Ordinanza ingiunzione o revoca n. 281 del 17/04/2026

Io e te s.r.l.s. - videosorveglianza in esercizio commerciale senza informativa e senza autorizzazione

Il Garante per la protezione dei dati personali ha esaminato un trattamento di videosorveglianza effettuato all’interno di un esercizio di vicinato, accessibile anche da remoto dal titolare tramite smartphone. Il procedimento è stato avviato a seguito di un verbale trasmesso dalla Polizia Locale di Jesi dopo un sopralluogo del 9 settembre 2025.

Origine del procedimento e accertamenti

Dalla documentazione acquisita è emerso che, presso il negozio, era installata una telecamera funzionante. Le immagini erano visualizzabili dal titolare anche a distanza tramite app su dispositivo telefonico. Al momento del controllo l’impianto risultava installato:

• senza cartelli informativi;
• senza autorizzazione del competente Ispettorato Territoriale del Lavoro.

Con nota del 6 febbraio 2026 l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice. Il titolare ha presentato scritti difensivi il 9 marzo 2026, affermando che i dipendenti erano a conoscenza della telecamera, che l’impianto era stato rimosso il giorno stesso del sopralluogo e che il trattamento era durato circa tre mesi.

Qualificazione giuridica del trattamento

Il Garante ha ribadito che l’uso di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR, anche quando le immagini siano solo visionate da remoto e non registrate. Il trattamento deve quindi rispettare:

• il principio di liceità e trasparenza di cui agli artt. 5, par. 1, lett. a), e 13 GDPR;
• l’art. 6 GDPR;
• l’art. 88 GDPR;
• l’art. 114 del Codice privacy, che richiama l’art. 4 della l. 300/1970.

Per i trattamenti che comportano controllo a distanza dei lavoratori, l’installazione è legittima solo se preceduta da accordo sindacale oppure, in mancanza, da autorizzazione dell’Ispettorato del lavoro. Il provvedimento sottolinea che tale procedura è una condizione indefettibile e che la violazione è anche penalmente sanzionata dall’art. 171 del Codice.

Violazioni riscontrate

L’Autorità ha accertato che l’impianto, al momento del controllo, era illecito perché mancavano sia l’autorizzazione dell’Ispettorato del lavoro sia l’informativa agli interessati. In particolare, il Garante ha rilevato che la mera consapevolezza dei dipendenti circa la presenza della telecamera non esimeva il titolare dall’adempimento degli obblighi di legge.

Le violazioni contestate sono state ricondotte alla contrarietà rispetto a:

• artt. 5, par. 1, lett. a), 6 e 88 GDPR;
• art. 13 GDPR;
• art. 114 Codice privacy;
• art. 4 l. 300/1970.

Valutazione della gravità e criteri di quantificazione

Nel determinare la risposta sanzionatoria il Garante ha richiamato i criteri dell’art. 83 GDPR, valorizzando:

• la natura colposa della condotta;
• l’ampiezza potenziale della platea degli interessati, trattandosi di un esercizio aperto al pubblico;
• il fatto che l’obbligo informativo e le garanzie per i lavoratori erano già da tempo oggetto di provvedimenti dell’Autorità e di consolidata giurisprudenza.

Sono stati considerati attenuanti:

• l’assenza di precedenti specifici;
• la cooperazione del titolare;
• la rimozione dell’impianto;
• la limitata durata del trattamento, pari a circa tre mesi.

Decisione finale

Il Garante ha dichiarato l’illiceità del trattamento e ha adottato un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice. È stata irrogata una sanzione amministrativa pecuniaria di 2.000 euro per la violazione degli artt. 5, par. 1, lett. a) e f), 13, 32 GDPR e 114 Codice privacy, con pagamento entro 30 giorni dalla notifica.

È stata inoltre riconosciuta la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine per il ricorso. Il Garante ha disposto la pubblicazione del provvedimento sul proprio sito e l’annotazione delle violazioni nel registro interno dell’Autorità. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.