Ordinanza ingiunzione o revoca n. 192 del 12/03/2026

Videosorveglianza in barberia senza informativa agli interessati

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti del titolare di una barberia, a seguito di un accertamento della Questura di Latina presso l’esercizio commerciale. Il procedimento riguarda l’uso di un impianto di videosorveglianza attivo e funzionante, privo di adeguata segnaletica informativa.

Origine del procedimento e fatti accertati

La segnalazione è pervenuta al Garante il 20 dicembre 2025, con trasmissione del verbale redatto in occasione del sopralluogo del 19 dicembre 2025 presso l’attività commerciale denominata "Almas Salon". Dal verbale è emerso che:

• era installata una telecamera in prossimità della cassa;
• era installata una telecamera all’esterno dell’attività, orientata sull’area d’ingresso;
• le immagini erano visibili tramite app sul cellulare del titolare;
• l’impianto era effettivamente funzionante;
• non erano presenti idonei cartelli informativi.

Avvio del procedimento e mancato riscontro del titolare

Sulla base di tali elementi, l’Ufficio ha notificato il 21 gennaio 2026 l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. Il titolare del trattamento non ha presentato scritti difensivi né ha fornito riscontro all’Autorità.

Quadro normativo richiamato

Il Garante ha ricordato che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare, tra l’altro, il principio di trasparenza di cui all’art. 5, par. 1, lett. a), e l’obbligo di informativa previsto dall’art. 13 GDPR. In particolare, chi accede a un’area videosorvegliata deve essere reso consapevole della presenza del sistema prima dell’ingresso, mediante cartelli informativi idonei.

Sono stati richiamati:

• il provvedimento generale del 8 aprile 2010 in materia di videosorveglianza;
• le FAQ del Garante sulla videosorveglianza;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, che prevedono un’informazione a due livelli e un segnale di avvertimento ben visibile, intelligibile e leggibile.

Valutazione dell’illiceità del trattamento

L’Autorità ha ritenuto che il trattamento, così come effettuato, non fosse conforme al quadro regolatorio applicabile perché l’impianto, pur attivo e funzionante, era sprovvisto di idonei cartelli informativi. La condotta è stata qualificata come contrastante con:

• il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• l’obbligo di informativa di cui all’art. 13 GDPR.

Il Garante ha inoltre osservato che non risultavano precedenti violazioni pertinenti a carico del titolare, ma la condotta poteva avere inciso su un’ampia platea di interessati, trattandosi di un esercizio aperto al pubblico.

Sanzione amministrativa pecuniaria

Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 800,00 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Nel quantificare la sanzione, l’Autorità ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la natura colposa della condotta;
• la durata e gravità della violazione;
• il potenziale coinvolgimento di un numero elevato di interessati;
• l’assenza di precedenti specifici;
• i principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Misure correttive ordinate

Ritenendo che non vi fossero elementi certi per affermare che la condotta illecita avesse esaurito i propri effetti, il Garante ha adottato anche una misura correttiva ex art. 58, par. 2, lett. d), GDPR. È stato quindi ordinato al titolare di:

• rendere il trattamento conforme al GDPR entro 30 giorni dalla notifica;
• installare idonei cartelli informativi in relazione alle telecamere;
• comunicare al Garante, entro lo stesso termine, le misure adottate ai sensi dell’art. 157 del Codice privacy.

È stato avvertito che, in caso di mancato adeguamento, si applicherà la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, GDPR.

Disposizioni finali

Il provvedimento dispone inoltre:

• la pubblicazione sul sito istituzionale del Garante, con omissione dei dati personali del legale rappresentante dell’impresa individuale;
• l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità.

Contro il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, oppure entro 60 giorni se il ricorrente risiede all’estero.