Ordinanza ingiunzione o revoca n. 8 del 16/01/2026

Videosorveglianza senza informativa presso un esercizio commerciale

Il Garante per la protezione dei dati personali ha concluso un procedimento sanzionatorio nei confronti del titolare di un bar di Monterotondo, a seguito di un controllo della Polizia Locale che aveva rilevato la presenza di un impianto di videosorveglianza non segnalato da idonea cartellonistica. Il provvedimento riguarda l’omessa informativa agli interessati in relazione a telecamere rivolte anche verso l’area esterna del locale.

Origine della segnalazione e avvio del procedimento

Il procedimento trae origine dalla trasmissione, da parte del Comando del Corpo di Polizia Locale di Monterotondo, degli esiti di un controllo svolto il 16 dicembre 2024 con altri organi di vigilanza presso l’attività commerciale denominata BAR GIOIA. Dalla documentazione emergeva che erano installate due telecamere regolarmente funzionanti, collocate ai lati opposti della vetrina di accesso e idonee a riprendere l’area pedonale pubblica esterna prospiciente il locale, in particolare la zona occupata da tavolini, sedie e ombrelloni.

Con nota del 2 aprile 2025 l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, in relazione all’obbligo di informativa. Il titolare ha presentato osservazioni il 10 aprile 2025, spiegando che l’impianto era stato installato per far fronte a presunti danneggiamenti esterni alla vetrina e alle tende, e che si era affidato a un installatore professionale ritenendo di essere in regola.

Quadro giuridico richiamato dal Garante

Il Garante ha ribadito che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve avvenire nel rispetto dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), nonché dell’obbligo di informativa previsto dall’art. 13 GDPR.

In materia di videosorveglianza, gli interessati devono essere sempre informati prima di accedere a una zona sorvegliata. A tal fine il titolare deve esporre cartelli informativi idonei, conformemente alle indicazioni del provvedimento generale dell’8 aprile 2010, alle FAQ pubblicate dall’Autorità e alle Linee guida EDPB n. 3/2019. Il Garante ha richiamato in particolare:

• l’obbligo di segnalazione chiara e ben visibile della presenza delle telecamere;
• la necessità che le informazioni essenziali siano indicate nel primo livello informativo;
• la posizione dei cartelli, che deve consentire all’interessato di comprendere la sorveglianza prima di entrare nell’area ripresa.

È stato inoltre ricordato che, nelle riprese di aree esterne, il trattamento deve limitarsi all’area effettivamente da proteggere, evitando la ripresa di luoghi circostanti non pertinenti.

Accertamento della violazione

All’esito dell’istruttoria, l’Autorità ha ritenuto che nel caso concreto non fosse presente alcuna informativa idonea a rendere gli interessati consapevoli della presenza del sistema di videosorveglianza, compresi coloro che occupavano l’area esterna del bar con i tavolini autorizzati.

Il Garante ha quindi accertato la violazione:

• del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• dell’art. 13 GDPR, per omessa informativa.

Quanto all’ampiezza dell’angolo di ripresa, l’Ufficio ha escluso che esso fosse eccedente, rilevando che le immagini, pur includendo aree esterne, riguardavano in modo assolutamente prevalente gli spazi nei quali era regolarmente svolta l’attività commerciale.

Valutazione della responsabilità e criteri di quantificazione

Nel valutare la violazione, il Garante ha tenuto conto di alcuni elementi rilevanti ai sensi dell’art. 83, par. 2, GDPR. In particolare ha considerato:

• l’assenza di precedenti specifici a carico del titolare in materia di protezione dei dati personali;
• la natura colposa della violazione.

L’Autorità ha inoltre rilevato che non vi erano elementi sufficienti per ritenere cessati gli effetti della condotta, poiché il titolare non aveva fornito prova adeguata dell’avvenuta conformazione del trattamento al quadro normativo nel corso del procedimento.

Sanzione irrogata

Il Garante ha adottato un’ordinanza-ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 Codice privacy, dichiarando l’illiceità del trattamento e disponendo il pagamento di una sanzione amministrativa pecuniaria di euro 600,00 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

La quantificazione è stata motivata richiamando i criteri di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Misure correttive e adempimenti imposti

Oltre alla sanzione, il Garante ha applicato una misura correttiva ai sensi dell’art. 58, par. 2, lett. d), GDPR, ordinando al titolare di conformare il trattamento al Regolamento entro 30 giorni dalla notifica del provvedimento, mediante l’adozione di idonea cartellonistica informativa.

È stato inoltre imposto di comunicare all’Autorità l’avvenuto adempimento entro 30 giorni dalla ricezione del provvedimento, ai sensi dell’art. 157 del Codice privacy. Il provvedimento avverte che, in caso di omessa comunicazione, si applicherà la sanzione prevista dagli artt. 166, comma 2, del Codice e 83, par. 5, GDPR.

Ulteriori statuizioni

Il Garante non ha invece adottato alcun provvedimento sul possibile profilo di controllo a distanza dei lavoratori, pur richiamato nella comunicazione di avvio, poiché dagli atti trasmessi non risultava un accertamento specifico sul punto.

È stata disposta la pubblicazione del provvedimento sul sito dell’Autorità, con omissione dei dati personali della legale rappresentante dell’impresa, e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Rimedi

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.

È stata infine richiamata la facoltà di definizione della controversia mediante pagamento in misura ridotta pari alla metà della sanzione irrogata, entro il termine previsto per la proposizione del ricorso.