Ordinanza ingiunzione o revoca n. 757 del 18/12/2025

Elba Catering Distribuzioni s.r.l.s. – videosorveglianza illecita, informativa inidonea e mancata autorizzazione per controlli a distanza

Il Garante per la protezione dei dati personali ha concluso un procedimento sanzionatorio nei confronti di una società che aveva installato e utilizzato un sistema di videosorveglianza presso il proprio punto vendita. Il procedimento è nato da una segnalazione della Polizia municipale e da successivi accertamenti della Guardia di finanza, dai quali sono emerse più criticità nella gestione dell’impianto.

Origine del procedimento e accertamenti istruttori

La segnalazione iniziale riguardava un sistema di videosorveglianza che, secondo il sopralluogo effettuato il 4 aprile 2023, riprendeva soprattutto la pubblica via. Gli accertamenti successivi hanno confermato che l’impianto era composto da 9 telecamere interne e 4 esterne, di cui 3 funzionanti, e che queste ultime inquadravano anche aree non di pertinenza della società.

La società ha rappresentato di aver installato le telecamere per contrastare vandalismi e piccoli furti, ma non ha fornito alcuna documentazione idonea a dimostrare la richiesta al Comune per l’istituzione di una zona di carico e scarico, né elementi concreti a supporto delle esigenze dedotte. Il titolare non ha inoltre presentato scritti difensivi nel procedimento sanzionatorio.

Informativa e principio di trasparenza

I cartelli di informativa breve risultavano posizionati in modo non adeguato e privi di tutte le informazioni richieste, in particolare dell’identificazione del titolare del trattamento. Il Garante ha quindi ravvisato la violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a), richiamando anche le indicazioni consolidate in materia di videosorveglianza, compresi il provvedimento generale dell’8 aprile 2010 e le Linee guida EDPB 3/2019.

Riprese della pubblica via e minimizzazione dei dati

Le telecamere esterne risultavano idonee a riprendere spazi pubblici in assenza di elementi giustificativi sufficienti. Per il Garante ciò ha determinato una violazione degli artt. 5, par. 1, lett. a) e c), e 6 GDPR: il trattamento era privo di un’adeguata base giuridica e non rispettava il principio di minimizzazione, perché eccedeva l’area effettivamente da proteggere.

Nella motivazione viene richiamato l’orientamento secondo cui, in via generale, la videosorveglianza per la tutela della proprietà deve arrestarsi ai confini della stessa, potendo estendersi alle immediate vicinanze solo in casi specifici e con adeguate misure di oscuramento o limitazione del campo visivo.

Controlli a distanza dei lavoratori

Dai verbali è emerso che il sistema poteva riprendere anche lavoratori presenti nell’area videosorvegliata. Il titolare, però, non era munito dell’autorizzazione dell’Ispettorato del lavoro né risultava un accordo con le rappresentanze sindacali, come richiesto dall’art. 4 della l. 300/1970.

Il Garante ha quindi ritenuto violati il principio di liceità di cui all’art. 5, par. 1, lett. a) GDPR, l’art. 114 del Codice privacy e l’art. 88 GDPR, ribadendo che le norme nazionali più specifiche in materia di lavoratori costituiscono condizione di liceità del trattamento derivante da sistemi di videosorveglianza potenzialmente idonei a effettuare controlli a distanza.

Responsabile del trattamento e gestione dell’impianto

La società aveva affidato a un installatore la progettazione, l’installazione e la gestione del sistema, compresa la possibilità di visualizzare da remoto le immagini tramite app sul telefono del legale rappresentante, senza formalizzare il rapporto con un atto di designazione del responsabile del trattamento. Il Garante ha ritenuto integrata la violazione dell’art. 28 GDPR, poiché mancava la disciplina contrattuale o altro atto giuridico idoneo a definire compiti, istruzioni e garanzie sufficienti del soggetto esterno.

Valutazione dell’illecito e sanzione

L’Autorità ha qualificato il trattamento come illecito per la pluralità di violazioni accertate: articoli 5, par. 1, lett. a) e c), 6, 13 e 28 GDPR, nonché artt. 114 del Codice privacy, 4 l. 300/1970 e 88 GDPR. La violazione non è stata considerata minore, in ragione della natura, gravità e durata del trattamento, del coinvolgimento dei lavoratori e dell’ampia platea di interessati interessata dalla videosorveglianza in un esercizio aperto al pubblico.

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la gravità dell’omessa e inidonea informativa;
• l’assenza di precedenti specifici a carico del titolare;
• la richiesta di autorizzazione presentata nel corso dell’accertamento;
• l’avvenuto pagamento della sanzione amministrativa irrogata dall’Ispettorato del lavoro di Livorno-Pisa.

La sanzione amministrativa pecuniaria è stata determinata in euro 2.000,00.

Ordini e misure correttive

Oltre alla sanzione, il Garante ha ordinato al titolare di conformare il trattamento entro 30 giorni dalla notifica del provvedimento, disponendo di:

• rendere l’informativa agli interessati tramite idonea cartellonistica;
• orientare le telecamere in modo da non riprendere spazi pubblici;
• disciplinare i trattamenti affidati al responsabile del trattamento secondo l’art. 28, par. 3, GDPR.

È stata inoltre disposta la pubblicazione del provvedimento sul sito istituzionale del Garante e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.