Ordinanza ingiunzione o revoca n. 434 del 17/07/2025

Time Games srl: videosorveglianza illecita in esercizio commerciale e controllo a distanza dei lavoratori

Il Garante ha esaminato il trattamento di dati personali effettuato da Time Games srl mediante un impianto di videosorveglianza installato presso un esercizio commerciale a Fondi. L’istruttoria è nata da una segnalazione della Questura di Latina a seguito di un controllo di polizia, e ha riguardato sia la mancata informativa agli interessati sia il possibile controllo a distanza dei dipendenti senza la previa procedura di garanzia prevista dalla normativa lavoristica.

Origine del procedimento e accertamenti svolti

La Questura di Latina ha trasmesso al Garante il verbale relativo all’attività ispettiva del 17 dicembre 2024 svolta presso il locale "Time to Bar", gestito da Time Games srl. Nel corso del controllo è stata rilevata la presenza di otto telecamere funzionanti, con immagini visionabili dall’amministratore della società. La Questura ha segnalato anche l’assenza di cartelli informativi idonei e ha rappresentato che della presenza del sistema era stato informato anche l’Ispettorato territoriale del lavoro.

Per integrare gli elementi istruttori, l’Ufficio ha richiesto chiarimenti al titolare con nota del 1° aprile 2025. Nel riscontro del 24 aprile 2025, la società ha trasmesso planimetria, fotografie dell’inquadratura e documentazione relativa ai dipendenti, confermando che l’impianto copriva integralmente gli spazi dell’esercizio, compresa la zona banco e cassa. Ha inoltre dichiarato che i cartelli erano stati successivamente installati e che la richiesta di autorizzazione all’Ispettorato del lavoro era stata presentata il 23 aprile 2025.

Quadro normativo richiamato

Il Garante ha ribadito che l’utilizzo di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare i principi dell’art. 5, par. 1, lett. a), in particolare trasparenza e liceità. In relazione alla trasparenza, il titolare deve informare gli interessati in base all’art. 13 GDPR, anche mediante cartelli ben visibili prima dell’accesso alla zona videosorvegliata.

L’Autorità ha richiamato le proprie indicazioni in materia di videosorveglianza, le FAQ pubblicate sul sito istituzionale, il provvedimento dell’8 aprile 2010 e le linee guida EDPB n. 3/2019 sui trattamenti mediante dispositivi video, secondo le quali l’informativa deve essere resa in modo chiaro, leggibile e visibile, con indicazioni essenziali sul primo livello e ulteriori dettagli su secondo livello.

Quanto ai lavoratori, il provvedimento richiama l’art. 4 della legge n. 300/1970, reso applicabile dall’art. 114 del Codice privacy. Se gli impianti possono determinare anche un controllo a distanza dell’attività dei dipendenti, essi possono essere installati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e solo previa stipulazione di accordo sindacale o autorizzazione dell’Ispettorato del lavoro. Il Garante sottolinea che tale procedura è condizione indefettibile di liceità e tutela interessi collettivi e la dignità dei lavoratori.

Violazioni accertate

L’istruttoria ha accertato che, al momento del controllo, l’impianto era attivo e funzionante ma privo di idonei cartelli informativi. Per questo il Garante ha ritenuto violati:

• l’art. 13 GDPR;
• l’art. 5, par. 1, lett. a), GDPR, sotto il profilo della trasparenza.

Inoltre, poiché il sistema riprendeva anche le aree di lavoro e consentiva un possibile controllo a distanza dei dipendenti, il trattamento è stato ritenuto illecito anche per violazione:

• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo della liceità;
• dell’art. 114 del Codice privacy;
• dell’art. 4 della legge n. 300/1970, per mancanza, al momento del controllo, della previa autorizzazione o dell’accordo richiesto.

Valutazioni del Garante sull’illiceità

L’Autorità ha evidenziato che la successiva apposizione dei cartelli e la successiva attivazione della procedura presso l’Ispettorato del lavoro non eliminano l’illiceità del trattamento già posto in essere. Al momento dell’accertamento, infatti, mancava sia la trasparenza informativa verso gli interessati, sia la condizione di liceità necessaria per l’uso dell’impianto come strumento idoneo al controllo a distanza dei lavoratori.

Esito finale e adempimenti disposti

Il Garante, ai sensi degli artt. 57, par. 1, lett. f) e 83 GDPR, ha dichiarato l’illiceità del trattamento effettuato dal titolare. Non risultano nel testo riportato ulteriori misure correttive o una sanzione pecuniaria quantificata, ma il provvedimento dispone:

• la pubblicazione sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento n. 1/2019.

Impugnazione

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro trenta giorni dalla comunicazione, oppure entro sessanta giorni se il ricorrente risiede all’estero.