Ordinanza ingiunzione o revoca n. 43 del 29/01/2026

Ministero della Cultura - videosorveglianza nel Museo Archeologico Nazionale di Campobasso

Il provvedimento riguarda il trattamento di dati personali effettuato mediante un sistema di videosorveglianza installato presso il Museo Archeologico Nazionale di Campobasso, in capo al Ministero della Cultura - Direzione Regionale Musei Nazionale Molise. L’istruttoria origina da un reclamo di un lavoratore che ha contestato l’uso delle immagini per fini disciplinari e la mancata osservanza della disciplina sui controlli a distanza e sulla trasparenza del trattamento.

Origine del procedimento e fatti contestati

L’interessato ha lamentato di essere stato destinatario di un provvedimento disciplinare fondato su filmati acquisiti tramite telecamere installate nel museo. Secondo il reclamo, l’impianto sarebbe stato attivato in violazione dell’art. 4 della l. n. 300/1970 e dell’art. 114 del Codice privacy, oltre che senza adeguata informativa verso lavoratori, visitatori e altre categorie di persone riprese.

L’Autorità ha quindi avviato un procedimento ex art. 166, comma 5, Codice privacy, contestando al titolare:

• il trattamento tramite telecamere attivate in luogo di lavoro in modo non conforme ai principi di liceità, correttezza e trasparenza e senza base giuridica;
• l’uso dei filmati a fini disciplinari in assenza dei presupposti di liceità;
• la carenza di trasparenza verso visitatori e lavoratori;
• l’omessa valutazione di impatto sulla protezione dei dati.

Quadro normativo richiamato

Il Garante ha richiamato in particolare:

• gli artt. 5, par. 1, lett. a) e b), 6, 12, 13, 35, 88 e 83 GDPR;
• l’art. 114 del Codice privacy;
• l’art. 4, comma 1, e il comma 3, della l. n. 300/1970;
• l’art. 2-decies Codice privacy, in tema di inutilizzabilità dei dati raccolti in violazione della disciplina;
• le Linee guida 3/2019 del Comitato europeo per la protezione dei dati sui dispositivi video;
• il Provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010;
• la FAQ del Garante in materia di videosorveglianza e la giurisprudenza e prassi amministrativa richiamate nel provvedimento.

Liceità del trattamento e controlli a distanza

Il titolare ha dichiarato che il sistema di videosorveglianza era stato avviato per la tutela del patrimonio culturale, la sicurezza del personale e il supporto alle attività lavorative, richiamando anche l’art. 1, comma 1, del d.l. n. 433/1992. Ha altresì riferito che una telecamera riprendeva, con angolo grandangolare, parte della pubblica via e un fabbricato privato, poi parzialmente oscurati e ridotti nel campo visivo.

Il Garante ha però rilevato che, in ambito lavorativo, la videosorveglianza idonea a riprendere i lavoratori richiede il rispetto delle garanzie dell’art. 4 Statuto dei lavoratori. Anche in presenza di disposizioni settoriali che autorizzino o impongano sistemi audiovisivi per la tutela di beni culturali, la procedura di garanzia resta necessaria quando vi siano lavoratori. Nel caso concreto, l’accordo sindacale ex art. 4 è stato sottoscritto solo il 25 giugno 2025, cioè dopo l’avvio dell’istruttoria.

Per tale ragione, il trattamento è stato ritenuto illecito fino a quella data, in violazione degli artt. 5, par. 1, lett. a), 6 e 88, par. 1, GDPR, nonché dell’art. 114 Codice privacy.

Trasparenza verso interessati, visitatori e lavoratori

Quanto alla trasparenza, il titolare ha sostenuto di aver pubblicato l’informativa di secondo livello sui siti istituzionali e di aver apposto cartelli informativi, sostituiti nel tempo. Ha inoltre affermato che i cartelli aggiornati erano stati installati nel maggio 2025.

Il Garante ha ricordato che, per i sistemi video, sono necessarie informative stratificate:

• un’informativa di primo livello tramite cartello vicino all’area sorvegliata;
• un’informativa di secondo livello facilmente accessibile, recante tutti gli elementi dell’art. 13 GDPR.

Nel caso esaminato, non è stata provata la presenza di una segnaletica adeguata prima del 12 maggio 2025, data in cui - secondo quanto emerso - sono stati installati i cartelli. È stato inoltre evidenziato che l’attuale cartello riportava un riferimento errato al “responsabile trattamento dati” invece del responsabile della protezione dei dati. Quanto all’informativa estesa, non è stata chiarita la data di pubblicazione e, in ogni caso, non è stato provato che i lavoratori avessero ricevuto una specifica informativa dedicata.

Il Garante ha quindi concluso per la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Utilizzo delle immagini per finalità disciplinari

Dagli atti è emerso che le immagini del sistema di videosorveglianza erano state acquisite e conservate per supportare un procedimento disciplinare nei confronti del reclamante, con riferimento a un episodio specifico e sulla base del confronto tra filmati e timbrature registrate.

L’Autorità ha osservato che il trattamento ulteriore dei dati per finalità disciplinari è ammissibile solo se i dati sono stati raccolti lecitamente e nel rispetto delle regole speciali sui controlli a distanza e dell’informativa ai lavoratori. Poiché il sistema era stato attivato senza il previo rispetto dell’art. 4, comma 1, l. n. 300/1970 e senza idonea informativa, l’uso delle immagini a fini disciplinari è stato ritenuto a sua volta illecito.

Il Garante ha escluso che l’eccezionalità dell’episodio o la lievità della sanzione disciplinare possano incidere sulla sussistenza della violazione, affermando così la violazione degli artt. 5, par. 1, lett. a), 6 e 88 GDPR, nonché dell’art. 114 Codice privacy.

Valutazione di impatto sulla protezione dei dati

Secondo il Garante, il titolare avrebbe dovuto effettuare una DPIA prima di avviare il trattamento, sia perché la videosorveglianza integrava una sorveglianza sistematica su area accessibile al pubblico, sia perché coinvolgeva lavoratori, soggetti considerati vulnerabili ai fini dell’analisi del rischio.

Il titolare ha ammesso che la valutazione di impatto era ancora in fase di predisposizione. L’omissione è stata quindi qualificata come violazione dell’art. 35 GDPR. Il provvedimento richiama anche il tema dei tempi di conservazione delle immagini, indicati in sette giorni, osservando che una DPIA avrebbe consentito di valutare anche la necessità e proporzionalità di tale periodo.

Valutazione complessiva dell’illiceità e assenza di ulteriori misure correttive

Il Garante ha ritenuto che le violazioni derivassero da un’unica condotta o da trattamenti strettamente collegati. Pur rilevando l’illiceità complessiva del trattamento ai sensi degli artt. 5, 6, 12, 13, 35 e 88 GDPR e 114 Codice privacy, ha osservato che la condotta aveva esaurito i suoi effetti, poiché il titolare aveva dichiarato di aver successivamente stipulato l’accordo sindacale, aggiornato l’informativa e avviato la DPIA.

Per questa ragione, non sono state adottate ulteriori misure correttive ex art. 58, par. 2, GDPR.

Sanzione amministrativa pecuniaria

Ai fini sanzionatori, il Garante ha applicato l’art. 83, par. 3, GDPR, individuando come più grave la violazione relativa ai principi di liceità e trasparenza e alla base giuridica del trattamento, sanzionabile ai sensi dell’art. 83, par. 5, GDPR, con importo massimo astratto fino a 20.000.000 euro.

Nella quantificazione concreta sono stati considerati i seguenti elementi ex art. 83, par. 2, GDPR:

• durata del trattamento, già in essere prima del 2024 e quindi per un arco temporale esteso;
• numero elevato di interessati coinvolti;
• trattamento di dati relativi anche a soggetti vulnerabili, inclusi i lavoratori;
• carattere colposo della violazione;
• gravità complessiva elevata;
• assenza di precedenti specifici;
• buona cooperazione del titolare;
• limitazione della violazione a una sola struttura museale.

La sanzione è stata determinata in euro 12.000, ritenuta effettiva, proporzionata e dissuasiva.

Esito e dispositivi finali

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dal Ministero della Cultura - Direzione Regionale Musei Nazionale Molise (Museo Archeologico Nazionale di Campobasso);
• ordinato il pagamento di euro 12.000 a titolo di sanzione amministrativa pecuniaria;
• indicato la facoltà di definizione agevolata mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione;
• ingiunto il pagamento integrale entro 30 giorni dalla notificazione in caso di mancata definizione;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• disposto l’annotazione nel registro interno delle violazioni e delle misure adottate.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011.