Ordinanza ingiunzione o revoca n. 85 del 12/02/2026

Impresa individuale titolare di videosorveglianza presso un esercizio commerciale: sanzione per riprese eccedenti, omessa informativa e comunicazione illecita di immagini

Il provvedimento riguarda il titolare di un impianto di videosorveglianza installato presso un ristorante pizzeria di Rossano, nei cui confronti il Garante ha accertato plurime violazioni della disciplina privacy in relazione alla captazione di immagini anche della pubblica via, alla mancanza di adeguata informativa e alla successiva comunicazione a terzi di immagini relative a un sinistro stradale.

Origine della segnalazione e svolgimento dell’istruttoria

Il procedimento trae origine da una segnalazione integrata nel gennaio 2025, presentata dal reclamante, che lamentava sia la ripresa della strada pubblica e delle abitazioni vicine, sia la diffusione a terzi di immagini che lo ritraevano in occasione di un sinistro stradale avvenuto davanti all’esercizio commerciale. Le verifiche ispettive della Guardia di finanza, effettuate il 2 luglio 2025 e trasmesse all’Ufficio l’11 luglio successivo, hanno accertato la presenza di un impianto funzionante composto da 5 telecamere, di cui 3 esterne e 2 interne, con accesso remoto tramite app e registrazione continuativa delle immagini dal 24 giugno 2025.

Nel corso degli accertamenti è stata rilevata l’assenza di cartelli informativi sia all’interno sia all’esterno del locale. Il titolare ha dichiarato che la cartellonistica sarebbe stata rimossa a seguito di lavori di ristrutturazione e tinteggiatura, impegnandosi a ripristinarla. È emerso inoltre che, per le riprese relative agli spazi di lavoro, l’Ispettorato del lavoro aveva già contestato violazioni in materia di controlli a distanza dei lavoratori, con pagamento della sanzione in misura ridotta e successiva autorizzazione dell’impianto ai sensi dell’art. 4 della l. n. 300/1970.

Trattamento di dati personali mediante videosorveglianza

Il Garante ribadisce che l’utilizzo di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. Nel caso concreto, il trattamento era finalizzato anche a chiarire la dinamica del sinistro stradale che aveva coinvolto il reclamante e un terzo a cui le immagini sono state successivamente trasmesse.

Violazioni accertate: liceità, correttezza, trasparenza, minimizzazione e progettazione

L’Autorità ha ritenuto violate diverse disposizioni del GDPR:

• art. 5, par. 1, lett. a), e art. 6 GDPR: la ripresa sistematica di spazi pubblici da parte di un soggetto privato non può essere svolta autonomamente, trattandosi di attività riservata ai soggetti pubblici nell’ambito delle competenze di sicurezza pubblica o di prevenzione e repressione dei reati. Non è stata dimostrata alcuna idonea base giuridica del trattamento.
• art. 13 GDPR: mancava un’informativa adeguata agli interessati, da rendere mediante cartelli di primo e secondo livello, posizionati prima del raggio d’azione delle telecamere e chiaramente visibili.
• art. 5, par. 1, lett. c), e art. 25 GDPR: le riprese erano eccedenti rispetto alla sola area di pertinenza del titolare, in quanto includevano la pubblica via; inoltre, l’angolo visuale avrebbe dovuto essere limitato alla sola area effettivamente da proteggere.
• art. 5, par. 1, lett. c), e art. 25 GDPR, anche sotto il profilo della conservazione: le immagini risultavano conservate per otto giorni, senza che fosse dimostrata una specifica esigenza tale da giustificarne la durata, considerata superiore alle indicazioni generali richiamate dal Garante.

Comunicazione a terzi delle immagini e inutilizzabilità dei dati illecitamente trattati

Un ulteriore profilo di illiceità è stato individuato nella comunicazione delle immagini del sinistro a un terzo coinvolto nello stesso evento, che le aveva richieste per far valere il proprio diritto di difesa nei confronti della compagnia assicurativa. Il Garante ha rilevato che i dati erano stati raccolti in violazione della normativa e, come tali, erano inutilizzabili ai sensi dell’art. 2-decies del Codice privacy; pertanto, non potevano essere oggetto di un trattamento ulteriore, compresa la comunicazione a terzi.

Valutazione complessiva e decisione sanzionatoria

L’Autorità ha ritenuto confermati i profili di illecito contestati con l’atto di avvio del procedimento del 4 novembre 2025, rilevando che le operazioni di trattamento poste in essere mediante l’impianto di videosorveglianza e la successiva comunicazione delle immagini avvenivano in violazione degli artt. 5, par. 1, lett. a), 13, 6 e 25 GDPR.

Le violazioni sono state considerate non minori, poiché la videosorveglianza riguardava sia spazi pubblici sia ambienti in cui operavano avventori e lavoratori. Il Garante ha quindi applicato l’art. 58, par. 2, lett. i), GDPR, disponendo un’ordinanza ingiunzione con sanzione amministrativa pecuniaria.

Criteri di quantificazione della sanzione

Ai fini della determinazione dell’importo, il Garante ha richiamato l’art. 83, parr. 1 e 2, GDPR, valorizzando:

• la natura, gravità e durata della violazione, anche alla luce della condotta colposa e dell’orientamento consolidato del Garante e della giurisprudenza in materia di videosorveglianza;
• l’assenza di precedenti specifici a carico del titolare;
• la cooperazione prestata in sede ispettiva e il riconoscimento delle responsabilità;
• il fatto che, al momento delle verifiche, all’interno del locale non fosse in corso un trattamento attuale di dati personali per via della chiusura stagionale.

Tenuto conto di tali elementi, la sanzione è stata determinata in euro 1.500.

Ordini e prescrizioni impartiti

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato in violazione degli artt. 5, par. 1, lett. a), 13, 6 e 25 GDPR;
• ordinato il pagamento di euro 1.500 a titolo di sanzione amministrativa pecuniaria;
• ingiunto al titolare di pagare la somma entro 30 giorni dalla notifica del provvedimento, con avvertenza sugli ulteriori atti esecutivi ai sensi dell’art. 27 l. n. 689/1981;
• imposto, sempre entro 30 giorni, l’adeguamento del trattamento mediante:
  • apposizione dell’informativa con idonea cartellonistica;
  • orientamento delle telecamere in modo da non riprendere spazi pubblici.

È stata inoltre richiamata la facoltà di definire la controversia con il pagamento della metà della sanzione entro i termini di legge.

Pubblicazione e impugnazione

Il provvedimento dispone la pubblicazione sul sito del Garante, con omissione del nominativo del contravventore, e l’annotazione delle violazioni nel registro interno dell’Autorità. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.