglianza era stato installato circa 30 giorni prima, in seguito a un furto, ma senza idonea cartellonistica informativa né all’interno né all’esterno del locale. Inoltre, essendo presenti lavoratori alle dipendenze della società, l’impianto risultava privo della preventiva autorizzazione dell’Ispettorato del Lavoro.

Con nota del 30 gennaio 2026 l’Ufficio ha notificato al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione del principio di trasparenza ex artt. 5, par. 1, lett. a), e 13 GDPR, nonché la violazione del principio di liceità in relazione all’art. 114 del Codice e all’art. 88 GDPR.

Il titolare non ha presentato scritti difensivi né ha fornito riscontro al procedimento.

Quadro normativo richiamato

Il Garante ha richiamato che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare, tra l’altro, il principio di trasparenza e l’obbligo informativo di cui all’art. 13 GDPR. In base alle indicazioni già fornite dall’Autorità e alle Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati, gli interessati devono essere avvisati in modo chiaro prima di accedere all’area videosorvegliata, mediante cartelli ben visibili, intelligibili e leggibili.

Per il contesto lavorativo, il provvedimento richiama anche l’art. 4 della legge n. 300/1970, come richiamato dall’art. 114 del Codice e fatto salvo dall’art. 88 GDPR. Quando dagli impianti possa derivare anche la possibilità di controllo a distanza dell’attività dei dipendenti, l’installazione è consentita solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale e deve essere preceduta da accordo sindacale o, in mancanza, da autorizzazione dell’Ispettorato del lavoro.

Esito dell’istruttoria

Dall’istruttoria è emerso che l’impianto era attivo e funzionante ma sprovvisto di idonei cartelli informativi. Il Garante ha quindi ritenuto integrata la violazione del principio di trasparenza e dell’obbligo di informativa, in contrasto con gli artt. 5, par. 1, lett. a), e 13 GDPR.

È stato inoltre accertato che il sistema era privo dell’autorizzazione del competente Ispettorato territoriale del lavoro. Tale circostanza ha determinato la violazione della disciplina lavoristica richiamata dall’art. 114 del Codice e dall’art. 88 GDPR, oltre che dell’art. 4 della legge n. 300/1970.

Illiceità del trattamento e valutazione sanzionatoria

Il Garante ha dichiarato l’illiceità del trattamento effettuato mediante il sistema di videosorveglianza, ritenendo violate le disposizioni sugli obblighi di informazione e sulle garanzie a tutela dei lavoratori.

Ai fini della quantificazione della sanzione, l’Autorità ha considerato:

• la natura colposa della condotta;
• la rilevanza dell’omessa informativa, in un ambito già oggetto di consolidati orientamenti dell’Autorità e della giurisprudenza;
• la possibile ampia platea di interessati, trattandosi di un esercizio aperto al pubblico;
• la responsabilità connessa alla mancata osservanza delle garanzie dell’art. 4 della legge n. 300/1970;
• l’assenza di precedenti specifici a carico della società;
• la recente installazione del sistema.

Richiamati i criteri di cui all’art. 83, par. 1 e 2, GDPR, il Garante ha ritenuto proporzionata una sanzione di euro 2.000,00.

Provvedimenti adottati

Il Garante ha quindi:

• dichiarato, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR, l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 13, 88 GDPR e 114 del Codice;
• ordinato il pagamento di euro 2.000,00 a titolo di sanzione amministrativa pecuniaria;
• ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare il trattamento entro 30 giorni dalla notifica mediante idonea cartellonistica informativa;
• imposto la comunicazione al Garante, entro il medesimo termine, delle misure adottate ai sensi dell’art. 157 del Codice;
• disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, la limitazione del trattamento con divieto di attivazione del sistema negli orari di apertura dell’esercizio commerciale fino all’eventuale autorizzazione dell’Ispettorato territoriale del lavoro.

Ulteriori effetti e rimedi

Il provvedimento dispone la pubblicazione sul sito internet del Garante, tenuto conto della natura delle violazioni e del numero di soggetti coinvolti, nonché l’annotazione nel registro interno dell’Autorità. È inoltre indicata la possibilità di ricorso dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.