Ordinanza ingiunzione o revoca n. 300 del 17/04/2026

Videosorveglianza in esercizio commerciale senza informativa agli interessati

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da un titolare di un esercizio commerciale a Nettuno, relativo a un impianto di videosorveglianza composto da 25 telecamere. Il procedimento è stato avviato a seguito di una segnalazione della Polizia locale, che aveva trasmesso il verbale del sopralluogo del 19 luglio 2025.

Origine del procedimento e attività istruttoria

Dagli atti acquisiti è emerso che l’impianto risultava attivo e funzionante, ma privo di cartelli informativi della presenza delle telecamere. Durante il controllo, il funzionamento del sistema era comunque desumibile dalla visualizzazione delle immagini su un maxi-schermo collocato all’interno dell’esercizio e visibile agli avventori.

Con nota del 13 febbraio 2026, l’Ufficio ha notificato l’avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. Il titolare non ha presentato scritti difensivi né fornito elementi utili a dimostrare l’adeguamento del trattamento.

Quadro normativo richiamato

Il Garante ricorda che l’utilizzo di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare il principio di trasparenza di cui all’art. 5, par. 1, lett. a), nonché l’obbligo informativo previsto dall’art. 13 GDPR.

Per i sistemi video, gli interessati devono essere informati prima di accedere all’area sorvegliata, mediante cartelli idonei a renderli consapevoli della presenza del sistema. Sono richiamati:

• il provvedimento generale del Garante dell’8 aprile 2010 sulla videosorveglianza;
• le FAQ dell’Autorità in materia;
• le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, che prevedono un sistema informativo a due livelli e cartelli con le informazioni essenziali, ben visibili, intelligibili e leggibili.

Valutazioni del Garante sulla violazione

L’Autorità ha ritenuto che, nel caso concreto, l’assenza di idonei cartelli informativi rendesse illecito il trattamento. La mera presenza di un maxi-schermo interno, che mostrava le immagini riprese, non è stata considerata sufficiente, perché consente di percepire la videosorveglianza solo dopo l’accesso ai locali e non realizza integralmente l’informativa richiesta dall’art. 13 GDPR.

Il Garante ha quindi confermato la violazione del principio di trasparenza e dell’obbligo di informativa, dichiarando l’illiceità del trattamento.

Sanzione amministrativa pecuniaria

Ai fini della quantificazione della sanzione, il Garante ha considerato i criteri dell’art. 83, par. 2, GDPR e il principio di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1.

Sono stati valorizzati:

• la natura colposa della condotta;
• la possibile ampia platea di interessati, trattandosi di un esercizio aperto al pubblico;
• l’assenza di precedenti specifici a carico del titolare;
• la presenza del maxi-schermo visibile agli avventori come elemento attenuante.

La sanzione amministrativa pecuniaria è stata determinata in euro 3.000 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Misure correttive e adempimenti imposti

Oltre a dichiarare l’illiceità del trattamento, il Garante ha ordinato al titolare:

• di pagare la sanzione di euro 3.000 entro 30 giorni dalla notifica del provvedimento;
• di conformare il trattamento al GDPR entro 30 giorni, predisponendo idonea cartellonistica informativa ai sensi dell’art. 58, par. 2, lett. d), GDPR.

È stata inoltre richiamata la facoltà di definire la controversia con il pagamento di una somma pari alla metà della sanzione nei termini previsti dall’art. 166, comma 8, del Codice privacy e dall’art. 10 del d.lgs. 150/2011.

Ulteriori disposizioni

Il provvedimento dispone anche la pubblicazione sul sito del Garante, con omissione dei dati personali del legale rappresentante, e l’annotazione delle violazioni nel registro interno dell’Autorità. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini indicati dal Codice privacy e dal d.lgs. 150/2011.