Ordinanza ingiunzione o revoca n. 86 del 12/02/2026

Videosorveglianza senza cartelli informativi in un esercizio pubblico: sanzione e ordine di adeguamento

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato dalla ditta individuale titolare di un esercizio pubblico a Varese, in relazione a un impianto di videosorveglianza installato nei locali dell’attività. Il procedimento è stato avviato a seguito di segnalazione della Questura e di verbale ispettivo che hanno accertato la presenza di telecamere attive in assenza di idonea informativa agli interessati.

Origine del procedimento

La Questura di Varese - Divisione Polizia amministrativa, sociale e dell’immigrazione ha segnalato al Garante, il 3 giugno 2025, un trattamento di dati personali effettuato senza informativa, in particolare senza cartelli informativi in forma semplificata, mediante un impianto di videosorveglianza installato presso l’esercizio denominato "Musa’s", sito in Varese, viale Borri 112.

Con successiva comunicazione del 27 agosto 2025 è stato trasmesso il verbale d’ispezione relativo al controllo del 22 maggio 2025, dal quale risultava che all’interno dei locali erano presenti tre telecamere, ma mancavano idonei cartelli informativi. Con nota del 7 ottobre 2025 l’Ufficio ha notificato al titolare l’avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy.

Il titolare non ha presentato scritti difensivi né ha fornito elementi utili a dimostrare l’adeguamento del trattamento.

Quadro normativo richiamato

Il Garante ha ricordato che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del GDPR e deve rispettare, tra gli altri, il principio di trasparenza di cui all’art. 5, par. 1, lett. a), nonché l’obbligo informativo previsto dall’art. 13.

Per i trattamenti mediante videosorveglianza, l’Autorità ha ribadito che gli interessati devono essere sempre informati prima di accedere all’area sorvegliata, tramite cartelli idonei a rendere percepibile la presenza del sistema. Sono state richiamate le indicazioni del Garante contenute nel provvedimento dell’8 aprile 2010, le FAQ in materia di videosorveglianza e le Linee guida n. 3/2019 del Comitato europeo per la protezione dei dati, secondo cui le informazioni essenziali devono essere riportate sul segnale di avvertimento di primo livello, con ulteriori dettagli eventualmente forniti con altri mezzi.

Accertamento della violazione

Dalla documentazione ispettiva e fotografica è emerso che l’impianto era attivo e funzionante, ma privo di idonei cartelli informativi. Il Garante ha quindi ritenuto che il trattamento non fosse conforme al quadro regolatorio e che la condotta fosse in contrasto con:

• il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• l’obbligo di informativa di cui all’art. 13, GDPR.

Il provvedimento richiama anche, in sede preliminare, gli artt. 5, 6 e 13 del GDPR nella contestazione avviata dall’Ufficio.

Valutazione sulla liceità e sui criteri sanzionatori

Il Garante ha confermato l’illiceità del trattamento, rilevando che l’omessa informativa incide su un adempimento di base, ampiamente chiarito da precedenti provvedimenti e dalla giurisprudenza richiamata. In sede di quantificazione della sanzione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• la natura colposa della condotta;
• la durata e gravità della violazione, anche in ragione della possibile ampia platea di interessati trattandosi di un esercizio pubblico;
• l’assenza di precedenti specifici a carico del titolare in materia di protezione dei dati personali.

Il Garante ha quindi ritenuto proporzionata e dissuasiva una sanzione pari a 1.000 euro.

Provvedimenti adottati

L’Autorità ha:

• dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR;
• ordinato il pagamento di 1.000 euro a titolo di sanzione amministrativa pecuniaria;
• ingiunto al titolare di conformare il trattamento al GDPR entro 30 giorni dalla notifica, predisponendo l’informativa agli interessati mediante idonea cartellonistica;
• disposto la pubblicazione del provvedimento sul sito del Garante, omessi i dati personali del legale rappresentante;
• ordinato l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per il ricorso.

Impugnazione

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.