Ordinanza ingiunzione o revoca n. 429 del 11/06/2026

Ordinanza-ingiunzione per videosorveglianza illecita con audio e ripresa di spazi pubblici

Il Garante ha sanzionato il titolare di uno studio professionale per l’uso di un impianto di videosorveglianza installato all’esterno dell’immobile, idoneo a riprendere anche aree pubbliche e a captare il segnale audio. Il procedimento è stato avviato a seguito di accertamenti dei Carabinieri e si è concluso con un’ordinanza-ingiunzione ai sensi dell’art. 166 del Codice e dell’art. 58, par. 2, lett. i), GDPR.

Origine del procedimento e fatti accertati

Dalla documentazione acquisita risultava la presenza di tre telecamere funzionanti posizionate all’esterno dello studio, con riprese su spazi pubblici. Il sistema non era segnalato da idonei cartelli informativi ed era, secondo quanto dichiarato dal titolare, capace di registrare anche il segnale audio con conservazione per ventiquattro ore.

Difese del titolare e modifiche successive

Il titolare ha sostenuto che l’installazione fosse necessaria per finalità di sicurezza, a fronte di atti vandalici, del rinvenimento di un bossolo nelle vicinanze dell’ingresso e di una tentata effrazione. Ha riferito che, dopo gli accertamenti, le riprese erano state limitate alle sole pertinenze dell’immobile, i cartelli informativi erano stati apposti e la funzionalità audio disattivata. Ha inoltre richiamato l’adozione di ulteriori misure di sicurezza per l’accesso alle immagini.

Inquadramento giuridico del trattamento

Il Garante ha ribadito che la videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR, includendo nel caso concreto immagini e segnale audio. Ha escluso l’applicabilità dell’esenzione per attività esclusivamente personali o domestiche, poiché le riprese non erano limitate a spazi di pertinenza, ma interessavano anche aree pubbliche.

Violazioni riscontrate

L’Autorità ha contestato tre profili principali:

• violazione del principio di liceità, in quanto la sistematica osservazione di spazi pubblici da parte di un privato non può essere svolta autonomamente al di fuori delle condizioni previste dall’art. 6 GDPR;
• violazione del principio di minimizzazione, perché il trattamento non era limitato ai soli spazi di immediata pertinenza ed era inoltre comprensivo dell’audio, ritenuto eccedente rispetto alle finalità perseguite;
• violazione del principio di trasparenza e dell’art. 13 GDPR, per la mancata apposizione di idonea informativa mediante cartelli visibili e adeguatamente posizionati.

Valutazione del Garante

Il Garante ha ritenuto non superati i rilievi mossi con l’atto di avvio del procedimento. Ha sottolineato che la finalità di sicurezza, pur astrattamente legittima, consente solo una videosorveglianza proporzionata e limitata alle pertinenze del titolare, non estesa alla pubblica via né accompagnata dalla captazione audio. Ha inoltre evidenziato che la violazione non poteva essere qualificata come minore, tenuto conto della natura e gravità dei fatti, dell’estensione potenziale dei soggetti coinvolti e delle modalità con cui l’Autorità ne era venuta a conoscenza.

Sanzione amministrativa e criteri applicati

Ai fini della quantificazione della sanzione ex art. 83 GDPR, il Garante ha considerato:

• la natura, gravità e durata della violazione;
• la condotta colposa del titolare e l’inosservanza di obblighi in materia di videosorveglianza già ampiamente chiariti da provvedimenti generali e giurisprudenza consolidata;
• l’avvenuta captazione anche audio in spazi pubblici;
• l’assenza di precedenti specifici;
• la cooperazione prestata e l’adeguamento successivo dell’impianto.

In base a tali elementi, è stata irrogata una sanzione amministrativa pecuniaria pari a euro 1.000,00 per la violazione degli artt. 5, par. 1, lett. a) e 6, dell’art. 5, par. 1, lett. c), e degli artt. 5, par. 1, lett. a) e 13 GDPR.

Dispositivo e adempimenti conseguenti

Il provvedimento:

• dichiara l’illiceità del trattamento;
• ordina il pagamento della sanzione entro 30 giorni dalla notifica;
• richiama la possibilità di definizione agevolata ex art. 166, comma 8, Codice, con pagamento della metà della sanzione nei termini di legge;
• dispone la pubblicazione del provvedimento sul sito del Garante, con omissione dei dati personali del titolare e degli indirizzi;
• dispone l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate.

Rimedi

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.