Ordinanza ingiunzione o revoca n. 604 del 06/08/2026

Videosorveglianza in un pubblico esercizio: informativa, audio e garanzie sul lavoro

Il Garante ha esaminato il trattamento effettuato dal titolare del Ristorante Luna mediante due telecamere installate all’interno dell’esercizio. Il procedimento è stato avviato sulla base degli accertamenti della Polizia locale, che hanno rilevato l’assenza di cartelli informativi e dell’autorizzazione dell’Ispettorato del lavoro, oltre alla possibilità di captare e consultare da remoto il segnale audio.

Origine del procedimento e accertamenti

Con comunicazione del 30 settembre 2025, integrata il 17 febbraio 2026, la Polizia locale di Civitanova Marche ha trasmesso la relazione di servizio e il verbale relativo al sopralluogo del 30 agosto 2025 presso il pubblico esercizio. Il verbale attestava la presenza di due telecamere interne attive e funzionanti, non segnalate da cartelli informativi idonei e sprovviste della necessaria autorizzazione dell’Ispettorato del lavoro, pur essendovi lavoratori nell’esercizio.

Il sistema era inoltre idoneo a rilevare non solo le immagini, ma anche l’audio; il titolare poteva accedere in tempo reale a entrambi da remoto, tramite un’applicazione installata sul proprio cellulare. Il titolare, invitato a presentare scritti difensivi dopo la contestazione notificata il 10 aprile 2026 ai sensi dell’art. 166, comma 5, del Codice, non ha fornito riscontro.

Obblighi di trasparenza e informativa

L’impiego di un sistema di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare il principio di trasparenza dell’art. 5, par. 1, lett. a), nonché l’obbligo informativo previsto dall’art. 13 GDPR. Gli interessati devono essere informati prima di accedere all’area sorvegliata, mediante cartelli idonei a rendere riconoscibile la presenza del sistema e le circostanze essenziali della sorveglianza.

Il provvedimento richiama il punto 3.1 del provvedimento generale del Garante dell’8 aprile 2010, le FAQ dell’Autorità e le Linee guida 3/2019 del Comitato europeo per la protezione dei dati sui dispositivi video, in particolare il punto 7. Le informazioni principali devono comparire sul segnale di avvertimento di primo livello, mentre i dettagli ulteriori possono essere forniti con altri mezzi; le informazioni possono essere associate a un’icona ai sensi dell’art. 12, par. 7, GDPR. La segnaletica deve essere collocata in modo visibile e, ove possibile, prima dell’ingresso nell’area ripresa, così da consentire agli interessati di riconoscere la sorveglianza e regolarsi di conseguenza.

Poiché le telecamere erano prive di cartelli, il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Captazione audio e base giuridica

Il Garante ha considerato illecita la captazione del segnale audio. Tale trattamento è eccedente rispetto alle finalità perseguibili mediante un impianto di videosorveglianza e non è assistito da un’idonea base giuridica ai sensi dell’art. 6 GDPR, che il titolare non ha dimostrato. La particolare insidiosità della captazione, non immediatamente riconoscibile dagli interessati, accresce la rilevanza del profilo, oltre alla carenza informativa.

Videosorveglianza e controllo a distanza dei lavoratori

La raccolta e la visualizzazione da remoto di immagini costituiscono trattamento di dati personali anche quando non vi sia registrazione. Il provvedimento richiama, sul punto, Cass. 2 settembre 2015, n. 17740.

Quando l’impianto può comportare il controllo a distanza dell’attività dei lavoratori, il trattamento deve rispettare l’art. 4 della legge 20 maggio 1970, n. 300, come richiamato dall’art. 114 del Codice e in coordinamento con gli artt. 5, par. 1, lett. a), e 88 GDPR. Gli impianti possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale. La loro installazione richiede un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali oppure, quando l’accordo non sia raggiunto o manchino le rappresentanze, l’autorizzazione dell’Ispettorato del lavoro.

Il Garante qualifica tale procedura come condizione indefettibile per l’installazione. Essa consente di valutare l’incidenza degli strumenti sulla dignità dei lavoratori e la loro effettiva rispondenza alle esigenze ammesse, tenendo conto della sproporzione tra posizione datoriale e lavoratori. Il provvedimento richiama inoltre l’art. 171 del Codice e Cass. pen., sez. III, 17 dicembre 2019, n. 50919, sulla tutela di interessi collettivi e superindividuali. Nel caso concreto, la mancanza dell’autorizzazione e la possibilità di accedere da remoto alle immagini e all’audio hanno determinato l’illiceità del trattamento anche sotto il profilo delle garanzie lavoristiche.

Valutazione delle violazioni e sanzione

Il Garante ha dichiarato illecito il trattamento per violazione degli artt. 5, par. 1, lett. a), 6 e 13 GDPR e dell’art. 114 del Codice, in relazione alle garanzie dell’art. 4 della legge n. 300/1970 e dell’art. 88 GDPR. Ha ritenuto rilevanti, ai fini della valutazione e della quantificazione, la natura colposa dell’omessa informativa, la possibile ampia platea di interessati in ragione della natura pubblica dell’esercizio, l’inosservanza delle garanzie sul controllo dei lavoratori e la maggiore intrusività derivante dalla capacità di captare l’audio. Ha considerato attenuante l’assenza di precedenti specifici pertinenti.

Ai sensi dell’art. 58, par. 2, lett. i), e dell’art. 83, parr. 1, 2 e 5, GDPR, nonché dell’art. 166 del Codice e dell’art. 18 della legge n. 689/1981, è stata determinata una sanzione di 2.000 euro. La quantificazione è stata effettuata tenendo conto dei principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Divieti, limitazioni e prescrizioni

Il provvedimento dispone:

• il divieto definitivo, dalla ricezione dell’atto, del trattamento relativo alla rilevazione del segnale audio;
• la limitazione temporanea, dalla ricezione dell’atto, del trattamento delle immagini, fino all’apposizione di idonea cartellonistica e all’eventuale conseguimento dell’autorizzazione prevista dall’art. 4, comma 1, della legge n. 300/1970;
• il pagamento di 2.000 euro entro 30 giorni dalla notifica, secondo le modalità indicate nell’allegato, con possibili conseguenze esecutive ai sensi dell’art. 27 della legge n. 689/1981 in caso di mancato pagamento. Ai sensi dell’art. 166, comma 8, del Codice, resta possibile definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 per la proposizione del ricorso;
• la comunicazione al Garante, entro 45 giorni dalla ricezione, delle iniziative intraprese, specificando se il trattamento sia cessato oppure, se siano state soddisfatte le condizioni indicate, quali misure siano state adottate per conformarlo alla disciplina.

La pubblicazione del provvedimento sul sito del Garante è stata disposta ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, omettendo i dati personali del legale rappresentante. Le violazioni e le misure sono inoltre annotate nel registro interno dell’Autorità ai sensi dell’art. 17 del medesimo regolamento.

Impugnazione

Ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, è possibile proporre ricorso davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, oppure entro 60 giorni se il ricorrente risiede all’estero.