Ordinanza ingiunzione o revoca n. 83 del 12/02/2026

Videosorveglianza illecita presso un esercizio commerciale e sanzione pecuniaria

Il Garante ha adottato un’ordinanza-ingiunzione nei confronti del titolare di un esercizio commerciale per un trattamento di dati personali effettuato mediante videosorveglianza ritenuto illecito. Il procedimento è stato avviato a seguito di una segnalazione della Polizia locale, che aveva accertato un impianto composto da quattro telecamere, con riprese anche della pubblica via e con possibili riprese di un lavoratore presente nel punto vendita.

Origine del procedimento e attività istruttoria

La segnalazione trasmessa alla Autorità derivava da un sopralluogo del 19 febbraio 2025 presso l’esercizio commerciale. Dalla documentazione acquisita è emerso che:

• il sistema di videosorveglianza era attivo e funzionante;
• non erano presenti cartelli informativi idonei;
• il titolare non risultava munito, al momento degli accertamenti, dell’autorizzazione dell’Ispettorato del Lavoro per la presenza di un lavoratore suscettibile di essere ripreso.

L’istanza di autorizzazione risulta essere stata trasmessa solo in data 26 febbraio 2025, quindi successivamente alle verifiche. Con nota dell’8 ottobre 2025 l’Ufficio ha notificato l’avvio del procedimento sanzionatorio ex art. 166, comma 5, del Codice privacy. Il titolare non ha presentato scritti difensivi.

Quadro normativo richiamato

Il Garante ha ribadito che la videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare, in particolare:

• il principio di liceità e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• l’obbligo informativo di cui all’art. 13 GDPR;
• la disciplina nazionale sui controlli a distanza dei lavoratori, in particolare l’art. 4 della l. 300/1970, richiamato dall’art. 114 del Codice privacy;
• l’art. 88 GDPR, che fa salve le norme nazionali più specifiche in materia di trattamento dei dati dei lavoratori.

L’Autorità ha inoltre richiamato il provvedimento generale dell’8 aprile 2010 in materia di videosorveglianza, le FAQ pubblicate sul sito del Garante e le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video.

Violazioni accertate

Secondo il Garante, il trattamento presentava plurime criticità:

• l’informativa agli interessati era inidonea, in violazione dell’art. 13 GDPR e del principio di trasparenza;
• le telecamere riprendevano aree pubbliche senza adeguata necessità dimostrata, con violazione degli artt. 5, par. 1, lett. a), e 6 GDPR;
• la videosorveglianza era stata installata e utilizzata in assenza di accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, in violazione dell’art. 4 l. 300/1970, dell’art. 114 del Codice privacy e dell’art. 88 GDPR.

Il Garante ha quindi dichiarato l’illiceità del trattamento ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR.

Valutazione della gravità e criteri sanzionatori

L’Autorità ha escluso che la violazione potesse essere considerata minore, valorizzando:

• la natura e la durata della violazione;
• il coinvolgimento anche di lavoratori;
• il grado di responsabilità del titolare;
• il fatto che la violazione fosse stata accertata tramite intervento della Polizia locale.

Ai fini della quantificazione della sanzione ex art. 83, par. 2, GDPR, sono state considerate inoltre:

• la natura pubblica dell’esercizio e l’ampiezza potenziale degli interessati;
• l’assenza di precedenti specifici a carico del titolare;
• la richiesta di autorizzazione all’Ispettorato del Lavoro presentata dopo l’accertamento, valutata come fattore attenuante.

Sanzione e prescrizioni

Il Garante ha determinato la sanzione amministrativa pecuniaria in euro 2.000,00, ritenendola proporzionata, effettiva e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Ha quindi:

• ordinato al titolare, ai sensi dell’art. 58, par. 2, lett. i), GDPR, il pagamento della somma di euro 2.000,00;
• ingiunto, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice privacy, il pagamento entro 30 giorni dalla notifica, con avvertenza sulle conseguenze esecutive ex art. 27 l. 689/1981;
• prescritto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, l’adeguamento del trattamento entro 30 giorni mediante:
  • idonea cartellonistica informativa;
  • orientamento delle telecamere in modo da non riprendere spazi pubblici.

Pubblicazione e tutela giurisdizionale

Il provvedimento dispone la pubblicazione sul sito del Garante, con omissione del nominativo del contravventore, e l’annotazione nel registro interno dell’Autorità. È inoltre indicata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.