Ordinanza ingiunzione o revoca n. 70 del 12/02/2026

Comune di Coccaglio - videosorveglianza in magazzino comunale e uso disciplinare delle immagini

Il Garante ha esaminato il trattamento di dati personali effettuato dal Comune di Coccaglio mediante un impianto di videosorveglianza installato presso un magazzino comunale e utilizzato anche per supportare un procedimento disciplinare nei confronti di un dipendente. Il procedimento è stato avviato a seguito di reclamo dell'interessato, che lamentava anche carenze informative e l'assenza delle garanzie previste dalla disciplina sui controlli a distanza dei lavoratori.

Origine del procedimento e attività istruttoria

Il reclamo ha riguardato l'utilizzo di filmati estratti dall'impianto di videosorveglianza per formulare addebiti disciplinari, in relazione a fatti documentati mediante immagini registrate. L'interessato contestava inoltre:

• la mancata informativa specifica sul trattamento effettuato tramite telecamere;
• la mancata indicazione dei tempi di conservazione;
• il mancato rispetto delle procedure di cui all'art. 4 della l. 20 maggio 1970, n. 300.

Nel corso dell'istruttoria, il Comune ha riferito che le telecamere erano quattro e riprendevano aree interne ed esterne del magazzino comunale, installate per esigenze di sicurezza e tutela del patrimonio, anche a seguito di precedenti furti. Ha dichiarato di non aver inizialmente attivato le procedure di garanzia di cui all'art. 4 dello Statuto dei lavoratori perché non considerava il magazzino un luogo di lavoro, affermando che l'accesso degli operai era solo occasionale.

Trattamento esaminato e quadro normativo applicato

Il Garante ha ricondotto il trattamento alla disciplina dei controlli a distanza dei lavoratori, osservando che gli impianti audiovisivi che possono consentire anche un controllo dell'attività lavorativa sono leciti solo se installati per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale, nel rispetto dell'art. 4, comma 1, della l. 300/1970.

La decisione richiama il rapporto tra:

• artt. 5, 6 e 88 GDPR;
• art. 12 e art. 13 GDPR in tema di trasparenza e informativa;
• art. 35 GDPR sulla valutazione d'impatto;
• artt. 2-ter e 114 del Codice privacy;
• art. 4 della l. 300/1970, quale norma speciale di settore.

Illiceità della videosorveglianza in ambito lavorativo

Il Garante ha ritenuto che il magazzino comunale, pur non essendo un ufficio in senso stretto, fosse comunque un luogo nel quale i lavoratori accedevano e transitavano, con conseguente possibilità di ripresa delle loro immagini. Ne deriva che l'impianto di videosorveglianza, sia interno sia esterno, poteva incidere sulla sfera lavorativa ed era soggetto alle garanzie procedurali previste dallo Statuto dei lavoratori.

L'Autorità ha escluso che la sola finalità di tutela del patrimonio fosse sufficiente a legittimare il trattamento, in assenza di accordo sindacale o autorizzazione dell'Ispettorato nazionale del lavoro. Per tale ragione ha accertato la violazione del principio di liceità, correttezza e trasparenza e ha ravvisato la mancanza di un idoneo presupposto di liceità ai sensi degli artt. 5, 6 e 88 GDPR, nonché degli artt. 2-ter e 114 del Codice.

Uso delle immagini per finalità disciplinari

Il Comune aveva estratto e utilizzato fotogrammi dell'impianto di videosorveglianza per sostenere una contestazione disciplinare. Il Garante ha osservato che il ricorso ai dati raccolti tramite sistemi che consentono il controllo a distanza è ammissibile solo se le immagini sono state acquisite legittimamente e se il datore di lavoro ha rispettato le condizioni imposte dall'art. 4 dello Statuto.

Poiché tali garanzie non erano state osservate, anche l'uso delle immagini nel procedimento disciplinare è stato giudicato illecito. L'Autorità ha richiamato l'art. 4, comma 3, della l. 300/1970, chiarendo che i dati possono essere usati per ulteriori finalità lavoristiche solo se raccolti lecitamente e previa adeguata informazione agli interessati.

Trasparenza e informativa agli interessati

Il Garante ha rilevato la violazione degli artt. 12, par. 1, e 13 GDPR. Il Comune sosteneva di aver già fornito un'informativa generale ai dipendenti, ma non una specifica informativa sulla videosorveglianza ai sensi dell'art. 4, comma 3, della l. 300/1970, ritenendo che i lavoratori non fossero oggetto di trattamento se non incidentalmente.

L'Autorità ha invece chiarito che, proprio perché le telecamere erano collocate in un luogo di lavoro o in sue pertinenze, era necessaria un'informativa specifica e comprensibile, idonea a rendere i lavoratori consapevoli sia della finalità di tutela del patrimonio sia dell'eventuale uso delle immagini per finalità connesse al rapporto di lavoro.

Valutazione di impatto e ruolo del DPO

Sul piano dell'art. 35 GDPR, il Garante ha osservato che un sistema di videosorveglianza installato in ambito lavorativo, idoneo a monitorare sistematicamente i lavoratori, presenta un rischio elevato per i diritti e le libertà degli interessati e richiede una valutazione di impatto preventiva.

Nel caso concreto, il Comune non ha dimostrato di aver effettuato una DPIA valida prima dell'avvio del trattamento. La valutazione prodotta è stata considerata carente sotto più profili: mancava di data certa, di riferimenti temporali e di sottoscrizione, e conteneva anche un'erronea indicazione delle basi giuridiche del trattamento. Inoltre, il Comune non aveva coinvolto il proprio RPD/DPO nella redazione della valutazione, in contrasto con l'art. 35, par. 2, e con l'art. 39, par. 1, lett. c), GDPR.

Esito finale, sanzione e pubblicazione

Il Garante ha concluso per l'illiceità del trattamento posto in essere dal Comune, rilevando la violazione degli artt. 5, 6, 12, 13, 35 e 88 GDPR, nonché degli artt. 2-ter e 114 del Codice privacy, in relazione all'art. 4 della l. 300/1970.

Ai fini sanzionatori, l'Autorità ha applicato l'art. 83, par. 3 e 5, GDPR, valorizzando:

• la durata del trattamento, protrattosi per un arco temporale esteso;
• il carattere colposo della violazione;
• l'assenza di dati particolari ex art. 9 GDPR;
• la dimensione contenuta del Comune;
• l'assenza di precedenti pertinenti;
• la cooperazione prestata dall'ente e la disattivazione dell'impianto dopo l'intervento dell'Autorità.

La sanzione amministrativa pecuniaria è stata determinata in euro 6.000. È stata inoltre disposta la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione nel registro interno dell'Autorità. Il provvedimento è impugnabile davanti all'autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.