Ordinanza ingiunzione o revoca n. 84 del 12/02/2026

Videosorveglianza illecita presso un esercizio commerciale con sanzione di 2.000 euro

Il Garante ha esaminato il trattamento di dati personali svolto da un esercizio commerciale mediante un impianto di videosorveglianza interno ed esterno, a seguito di un verbale di controllo trasmesso dai Carabinieri. Il procedimento ha riguardato la conformità del sistema all’autorizzazione rilasciata dall’Ispettorato del lavoro e agli obblighi informativi previsti dal GDPR.

Origine del procedimento e accertamenti

Dalla documentazione acquisita è emerso che presso il locale era installato un impianto con cinque telecamere, alcune delle quali riprendevano aree interne di lavoro e di passaggio, altre l’area esterna in concessione all’esercizio. Le immagini potevano essere visionate anche da remoto dal titolare tramite applicazione su smartphone. In sede di controllo è stato inoltre rilevato che il sistema registrava le immagini per circa 10 giorni.

Quadro autorizzatorio e norme applicabili

L’impianto era stato autorizzato dall’Ispettorato di Area Metropolitana di Napoli con provvedimento n. 592/2024 ai sensi dell’art. 4, comma 1, l. n. 300/1970, per finalità di tutela del patrimonio aziendale. L’autorizzazione subordinava il trattamento a limiti precisi: nessuna visualizzazione da remoto e conservazione non superiore a 24 ore, salvo eccezioni per furti o danni. Il Garante richiama inoltre il quadro generale del GDPR, in particolare gli artt. 5, 6, 13 e 88, nonché l’art. 114 del Codice privacy e l’art. 4 dello Statuto dei lavoratori.

Violazioni accertate

Il Garante ha ritenuto che il trattamento fosse illecito per più profili:

• informativa inidonea, perché i cartelli presenti non indicavano il titolare del trattamento e le finalità della videosorveglianza, in violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a);
• trattamento privo di base giuridica adeguata, poiché le telecamere riprendevano anche aree pubbliche senza che fosse dimostrata la necessità di tale estensione, con violazione degli artt. 5, par. 1, lett. a) e 6 GDPR;
• trattamento in difformità dall’autorizzazione dell’Ispettorato del lavoro, per l’accesso da remoto e per la conservazione delle immagini oltre il termine autorizzato, in violazione dell’art. 4 l. n. 300/1970 e dell’art. 114 Codice privacy, nonché dell’art. 88 GDPR.

Valutazione del Garante

L’Autorità ha escluso che le violazioni potessero essere considerate minori, valorizzando la natura, la gravità e la durata dei comportamenti, il coinvolgimento di una pluralità di interessati, inclusi i lavoratori, e il fatto che il Garante è venuto a conoscenza della vicenda tramite accertamenti dei Carabinieri. Il titolare, nei propri scritti difensivi, aveva contestato il verbale e rappresentato alcune circostanze giustificative, ma tali deduzioni non sono state accolte.

Misure correttive e regolarizzazione successiva

Dalla successiva comunicazione del titolare è emerso che, dopo l’accertamento, l’applicazione per smartphone non risultava più installata, il sistema era stato impostato per conservare le immagini entro 24 ore e la cartellonistica era stata integrata con l’indicazione del titolare e delle finalità del trattamento. Il Garante richiama la rilevanza delle dichiarazioni rese, anche ai fini dell’art. 168 del Codice.

Sanzione e criteri di quantificazione

Richiamando l’art. 83 GDPR, il Garante ha considerato:

• la natura, gravità e durata della violazione;
• la responsabilità del titolare e la reiterata attenzione già riservata dall’Autorità all’obbligo informativo nella videosorveglianza;
• l’ampia platea di interessati potenzialmente coinvolta;
• l’assenza di precedenti specifici;
• la successiva conformazione del trattamento al quadro normativo.

All’esito, è stata determinata una sanzione amministrativa pecuniaria di euro 2.000,00.

Dispositivo e rimedi

Il Garante ha dichiarato l’illiceità del trattamento e ha ordinato il pagamento della sanzione di euro 2.000,00 entro 30 giorni dalla notifica, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice. È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale dell’Autorità, con omissione del nominativo del contravventore, e l’annotazione nel registro interno del Garante. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.