Ordinanza ingiunzione o revoca n. 619 del 03/09/2026

Videosorveglianza negli spogliatoi della piscina gestita da A.S.I.S.

Il provvedimento riguarda l’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S.), titolare del trattamento presso il Centro sportivo Trento Nord, in località Gardolo. Il procedimento è stato avviato a seguito di notizie di stampa e segnalazioni relative alla presenza di telecamere negli spogliatoi destinati agli utenti della piscina.

Fatto e attività istruttoria

Dalle dichiarazioni rese dall’Azienda è emerso che, dal 2007, erano attive telecamere all’interno degli spogliatoi maschili e femminili, con inquadratura degli armadietti nei quali gli utenti depositavano i propri effetti personali. Secondo A.S.I.S., le telecamere non riprendevano cabine per il cambio, docce o servizi igienici e avevano la finalità di prevenire e accertare furti e danneggiamenti agli armadietti.

L’Azienda ha inoltre dichiarato che:

• la videosorveglianza era segnalata all’ingresso della struttura;
• le immagini erano conservate per 72 ore;
• non vi era visione in tempo reale tramite monitor periferici;
• soltanto due funzionari designati potevano trattare le immagini, su richiesta dell’autorità giudiziaria o di pubblica sicurezza;
• nel 2007 era stato sottoscritto un accordo con la rappresentanza sindacale aziendale ai sensi dell’art. 4 della legge n. 300/1970.

Con nota del 16 maggio 2026, l’Ufficio ha notificato l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice, contestando violazioni relative alla liceità, alla trasparenza e alla limitazione della conservazione.

Liceità, base giuridica e proporzionalità del trattamento

Il Garante ha richiamato gli artt. 5, par. 1, lett. a) e c), 6, parr. 1, lett. c) ed e), 24 e 25 GDPR, nonché l’art. 2-ter del Codice. Anche i soggetti pubblici possono trattare dati personali per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico, ma il trattamento deve comunque rispettare i principi di liceità, correttezza, trasparenza, minimizzazione, necessità e proporzionalità.

Il Garante ha ribadito che gli spogliatoi sono luoghi caratterizzati da una particolare aspettativa di riservatezza, intimità e tutela della dignità personale. Il richiamo è stato effettuato, tra l’altro, al provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e ai precedenti provvedimenti del 10 luglio 2014, n. 357, e del 4 dicembre 2008.

La collocazione delle telecamere negli spogliatoi è stata ritenuta, di regola, eccessivamente invasiva. La finalità di tutela del patrimonio, pur astrattamente legittima, non era sufficiente a giustificare la ripresa degli utenti durante la permanenza in tali locali, poiché sussisteva una sproporzione evidente tra la finalità perseguita e l’incidenza sui diritti e sulle libertà fondamentali.

L’Azienda non aveva inoltre dimostrato di avere valutato, prima dell’avvio del trattamento, alternative meno invasive e potenzialmente altrettanto efficaci, come l’utilizzo di lucchetti personali da parte degli utenti. La valutazione d’impatto sulla protezione dei dati si limitava ad affermare in modo apodittico che i dati erano pertinenti, adeguati e limitati a quanto necessario, senza documentare un effettivo confronto tra le diverse misure disponibili.

Rilevanza dell’accordo sindacale e disciplina sui lavoratori

L’Azienda aveva invocato l’accordo sindacale del 13 settembre 2007, stipulato ai sensi dell’art. 4 della legge n. 300/1970, relativo anche alle telecamere presenti negli spogliatoi del Centro sportivo Trento Nord.

Il Garante ha ricordato che l’art. 4 dello Statuto dei lavoratori, richiamato dall’art. 114 del Codice, disciplina il controllo indiretto dell’attività lavorativa e costituisce una disposizione interna specifica e di maggiore garanzia ai sensi dell’art. 88 GDPR. Tuttavia, l’accordo sindacale non può legittimare un trattamento contrario ai principi fondamentali di protezione dei dati, in particolare ai principi di necessità e proporzionalità di cui all’art. 5 GDPR.

Il Garante ha richiamato anche la sentenza della Corte di giustizia dell’Unione europea C-65/23, K GmbH, del 19 dicembre 2024, par. 59, e il proprio provvedimento del 29 gennaio 2026, n. 42.

Violazioni accertate sulla liceità

Il trattamento degli utenti mediante le telecamere installate negli spogliatoi è stato ritenuto effettuato:

• in violazione del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• in assenza di una valida base giuridica ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR;
• in violazione dell’art. 2-ter del Codice;
• in contrasto con i principi di necessità, minimizzazione e proporzionalità.

Trasparenza verso utenti e lavoratori

Il Garante ha richiamato le Linee guida EDPB 3/2019 sul trattamento dei dati personali attraverso dispositivi video, adottate il 29 gennaio 2020, in particolare i paragrafi 7, 113, 114 e 115, nonché il provvedimento generale del Garante dell’8 aprile 2010 e la FAQ n. 4 del 3 dicembre 2020.

L’utilizzo di sistemi video richiede un’informativa multilivello:

• un’informativa di primo livello, mediante cartello collocato prima dell’accesso alla zona sorvegliata, con le informazioni principali, tra cui finalità, identità del titolare, diritti degli interessati e, quando rilevante, periodo di conservazione;
• un’informativa di secondo livello, facilmente accessibile, contenente tutti gli elementi previsti dall’art. 13 GDPR.

Nel caso concreto, la segnaletica era stata collocata soltanto all’ingresso della struttura. Tale soluzione non permetteva agli interessati di comprendere che specifiche aree, e soprattutto gli spogliatoi, fossero soggette a videosorveglianza. Il cartello avrebbe dovuto essere collocato in modo da consentire agli utenti di riconoscere la sorveglianza prima di entrare nella zona interessata e di adeguare eventualmente il proprio comportamento.

Il Garante ha pertanto accertato la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR nei confronti degli utenti.

Quanto ai lavoratori, l’Azienda ha dichiarato di avere fornito una specifica informativa soltanto nel giugno 2026. Per il periodo precedente è stata quindi accertata la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Limitazione della conservazione

L’art. 5, par. 1, lett. e), GDPR impone che i dati siano conservati per un periodo non superiore a quello necessario rispetto alle finalità perseguite.

Richiamando il par. 121 delle Linee guida EDPB 3/2019, il Garante ha ricordato che, per finalità di tutela del patrimonio, le immagini dovrebbero nella maggior parte dei casi essere cancellate dopo pochi giorni, preferibilmente mediante meccanismi automatici. Quanto più lungo è il periodo di conservazione, soprattutto se superiore a 72 ore, tanto più puntuale deve essere la motivazione della necessità della conservazione.

A.S.I.S. conservava le immagini per 72 ore, ma non aveva documentato una valutazione preventiva sulla necessità di tale durata. Anche la valutazione d’impatto si limitava ad affermare genericamente che il periodo era limitato sulla base di norme o atti organizzativi, senza fornire una motivazione concreta.

È stata quindi accertata la violazione dell’art. 5, par. 1, lett. e), GDPR.

Misure adottate durante il procedimento

Dopo la contestazione, A.S.I.S. ha dichiarato di avere adottato diverse misure correttive e organizzative:

• disattivazione, il 18 maggio 2026, delle telecamere collocate negli spogliatoi;
• pianificazione e successiva rimozione dei dispositivi;
• revisione dei tempi di conservazione delle immagini, indicati in 12/24 ore per gli altri sistemi;
• aggiornamento della cartellonistica tra aprile e maggio 2026;
• predisposizione di informative di primo e secondo livello;
• pubblicazione dell’informativa sul sito aziendale;
• trasmissione ai lavoratori di una specifica informativa nel giugno 2026.

Il Garante ha considerato tali condotte, in particolare la disattivazione tempestiva delle telecamere e la collaborazione durante l’istruttoria, ma le ha ritenute insufficienti a escludere le violazioni già consumate. Poiché il trattamento era cessato e i dispositivi erano stati rimossi, non sono state tuttavia ritenute necessarie ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 3, GDPR, ritenendo che le violazioni derivassero da un’unica condotta o da trattamenti tra loro collegati. L’importo complessivo non poteva quindi superare il limite previsto per la violazione più grave.

Le violazioni sono state ricondotte all’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, del Codice, con un massimo teorico di 20.000.000 euro.

Nella determinazione della sanzione sono stati considerati i criteri dell’art. 83, par. 2, GDPR, tra cui:

• la durata del trattamento, protratto per un lungo periodo all’interno di spogliatoi;
• la particolare aspettativa di riservatezza degli interessati;
• il fatto che le telecamere inquadrassero soltanto gli armadietti e non cabine, docce o servizi igienici;
• il carattere colposo della violazione;
• l’assenza di finalità diretta di raccolta di categorie particolari di dati ai sensi dell’art. 9 GDPR;
• la gravità media della violazione, secondo le Linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie;
• la buona cooperazione con l’Autorità;
• la disattivazione delle telecamere pochi giorni dopo la contestazione;
• l’assenza di precedenti violazioni pertinenti.

Considerata anche la natura di ente strumentale del Comune di Trento, con una popolazione comunale di circa 119.000 abitanti, la sanzione è stata quantificata in 8.000 euro, ritenuti un importo effettivo, proporzionato e dissuasivo ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo e pubblicazione

Il Garante ha dichiarato illecito il trattamento effettuato da A.S.I.S. per la violazione degli artt. 5, par. 1, lett. a) ed e), 6, par. 1, lett. c) ed e), 12, par. 1, e 13 GDPR, nonché dell’art. 2-ter del Codice.

È stato ordinato il pagamento di 8.000 euro. Ai sensi dell’art. 166, comma 8, del Codice, l’Azienda può definire la controversia pagando entro 30 giorni un importo pari alla metà della sanzione. In mancanza, deve pagare l’intero importo entro 30 giorni dalla notificazione del provvedimento, con possibile riscossione coattiva ai sensi dell’art. 27 della legge n. 689/1981.

È stata inoltre disposta:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019;
• la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità ai sensi dell’art. 17 del Regolamento n. 1/2019.

Impugnazione

Il provvedimento può essere impugnato davanti all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011. Il ricorso deve essere proposto entro 30 giorni dalla comunicazione del provvedimento, ovvero entro 60 giorni se il ricorrente risiede all’estero.