Ordinanza ingiunzione o revoca n. 640 del 23/09/2026

Sanzione per informativa carente nella videosorveglianza di un’agenzia di autonoleggio

Il Garante ha sanzionato Automania s.r.l. per la carenza delle informazioni rese agli interessati in relazione a un impianto di videosorveglianza attivo presso l’agenzia di autonoleggio di Bari. Il procedimento è stato avviato sulla base di un accertamento della Polizia locale e si è concluso con l’irrogazione di una sanzione di 800 euro.

Fatti e procedimento

Con comunicazione del 5 marzo 2026, pervenuta al Garante il 9 marzo, la Polizia locale del Comune di Bari – Sezione Polizia Annonaria ha trasmesso il verbale di accertamento redatto il 17 novembre 2025, in seguito al sopralluogo del 4 settembre 2025 presso l’esercizio “Automania”. Il verbale riferiva che il cartello di area videosorvegliata non indicava il titolare del trattamento né il periodo di conservazione delle immagini e che non era presente l’informativa estesa.

Con nota del 1° luglio 2026, prot. n. 101356, l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. Nelle memorie del 29 luglio 2026, il titolare ha ricondotto l’omissione a una sottovalutazione degli obblighi informativi, negando l’intento di sottrarvisi. Ha dichiarato di avere sostituito il cartello e predisposto un’informativa estesa, precisando che gli interventi sono avvenuti dopo il sopralluogo.

La nuova cartellonistica indicava il titolare, la finalità, la base giuridica e il rinvio all’informativa estesa. Quest’ultima riportava anche le modalità del trattamento, i diritti degli interessati e la conservazione delle immagini per 48 ore, salvo richieste dell’Autorità giudiziaria.

Obblighi informativi nella videosorveglianza

Il Garante ha ricordato che l’utilizzo di sistemi di videosorveglianza comporta un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR ed è soggetto ai principi dell’art. 5. In particolare, il principio di trasparenza impone al titolare di fornire agli interessati le informazioni previste dall’art. 13.

Chi accede a una zona videosorvegliata deve essere informato della presenza del sistema. Le informazioni più rilevanti devono figurare sul cartello di primo livello; gli ulteriori dettagli possono essere messi a disposizione con modalità di secondo livello. Il Garante ha richiamato il punto 3.1 del provvedimento dell’8 aprile 2010, le FAQ in materia di videosorveglianza e il provvedimento del 6 luglio 2023, n. 293. Ha inoltre citato le Linee guida 3/2019 del Comitato europeo per la protezione dei dati, in particolare il punto 111 e seguenti, e il riferimento all’art. 12, par. 7, GDPR sull’uso di icone in combinazione con le informazioni.

L’indicazione dell’identità del titolare sul cartello è essenziale affinché gli interessati possano individuarlo e, ove necessario, esercitare i diritti previsti dagli artt. 15 e seguenti GDPR.

Violazioni accertate e valutazione del Garante

Sulla base del verbale, l’impianto era attivo e funzionante, ma i cartelli non riportavano né l’identità del titolare né i tempi di conservazione; inoltre, presso l’esercizio non era disponibile l’informativa estesa. Il Garante ha quindi confermato la violazione del principio di trasparenza di cui all’art. 5, par. 1, lett. a), e degli obblighi informativi dell’art. 13 GDPR.

Nel valutare la gravità concreta della condotta, il Garante ha considerato la natura colposa dell’omissione, benché gli obblighi informativi fossero già stati oggetto di numerosi provvedimenti dell’Autorità e di un consolidato orientamento giurisprudenziale. Ha inoltre rilevato che, trattandosi di un esercizio aperto al pubblico, la violazione poteva interessare un’ampia platea di persone. In senso attenuante ha considerato l’assenza di precedenti pertinenti e la cooperazione del titolare, che ha dichiarato di avere installato nuovi cartelli e predisposto l’informativa estesa.

Sanzione e disposizioni finali

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha dichiarato illecito il trattamento e ha ordinato il pagamento di 800 euro per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR. La quantificazione è stata effettuata considerando i criteri dell’art. 83, par. 2, e l’esigenza che la sanzione sia effettiva, proporzionata e dissuasiva ai sensi del par. 1.

Il pagamento deve essere effettuato entro 30 giorni dalla notifica, secondo le modalità indicate nell’atto; in mancanza, possono essere avviati gli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Ai sensi dell’art. 166, comma 8, del Codice, il trasgressore può definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. n. 150/2011 per proporre ricorso.

Il provvedimento dispone inoltre la pubblicazione sul sito del Garante, con omissione dei dati personali del legale rappresentante, e l’annotazione della violazione e delle misure nel registro interno dell’Autorità. È ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, elevati a 60 giorni per chi risiede all’estero.