Ordinanza ingiunzione o revoca n. 530 del 14/07/2026

Sanzione per videosorveglianza non trasparente e ripresa della strada pubblica

Il provvedimento n. 530 del 14 luglio 2026 riguarda il titolare di un esercizio commerciale, destinatario di un’ordinanza ingiunzione per il trattamento di dati personali effettuato mediante un impianto di videosorveglianza. Il procedimento è stato avviato sulla base di una segnalazione della Polizia locale di Ravenna, conseguente a un sopralluogo svolto il 19 febbraio 2026.

Fatto e avvio del procedimento

Durante il sopralluogo è stato rilevato che i cartelli informativi dell’impianto indicavano come titolare del trattamento il nome di un esercizio commerciale precedentemente gestito dal medesimo soggetto. Dagli ulteriori accertamenti documentali è inoltre emerso che alcune telecamere non si limitavano a riprendere le aree di pertinenza dell’attività, ma potevano inquadrare aree private estranee e spazi pubblici, in particolare la strada limitrofa.

Il Garante ha notificato l’avvio del procedimento sanzionatorio il 10 aprile 2026, contestando la violazione degli artt. 5, par. 1, lett. a), 6 e 13 GDPR.

Difese del titolare e interventi successivi

Il titolare ha dichiarato che l’impianto era stato installato nel 2019 dopo episodi di furto e che, al momento del sopralluogo, si trovava in una fase di manutenzione e non era stabilmente attivo. Ha riferito che la riattivazione era avvenuta temporaneamente, su richiesta degli agenti, per consentire la verifica del funzionamento e la visione delle immagini disponibili.

Il titolare ha inoltre prodotto documentazione fotografica dalla quale risultavano, in un momento successivo all’accertamento:

• la modifica dei cartelli informativi, con l’indicazione corretta del titolare del trattamento;
• la limitazione delle inquadrature alle aree di pertinenza dell’esercizio.

Il Garante non ha ritenuto decisiva la circostanza che l’impianto fosse in manutenzione, poiché la temporanea indisponibilità stabile non impediva la sua attivazione in qualsiasi momento.

Disciplina applicabile

Il Garante ha qualificato l’utilizzo dell’impianto come trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR.

Con riferimento alla trasparenza, l’art. 5, par. 1, lett. a), GDPR impone che il trattamento sia lecito, corretto e trasparente. L’art. 13 GDPR richiede inoltre che agli interessati siano fornite le informazioni relative alle caratteristiche essenziali del trattamento. In materia di videosorveglianza, gli interessati devono essere informati del fatto che stanno per accedere a una zona videosorvegliata mediante un’idonea segnaletica.

Il provvedimento richiama:

• il provvedimento generale del Garante dell’8 aprile 2010, in particolare il punto 3.1 e il paragrafo 6.2.2.1;
• le FAQ del Garante in materia di videosorveglianza;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, con riferimento all’informativa di primo e secondo livello e all’uso di icone ai sensi dell’art. 12, par. 7, GDPR.

Quanto all’ambito delle riprese, il Garante ha ribadito che i soggetti privati che utilizzano la videosorveglianza per tutelare i propri beni e persone devono limitare l’acquisizione e, se del caso, la memorizzazione delle immagini alle sole aree di propria pertinenza, evitando la ripresa di vie, edifici e altri luoghi non rilevanti.

Violazioni accertate

Il Garante ha ritenuto accertate le seguenti violazioni:

• art. 13 GDPR, perché i cartelli informativi riportavano un titolare del trattamento non più attuale e risultavano quindi inidonei a informare correttamente gli interessati;
• art. 5, par. 1, lett. a), GDPR, per violazione dei principi di liceità e trasparenza;
• art. 6 GDPR, perché il sistema era idoneo a riprendere aree ulteriori rispetto a quelle necessarie per la tutela dell’esercizio, inclusa la strada pubblica.

Il trattamento è stato ritenuto illecito fino agli interventi correttivi documentati dal titolare.

Valutazione della gravità

Le violazioni non sono state considerate minori, tenuto conto della loro natura, gravità e durata, del grado di responsabilità del titolare e del fatto che l’Autorità era venuta a conoscenza dei fatti attraverso accertamenti della Polizia locale. Il Garante ha inoltre considerato che il trattamento poteva interessare un’ampia platea di persone, data la natura di esercizio aperto al pubblico dei luoghi videosorvegliati.

Il provvedimento richiama, a sostegno della rilevanza dell’obbligo informativo, precedenti provvedimenti del Garante e la giurisprudenza della Corte di cassazione, tra cui Cass. civ., sez. II, 2 settembre 2015, n. 17440, e Cass. civ., sez. II, 5 luglio 2016, n. 13633.

Sanzione e criteri di quantificazione

Ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha applicato la sanzione prevista dall’art. 83, par. 5, GDPR.

Nella quantificazione, effettuata secondo i criteri dell’art. 83, par. 2, GDPR e con l’obiettivo di assicurare una sanzione effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR, sono stati considerati:

• la natura, la gravità e la durata della violazione;
• la responsabilità connessa all’omessa informativa corretta;
• la possibile ampia platea di interessati;
• l’assenza di precedenti specifici a carico del titolare;
• la modifica successiva dei cartelli informativi;
• la limitazione successiva delle aree riprese alle sole pertinenze.

La sanzione è stata determinata in 700 euro.

Misure disposte e termini

Il Garante ha dichiarato illecito il trattamento e ha ordinato il pagamento di 700 euro ai sensi dell’art. 58, par. 2, lett. i), GDPR.

In caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, il pagamento deve essere effettuato entro 30 giorni dalla notifica del provvedimento. In caso di mancato pagamento, potranno essere adottati gli atti esecutivi previsti dall’art. 27 della legge n. 689/1981.

È stata inoltre disposta:

• la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR.

Impugnazione

Ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 1° settembre 2011, n. 150, il provvedimento può essere impugnato dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, a pena di inammissibilità. Il termine è elevato a 60 giorni per chi risiede all’estero.