Prescrizioni del Garante n. 457 del 04/08/2025

Videosorveglianza in esercizio commerciale senza cartelli e senza preventiva autorizzazione per controllo a distanza

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da un’impresa individuale che gestiva un esercizio commerciale a Modena, nel quale era installato un impianto di videosorveglianza attivo e funzionante. Il procedimento trae origine da una segnalazione della Polizia locale, che aveva rilevato la presenza di quattro telecamere prive di adeguata segnaletica informativa.

Origine del procedimento e svolgimento istruttorio

Con nota del 27 aprile 2023 la Polizia locale del Comune di Modena segnalava all’Autorità che, durante un accertamento del 12 aprile 2023, presso l’esercizio commerciale era stato riscontrato un sistema di videosorveglianza regolarmente funzionante ma non segnalato da cartelli informativi. Sulla base di tale segnalazione, l’Ufficio del Garante notificava un primo atto di avvio del procedimento sanzionatorio il 26 settembre 2023, ai sensi dell’art. 166, comma 5, del Codice.

Nel corso dell’istruttoria, il Garante acquisiva anche informazioni dall’Ispettorato del lavoro di Modena. Da tale riscontro emergeva che l’ispettorato aveva avviato un accertamento ravvisando la violazione dell’art. 4 della l. n. 300/1970 e aveva adottato un verbale di prescrizione; veniva inoltre precisato che l’impresa aveva successivamente richiesto l’autorizzazione all’installazione dell’impianto, poi rilasciata il 10 luglio 2023, ed era stata ammessa al pagamento della sanzione in misura ridotta. A seguito di tali elementi, il 21 maggio 2024 veniva notificato un secondo avvio del procedimento sanzionatorio, esteso anche alla disciplina dei controlli a distanza dei lavoratori.

Quadro normativo richiamato

Il provvedimento ricorda che l’utilizzo di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare il principio di trasparenza dell’art. 5, par. 1, lett. a) GDPR, concretamente attuato dall’obbligo informativo di cui all’art. 13 GDPR.

Per quanto concerne la presenza di lavoratori e il possibile controllo a distanza, il Garante richiama l’art. 88 GDPR e l’art. 114 del Codice privacy, che rinvia alla disciplina dell’art. 4 della l. n. 300/1970. In base a tale norma, gli impianti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei dipendenti possono essere impiegati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e la loro installazione richiede, in via preventiva, un accordo collettivo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato del lavoro.

Valutazioni sulla videosorveglianza e sull’informativa

Il Garante evidenzia che, in materia di videosorveglianza, gli interessati devono essere sempre informati prima di accedere all’area sorvegliata e che il titolare deve predisporre cartelli idonei a rendere evidente la presenza del sistema. Il provvedimento richiama anche le indicazioni dell’Autorità e le Linee guida del Comitato europeo per la protezione dei dati n. 3/2019, secondo cui le informazioni essenziali devono essere riportate sul segnale di avvertimento di primo livello, mentre i dettagli ulteriori possono essere forniti con altri mezzi.

Dalla documentazione acquisita è emerso che l’impianto era attivo e funzionante ma privo di idonei cartelli informativi. Ne è derivata la violazione dell’art. 13 GDPR e, più in generale, del principio di trasparenza di cui all’art. 5, par. 1, lett. a) GDPR.

Controlli a distanza dei lavoratori e illiceità del trattamento

L’Autorità ha inoltre accertato che, fino agli interventi correttivi successivi alla richiesta di autorizzazione, il trattamento dei dati personali riferiti ai lavoratori si era svolto senza il rispetto delle procedure di garanzia previste dall’art. 4 della l. n. 300/1970, richiamato dall’art. 114 del Codice privacy. In assenza di preventiva autorizzazione dell’Ispettorato del lavoro, il trattamento è stato ritenuto illecito anche sotto il profilo del principio di liceità di cui all’art. 5, par. 1, lett. a) GDPR.

Esito del procedimento e misure ordinative

Il Garante ha dichiarato l’illiceità del trattamento effettuato dall’impresa individuale per la violazione:

• degli artt. 5, par. 1, lett. a) e 13 GDPR, per la mancata apposizione di idonei cartelli informativi;
• dell’art. 5, par. 1, lett. a) GDPR, unitamente agli artt. 114 del Codice privacy e 4 della l. n. 300/1970, per l’assenza della necessaria autorizzazione al controllo a distanza.

Conseguentemente, ai sensi degli artt. 58, par. 1, lett. d), GDPR e 13 del Codice privacy, ha ingiunto al titolare di conformare il trattamento al Regolamento, provvedendo a rendere l’informativa agli interessati tramite idonea cartellonistica entro trenta giorni dalla notifica del provvedimento.

Pubblicazione e impugnazione

Il provvedimento dispone la pubblicazione sul sito internet del Garante e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità. È infine ricordata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.