Ordinanza ingiunzione o revoca n. 492 del 11/09/2025

MY s.r.l. - videosorveglianza nei punti vendita senza informativa e senza autorizzazione

Il Garante per la protezione dei dati personali ha adottato un’ordinanza ingiunzione nei confronti di MY s.r.l., in relazione all’uso di impianti di videosorveglianza in due esercizi commerciali di Carmagnola. Il procedimento è stato avviato a seguito di una segnalazione della Guardia di finanza e ha riguardato sia l’inosservanza degli obblighi informativi verso gli interessati sia la mancata attivazione della procedura prevista per i controlli a distanza dei lavoratori.

Origine del procedimento e fatti accertati

Con nota dell’8 ottobre 2024 la Guardia di finanza ha trasmesso al Garante il verbale di un accesso effettuato il 19 agosto 2024 presso due sedi operative della società, entrambe site a Carmagnola. In tali luoghi erano presenti impianti di videosorveglianza attivi e funzionanti: tre telecamere in un esercizio e quattro nell’altro. Dagli atti è emerso che il trattamento non era segnalato da idonei cartelli informativi e che, per quanto concerne l’eventuale controllo a distanza dei lavoratori, mancava la necessaria autorizzazione dell’Ispettorato del lavoro.

Con nota del 23 dicembre 2024 l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1, lett. a) e 13 GDPR, nonché dell’art. 114 del Codice in combinato disposto con l’art. 4 della l. n. 300/1970. Il titolare non ha presentato scritti difensivi.

Quadro normativo richiamato

Il Garante ha richiamato il fatto che la videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare, in particolare:

• il principio di trasparenza di cui all’art. 5, par. 1, lett. a) GDPR;
• l’obbligo informativo ex art. 13 GDPR;
• la disciplina speciale in materia di controlli a distanza dei lavoratori prevista dall’art. 4 della l. 300/1970, richiamata dall’art. 114 del Codice.

È stato inoltre ricordato che, ai sensi dell’art. 88 GDPR, restano salve le norme nazionali più specifiche in materia di trattamento dei dati dei lavoratori. Nel caso di sistemi di videosorveglianza idonei a consentire il controllo a distanza dell’attività lavorativa, la procedura di garanzia richiede l’accordo sindacale oppure, in mancanza, l’autorizzazione dell’Ispettorato del lavoro; la violazione è anche penalmente sanzionata ai sensi dell’art. 171 del Codice.

Valutazione del Garante sull’informativa

L’Autorità ha ritenuto che l’informativa non fosse stata resa in modo conforme all’art. 13 GDPR. La sola presenza di monitor accessibili al pubblico, che riproducevano le immagini riprese, non è stata considerata sufficiente a soddisfare gli obblighi di trasparenza e di preventiva informazione. Il Garante ha ribadito che gli interessati devono essere informati prima di accedere all’area videosorvegliata, mediante cartelli idonei e chiaramente visibili, secondo le indicazioni già fornite con il provvedimento generale dell’8 aprile 2010 e con le successive linee guida europee sui sistemi video.

Illiceità del trattamento per mancata autorizzazione ai sensi dello Statuto dei lavoratori

Un ulteriore profilo di illiceità è stato ravvisato nell’assenza della previa autorizzazione dell’Ispettorato del lavoro, necessaria perché gli impianti risultavano idonei a determinare un controllo a distanza dell’attività dei lavoratori. Il Garante ha richiamato l’art. 4 della l. n. 300/1970, l’art. 114 del Codice e il principio di liceità di cui all’art. 5, par. 1, lett. a) GDPR, sottolineando che la procedura di garanzia è condizione indefettibile di liceità del trattamento.

Esito dell’istruttoria e gravità della violazione

Sulla base degli atti acquisiti, il Garante ha dichiarato l’illiceità del trattamento per duplice ragione:

• violazione degli artt. 5, par. 1, lett. a) e 13 GDPR, per l’inidoneità dell’informativa;
• violazione degli artt. 5, par. 1, lett. a) GDPR, 114 del Codice e 4 della l. n. 300/1970, per l’assenza dell’autorizzazione dell’Ispettorato del lavoro.

La violazione non è stata considerata "minore", tenuto conto della natura, della durata e della gravità dei fatti, del numero potenzialmente elevato di interessati coinvolti, della collocazione degli esercizi commerciali e del fatto che la conoscenza della violazione sia derivata da un intervento dell’autorità di controllo.

Sanzione amministrativa pecuniaria

Ai sensi dell’art. 58, par. 2, lett. i) GDPR e dell’art. 166 del Codice, il Garante ha applicato una sanzione amministrativa pecuniaria di euro 6.000,00. Nella quantificazione ha richiamato i criteri dell’art. 83, par. 2, GDPR, evidenziando:

• come aggravanti, la gravità delle violazioni, la loro ripetizione in entrambi i locali, la possibile ampia platea di interessati e la mancata cooperazione con l’Autorità;
• come attenuanti, l’assenza di precedenti specifici e la presenza di monitor nei locali, pur non idonei a sostituire l’informativa richiesta.

Il pagamento deve avvenire entro 30 giorni dalla notifica del provvedimento. È stata altresì richiamata la facoltà di definire la controversia con il pagamento della metà della sanzione, nei termini previsti dall’art. 166, comma 8, del Codice.

Pubblicazione, annotazione e impugnazione

Il Garante ha disposto:

• la pubblicazione del provvedimento sul proprio sito internet, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• la pubblicazione dell’ordinanza ingiunzione sul sito dell’Autorità, ai sensi dell’art. 166, comma 7, del Codice;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.