Ordinanza ingiunzione o revoca n. 217 del 26/03/2026

Videosorveglianza in esercizio commerciale senza autorizzazione dell’Ispettorato del lavoro

Il provvedimento riguarda il titolare di un minimarket, destinatario di una sanzione e di una misura correttiva per l’uso di un impianto di videosorveglianza installato in presenza di lavoratori senza la preventiva autorizzazione richiesta dalla normativa lavoristica. Il procedimento trae origine da un accertamento della Polizia Locale e si conclude con la declaratoria di illiceità del trattamento, l’ordine di pagamento della sanzione e la limitazione del trattamento.

Origine del procedimento e accertamenti

La vicenda è stata segnalata alla Garante dalla Polizia Locale del Comune di Jesi, che con nota del 15 ottobre 2025 ha trasmesso il verbale del sopralluogo effettuato il 3 ottobre 2025 presso l’attività commerciale denominata "Euro Bangla Minimarket". Durante il controllo è stata rilevata la presenza di un impianto di videosorveglianza composto da 6 telecamere, le cui immagini risultavano visibili a tutti tramite un monitor collocato a parete nei locali di vendita. Era presente anche cartellonistica informativa.

L’accertamento ha evidenziato che, pur essendo presenti lavoratori dipendenti, l’impianto era stato installato e tenuto in funzione senza la necessaria autorizzazione dell’Ispettorato del lavoro. L’Ufficio del Garante ha quindi avviato il procedimento sanzionatorio con nota del 4 febbraio 2026, contestando la violazione del principio di liceità in relazione all’art. 114 del Codice privacy e all’art. 88 GDPR. Il titolare del trattamento, pur invitato, non ha presentato scritti difensivi.

Quadro giuridico richiamato

Il Garante ribadisce che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR, anche quando le immagini siano solo visualizzate da remoto e non registrate. Tale trattamento deve rispettare il principio di liceità di cui all’art. 5, par. 1, lett. a), GDPR.

Nel contesto del rapporto di lavoro, l’art. 88 GDPR consente agli Stati membri di mantenere norme più specifiche a tutela dei lavoratori; in Italia tale ruolo è svolto dall’art. 114 del Codice privacy, che richiama l’art. 4 della legge n. 300/1970. Secondo questa disciplina, gli impianti dai quali derivi anche la possibilità di controllo a distanza dei lavoratori possono essere utilizzati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e solo previa stipula di un accordo con le rappresentanze sindacali oppure, in mancanza, previa autorizzazione dell’Ispettorato del lavoro.

Il provvedimento sottolinea che tale procedura di garanzia è indefettibile e che la sua violazione è penalmente sanzionata ai sensi dell’art. 171 del Codice.

Valutazioni sul trattamento illecito

Sulla base del verbale di accertamento, il Garante ha ritenuto che il trattamento dei dati personali dei lavoratori effettuato tramite il sistema di videosorveglianza non fosse conforme al quadro normativo. L’impianto era infatti attivo e funzionante ma privo, al momento del controllo, della necessaria autorizzazione dell’Ispettorato del lavoro.

Di conseguenza, la condotta è stata qualificata come trattamento illecito, in contrasto con:

• l’art. 5, par. 1, lett. a), GDPR;
• l’art. 88 GDPR;
• l’art. 114 del Codice privacy;
• l’art. 4 della legge n. 300/1970.

Il Garante ha inoltre considerato che non risultavano precedenti specifici a carico del titolare per violazioni in materia di protezione dei dati personali, ma ha rilevato l’assenza di elementi idonei a dimostrare l’avvenuto adeguamento del trattamento dopo la contestazione.

Sanzione amministrativa pecuniaria

L’Autorità ha adottato un’ordinanza-ingiunzione ai sensi dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice privacy, applicando una sanzione amministrativa pecuniaria di euro 1.000,00.

Nella quantificazione, il Garante richiama i criteri dell’art. 83, par. 1 e 2, GDPR, valorizzando in particolare:

• la natura colposa della condotta;
• la gravità connessa all’inosservanza delle garanzie poste a tutela dei lavoratori;
• l’assenza di precedenti specifici, considerata come attenuante;
• l’esigenza di una sanzione effettiva, proporzionata e dissuasiva.

Il provvedimento precisa che il pagamento deve avvenire entro 30 giorni dalla notifica e che resta salva la facoltà di definizione agevolata nei limiti previsti dall’art. 166, comma 8, del Codice.

Misura correttiva e limitazione del trattamento

Oltre alla sanzione, il Garante ha ritenuto necessario adottare una misura correttiva ai sensi dell’art. 58, par. 2, lett. f), GDPR, disponendo una limitazione del trattamento effettuato mediante il sistema di videosorveglianza.

In concreto, è stato imposto il divieto di attivazione dell’impianto negli orari di apertura dell’esercizio commerciale, fino al rilascio dell’eventuale autorizzazione da parte del competente Ispettorato territoriale del lavoro. La misura è motivata dal fatto che non risultavano elementi sufficienti per ritenere esauriti gli effetti dell’illecito o per attestare la piena conformazione del trattamento alla disciplina applicabile.

Ulteriori disposizioni

Il provvedimento dispone anche:

• la pubblicazione sul sito istituzionale del Garante, con omissione dei dati personali del legale rappresentante dell’impresa individuale;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È infine indicata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, o entro 60 giorni se il ricorrente risiede all’estero.