Provvedimenti n. 137 del 13/03/2025

Videosorveglianza senza cartelli informativi presso un minimarket

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato dalla impresa individuale Jaman Zayed presso il pubblico esercizio denominato "Minimarket di Jaman Zayed", in relazione a un impianto di videosorveglianza attivo e funzionante ma privo di idonea informativa. Il procedimento trae origine da un controllo della Questura di Roma – VI Distretto di Pubblica Sicurezza "Casilino".

Origine del procedimento e fatti accertati

La Questura ha trasmesso all’Autorità il verbale del controllo eseguito il 7 ottobre 2022 presso l’esercizio commerciale sito in Roma, via Don Primo Mazzolari 238. Nel corso dell’accertamento è stata rilevata la presenza di un impianto di videosorveglianza composto da 6 telecamere, regolarmente funzionante, ma senza che fossero presenti idonei cartelli informativi della presenza delle telecamere.

L’Ufficio del Garante ha quindi avviato il procedimento sanzionatorio con nota del 5 dicembre 2022, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR. Il titolare del trattamento non ha presentato scritti difensivi né documentazione nel corso del procedimento.

Quadro normativo richiamato

Il provvedimento richiama il carattere di trattamento di dati personali proprio della videosorveglianza quando le telecamere riprendano persone identificabili, e ribadisce che il trattamento deve rispettare i principi generali dell’art. 5 GDPR, in particolare il principio di trasparenza.

Sono richiamati:

• l’art. 13 GDPR, che impone al titolare di fornire agli interessati le informazioni sulle caratteristiche essenziali del trattamento;
• il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010;
• le FAQ dell’Autorità in materia di videosorveglianza;
• le Linee guida EDPB n. 3/2019 sul trattamento tramite dispositivi video, secondo cui le informazioni essenziali devono essere fornite sul segnale di avvertimento stesso, con eventuali dettagli ulteriori forniti con altri mezzi.

Il Garante richiama anche il principio per cui i cartelli devono essere collocati in modo da consentire all’interessato di accorgersi della sorveglianza prima di entrare nell’area videosorvegliata.

Valutazione del Garante sulla violazione

All’esito dell’istruttoria, è stato accertato che l’impianto era attivo ma mancava qualsiasi cartello contenente l’informativa prevista dall’art. 13 GDPR. Il trattamento è stato pertanto dichiarato illecito per violazione:

• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo della trasparenza;
• dell’art. 13 GDPR, per omessa informativa agli interessati.

Il Garante ha inoltre precisato che la violazione non poteva essere considerata "minore", tenuto conto della natura, gravità e durata della violazione, del grado di responsabilità e delle modalità con cui l’Autorità è venuta a conoscenza dei fatti.

Provvedimenti correttivi e sanzionatori

L’Autorità ha adottato i seguenti provvedimenti:

• dichiarazione di illiceità del trattamento, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR;
• ingiunzione, ai sensi dell’art. 58, par. 2, lett. d), GDPR, a procedere all’applicazione di idonei cartelli recanti le informazioni sul trattamento;
• ordinanza ingiunzione, ai sensi dell’art. 58, par. 2, lett. i), GDPR, per l’applicazione di una sanzione amministrativa pecuniaria.

Il testo fornito non riporta l’importo della sanzione, essendo presente un omissis nella parte relativa alla quantificazione.

Adempimenti successivi, pubblicazione e ricorso

Il Garante ha disposto:

• la pubblicazione del provvedimento sul sito istituzionale, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento n. 1/2019.

È stato inoltre imposto di comunicare le iniziative adottate per dare attuazione al provvedimento e di fornire riscontro documentato entro 90 giorni dalla notifica, ai sensi dell’art. 157 del Codice. Il mancato riscontro può comportare l’applicazione della sanzione di cui all’art. 83, par. 5, lett. e), GDPR.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150.