Ordinanza ingiunzione o revoca n. 283 del 17/04/2026

Videosorveglianza in esercizio commerciale senza informativa e senza autorizzazione lavoristica

Il provvedimento riguarda l’impresa individuale "Pak Store" e un impianto di videosorveglianza installato nel punto vendita, puntato verso il bancone cassa e accessibile anche da remoto dal titolare. Il procedimento è stato avviato a seguito di un sopralluogo della Guardia di Finanza e ha condotto all’irrogazione di una sanzione amministrativa, con prescrizioni correttive e limitative del trattamento.

Origine del procedimento e contenuto degli accertamenti

Con nota del 31 ottobre 2025 la Guardia di Finanza ha trasmesso al Garante il verbale di operazioni compiute redatto dopo il sopralluogo del 21 ottobre 2025 presso l’esercizio commerciale. Dal verbale è emerso che il sistema di videosorveglianza:

• era puntato verso il bancone dove i clienti effettuano i pagamenti, con finalità dichiarata di prevenire contestazioni;
• non era segnalato da idonei cartelli informativi;
• era privo della necessaria autorizzazione del competente Ispettorato del lavoro, nonostante la presenza di un lavoratore dipendente nell’area ripresa.

È stato inoltre accertato che il titolare accedeva alle immagini da remoto tramite un’app installata sul proprio smartphone.

Avvio del procedimento sanzionatorio

Con nota del 16 febbraio 2026 l’Ufficio ha notificato al titolare del trattamento l’avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione:

• del principio di trasparenza di cui agli artt. 5, par. 1, lett. a), e 13 GDPR;
• del principio di liceità di cui agli artt. 5, par. 1, lett. a), e 6 GDPR;
• dell’art. 114 del Codice privacy, in relazione all’art. 4 dello Statuto dei lavoratori;
• dell’art. 88 GDPR, quale norma di raccordo con la disciplina nazionale più specifica in materia di lavoratori.

Il titolare non ha presentato scritti difensivi né altri riscontri.

Inquadramento giuridico della videosorveglianza

Il Garante ribadisce che l’uso di un sistema di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR, anche quando la raccolta delle immagini sia accompagnata dalla sola visualizzazione da remoto mediante smartphone.

Il trattamento, quando può comportare controllo a distanza dell’attività dei dipendenti, deve rispettare l’art. 88 GDPR e l’art. 114 del Codice privacy, che impongono l’osservanza dell’art. 4 l. 300/1970. In base a tale norma, gli impianti possono essere impiegati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, ma la loro installazione richiede:

• un accordo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali; oppure
• in mancanza di accordo o di rappresentanze, l’autorizzazione dell’Ispettorato del lavoro.

Il provvedimento sottolinea che tale procedura di garanzia è indefettibile e la sua violazione è penalmente sanzionata dall’art. 171 del Codice.

Obblighi informativi e principio di trasparenza

Sul versante della trasparenza, il Garante richiama l’art. 13 GDPR e afferma che, nel contesto della videosorveglianza, gli interessati devono essere informati che stanno per accedere a una zona videosorvegliata. Per questo sono necessari cartelli informativi idonei, posti in modo visibile prima dell’ingresso nell’area sorvegliata.

Il provvedimento richiama le indicazioni del Garante in materia di videosorveglianza, le FAQ dell’Autorità e le Linee guida EDPB n. 3/2019 sui trattamenti mediante dispositivi video, che prevedono un sistema informativo su due livelli: le informazioni essenziali sul cartello e i dettagli ulteriori con altri mezzi.

Illiceità accertata

L’istruttoria ha confermato che l’impianto era attivo e funzionante, ma:

• era privo, al momento del controllo, della necessaria autorizzazione dell’Ispettorato del lavoro;
• era privo di idonea cartellonistica informativa.

Il Garante ha quindi ritenuto il trattamento illecito per violazione degli artt. 5, par. 1, lett. a), 13 e 88 GDPR e dell’art. 114 del Codice privacy, in relazione all’art. 4 l. 300/1970.

Valutazione della gravità e quantificazione della sanzione

Ai fini della quantificazione della sanzione ex art. 83 GDPR, l’Autorità ha considerato:

• la natura colposa della condotta, soprattutto in relazione all’omessa informativa, oggetto di consolidata attenzione del Garante e della giurisprudenza;
• la possibile ampia platea di interessati, trattandosi di un esercizio aperto al pubblico;
• la responsabilità connessa alla mancata osservanza delle garanzie lavoristiche;
• l’assenza di precedenti specifici a carico del titolare, valutata come elemento attenuante.

In applicazione dei principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR, è stata determinata una sanzione amministrativa pecuniaria pari a euro 2.000,00.

Dispositivo: sanzione, ordini e divieti

Il Garante:

• dichiara l’illiceità del trattamento;
• ordina al titolare di pagare la sanzione amministrativa pecuniaria di euro 2.000,00;
• ingiunge il pagamento entro 30 giorni dalla notifica, con richiamo alla facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine per proporre ricorso;
• ordina, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare il trattamento rendendo l’informativa agli interessati tramite idonea cartellonistica entro 30 giorni;
• dispone, ai sensi dell’art. 58, par. 2, lett. f), GDPR, la limitazione del trattamento con divieto di utilizzo dell’impianto nei termini indicati in motivazione fino all’ottenimento dell’autorizzazione prevista dall’art. 4, comma 1, l. 300/1970.

Pubblicazione e tutela giurisdizionale

Il provvedimento dispone la pubblicazione sul sito del Garante, con omissis dei dati personali del legale rappresentante, tenuto conto della natura reiterata delle violazioni e del numero di soggetti coinvolti, inclusi i lavoratori. È inoltre disposta l’annotazione nel registro interno dell’Autorità.

Avverso il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.