Ordinanza ingiunzione o revoca n. 396 del 28/05/2026

Rosetta Trastevere s.r.l.s. sanzionata per videosorveglianza senza adeguata informativa

Il Garante per la protezione dei dati personali ha adottato un’ordinanza-ingiunzione nei confronti della società titolare di un esercizio commerciale a Roma, per l’uso di un impianto di videosorveglianza privo di idonei cartelli informativi. Il procedimento è stato avviato a seguito di una segnalazione della Questura di Roma – Commissariato di P.S. Trastevere, che aveva rilevato l’assenza di cartellonistica sia interna sia esterna ai locali.

Origine del procedimento e accertamenti svolti

La documentazione trasmessa all’Autorità riferiva il verbale di sopralluogo del 10 ottobre 2025 presso il laboratorio artigianale/esercizio di vicinato "La Fornarina", sito in Roma, via del Moro 36. In sede di integrazione documentale è emerso che il titolare del trattamento aveva richiesto in data 21 maggio 2025 l’autorizzazione all’installazione dell’impianto di videosorveglianza al competente Ispettorato del lavoro.

Con nota del 16 febbraio 2026, ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha notificato l’avvio del procedimento sanzionatorio per violazione del principio di trasparenza di cui agli artt. 5, par. 1, lett. a), e 13 GDPR. Il titolare ha presentato scritti difensivi l’11 marzo 2026, evidenziando le ridotte dimensioni del locale, la difficoltà economica dell’impresa e l’avvenuta installazione, subito dopo l’accertamento, di cartelli informativi fissi all’interno e all’esterno del locale.

Quadro normativo richiamato

Il Garante ha ribadito che l’utilizzo di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve essere conforme ai principi del Regolamento, con particolare riferimento:

• all’art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• all’art. 13 GDPR, che impone al titolare di fornire agli interessati le informazioni sulle caratteristiche essenziali del trattamento;
• all’art. 58, par. 2, lett. d) e i), GDPR, per gli ordini correttivi e l’irrogazione della sanzione;
• all’art. 83 GDPR, per i criteri di applicazione e quantificazione della sanzione.

Sono inoltre richiamate le indicazioni del Garante in materia di videosorveglianza, le FAQ pubblicate sul sito istituzionale e le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali tramite dispositivi video, secondo cui le informazioni principali devono essere rese attraverso il segnale di avvertimento di primo livello, collocato in modo visibile prima dell’accesso alla zona videosorvegliata.

Valutazioni del Garante sulla violazione

Dall’istruttoria è risultato che l’impianto di videosorveglianza era attivo e funzionante ma privo di idonei cartelli informativi. Tale omissione è stata ritenuta in contrasto con l’obbligo di informativa ex art. 13 GDPR e, più in generale, con il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Il Garante ha precisato che la cartellonistica semplificata disponibile dopo l’intervento conteneva il pittogramma della telecamera, l’avviso di area videosorvegliata e l’indicazione della finalità generica di sicurezza, ma risultava ancora incompleta perché priva dell’identità del titolare del trattamento e dell’indicazione dell’esistenza dei diritti dell’interessato.

Elementi considerati per la sanzione

Ai fini della quantificazione della sanzione, l’Autorità ha valutato, in applicazione dell’art. 83, par. 1 e 2, GDPR:

• la natura colposa della condotta;
• la durata della violazione nel periodo accertato;
• l’ampia platea di interessati potenzialmente coinvolta, trattandosi di esercizio aperto al pubblico;
• l’assenza di precedenti specifici a carico del titolare;
• la cooperazione dimostrata dalla società, che ha dichiarato di aver installato nuovi cartelli;
• le condizioni economiche dell’esercizio commerciale, ritenute rilevanti per la proporzionalità della sanzione.

Il Garante ha richiamato il principio per cui la sanzione deve essere, in ogni singolo caso, effettiva, proporzionata e dissuasiva.

Dispositivo

L’Autorità ha dichiarato l’illiceità del trattamento effettuato mediante il sistema di videosorveglianza in assenza dell’informativa richiesta dal GDPR e ha ordinato il pagamento della sanzione amministrativa pecuniaria di 700 euro.

È stato inoltre ingiunto al titolare di:

• versare la sanzione entro 30 giorni dalla notifica del provvedimento, secondo le modalità indicate, con avvertimento sugli ulteriori atti esecutivi in caso di mancato pagamento;
• adeguare la cartellonistica semplificata relativa ai trattamenti tramite videosorveglianza, integrandola almeno con l’indicazione del titolare del trattamento e conformandola alle linee guida richiamate.

Ulteriori disposizioni

Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito internet, con omissione dei dati personali del legale rappresentante dell’impresa individuale titolare del trattamento, e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità. Contro il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria nei termini previsti dall’art. 78 GDPR, dagli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011.