Ordinanza ingiunzione o revoca n. 356 del 14/05/2026

Lidl Italia S.r.l. - gestione illecita di istanze di accesso e limitazione su immagini di videosorveglianza

Il provvedimento trae origine da un reclamo presentato da un interessato che aveva chiesto a Lidl Italia S.r.l. l’accesso alle immagini di videosorveglianza relative a un episodio occorso presso un punto vendita di Arco (TN) e, contestualmente, la limitazione del trattamento mediante conservazione dei filmati. Il Garante ritiene che il titolare non abbia agevolato l’esercizio dei diritti e abbia invece posto in essere una gestione incompatibile con il GDPR, fino alla cancellazione delle immagini richieste.

Fatti e svolgimento del procedimento

L’interessato, in data 27, 28 e 29 giugno 2025, ha inviato più istanze via PEC, indicando con precisione il punto vendita, la data, l’orario approssimativo e la dinamica dei fatti, che coinvolgevano dipendenti della Società e avevano determinato l’intervento delle Forze dell’ordine. Le richieste erano formulate ai sensi degli artt. 15 e 18, par. 1, lett. c) GDPR, con espressa domanda di conservazione delle immagini in vista di possibili azioni a tutela dei propri diritti. La Società ha poi comunicato, con lettera inviata a mezzo raccomandata, l’avvenuta cancellazione delle immagini.

Il Garante, ricevuto il reclamo ex art. 77 GDPR, ha avviato l’istruttoria preliminare ai sensi dell’art. 157 del Codice privacy e successivamente il procedimento ex art. 166, comma 5, del Codice, contestando alla Società la violazione delle norme in materia di accesso, limitazione e correttezza del trattamento.

Trattamenti esaminati

Il trattamento oggetto di esame riguarda le immagini acquisite tramite impianto di videosorveglianza installato presso il punto vendita. Il caso coinvolge sia la fase di gestione delle istanze di esercizio dei diritti, sia la conservazione e la successiva cancellazione delle immagini. Il Garante evidenzia che i filmati costituivano dati personali del reclamante e che la loro conservazione era stata specificamente richiesta per finalità di tutela giudiziaria.

Violazioni accertate

L’Autorità ha ritenuto integrata la violazione di più disposizioni del GDPR:

• art. 12, par. 2, per non avere agevolato l’esercizio dei diritti dell’interessato;
• art. 12, par. 3, per il riscontro fornito con modalità non coerenti con il mezzo elettronico usato dall’interessato;
• art. 15, par. 1, per l’omessa informazione sulla possibilità di proporre reclamo all’Autorità;
• art. 18, par. 1, lett. c), per la mancata conservazione dei dati in pendenza della richiesta di limitazione;
• art. 5, par. 1, lett. a), per violazione del principio di correttezza, anche in ragione della cancellazione dei dati che ha frustrato definitivamente l’esercizio dei diritti.

Ragioni della decisione

Secondo il Garante, la Società disponeva fin dalla prima istanza di tutti gli elementi necessari per identificare le immagini pertinenti e avrebbe potuto individuare selettivamente le telecamere e le aree interessate, anche tramite il responsabile del trattamento incaricato dell’estrazione delle immagini. La modulistica predisposta dalla Società, pur astrattamente funzionale ad agevolare le richieste, è stata nella concretezza trasformata in un ostacolo ingiustificato, non previsto dal GDPR.

L’Autorità richiama anche le linee guida EDPB 1/2022 sul diritto di accesso, secondo cui il GDPR non impone requisiti di forma alla richiesta e le domande presentate tramite i canali messi a disposizione dal titolare devono essere normalmente considerate valide. Inoltre, il Garante osserva che, in presenza di una richiesta attuale e reiterata, la conservazione dei dati era necessaria per non pregiudicare gli interessi del richiedente.

Sanzione e criteri di quantificazione

Il Garante ritiene non applicabile la qualificazione della violazione come minore e procede all’adozione di un’ordinanza-ingiunzione ai sensi dell’art. 58, par. 2, lett. i) GDPR e dell’art. 166 del Codice. In ragione dell’unicità della condotta, trova applicazione l’art. 83, par. 3, GDPR. La sanzione è quantificata in euro 43.000, tenendo conto:

• della natura, gravità e durata della violazione;
• del carattere colposo della condotta;
• della categoria di dati coinvolti, ossia l’immagine dell’interessato;
• del fatto che la violazione ha riguardato una sola persona;
• dell’assenza di precedenti specifici a carico della Società;
• del rilievo economico nazionale della Società.

Dispositivo e effetti ulteriori

Il Garante:

• accerta la violazione degli artt. 5, par. 1, lett. a), 12, par. 2 e 3, 15, par. 1, e 18, par. 1, lett. c) GDPR;
• dichiara l’illiceità dell’avvenuta cancellazione dei dati personali riferiti al reclamante;
• ingiunge il pagamento della sanzione di euro 43.000 entro 30 giorni dalla notifica, salvo definizione agevolata della controversia nei termini previsti dall’art. 166, comma 8, del Codice;
• dispone la pubblicazione del provvedimento sul sito del Garante e l’annotazione nel registro interno.

È inoltre precisata la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 del d.lgs. 150/2011.