Ordinanza ingiunzione o revoca n. 9 del 16/01/2026

Videosorveglianza non conforme di un esercizio commerciale con sanzione e ordine di adeguamento

Il Garante per la protezione dei dati personali ha sanzionato il titolare di un esercizio commerciale per l’uso di un impianto di videosorveglianza installato in modo non conforme alla disciplina privacy. L’istruttoria è stata avviata a seguito di un verbale della Polizia Locale, trasmesso all’Autorità, che aveva rilevato l’assenza di adeguata informativa e la ripresa di aree pubbliche e condominiali.

Origine del procedimento e accertamenti svolti

La vicenda trae origine da una nota del 10 marzo 2023 del Comando della Polizia Locale di Rionero in Vulture, che ha inviato al Garante il verbale di un controllo effettuato presso l’attività commerciale denominata "Macelleria La Costata s.r.l.s.". Il controllo aveva accertato la presenza di un sistema composto da tre telecamere, una delle quali non funzionante, collocate in due aree esterne dell’esercizio.

Dal verbale risultava che:

• due telecamere poste nella zona antistante l’attività riprendevano l’ingresso della macelleria, il parcheggio antistante e parte della strada pubblica Via Amendola;
• una terza telecamera, installata sulla parete perimetrale, era idonea a riprendere l’area laterale adibita a parcheggio e parte della strada pubblica;
• non erano presenti cartelli informativi circa la videosorveglianza;
• rispetto all’impianto non risultava acquisita l’autorizzazione del condominio.

Avvio del procedimento sanzionatorio

Sulla base della documentazione trasmessa dalla Polizia Locale, l’Ufficio ha notificato al titolare del trattamento, con nota del 10 luglio 2023, l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice privacy. La contestazione riguardava le violazioni degli artt. 5, par. 1, lett. a), 6 e 13 del GDPR.

Il titolare, pur invitato a presentare scritti difensivi, non ha inviato alcun riscontro all’Autorità.

Quadro normativo richiamato dal Garante

Il Garante ricorda che l’uso di sistemi di videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR e deve rispettare, tra gli altri, il principio di liceità e trasparenza di cui all’art. 5, par. 1, lett. a), nonché l’obbligo di informativa previsto dall’art. 13 GDPR.

In materia di videosorveglianza, l’Autorità richiama:

• il provvedimento generale dell’8 aprile 2010, in particolare il punto 6.2.2.1, che impone di limitare l’angolo visuale alle aree effettivamente da proteggere ed evitare la ripresa di luoghi circostanti o particolari non rilevanti;
• le Linee guida EDPB n. 3/2019, secondo cui le informazioni principali devono essere fornite con il primo livello di segnalazione, in modo ben visibile e leggibile, anche mediante icone, mentre i dettagli ulteriori possono essere forniti con altri mezzi;
• l’esigenza che i cartelli siano collocati prima dell’accesso alla zona videosorvegliata, in posizione facilmente percepibile dall’interessato.

Valutazioni del Garante sull’illiceità del trattamento

Dall’istruttoria è emerso che il sistema di videosorveglianza era attivo e funzionante ma privo di idonei cartelli informativi. Questa circostanza integra, secondo l’Autorità, una violazione del principio di trasparenza e degli obblighi di informativa, anche nella forma semplificata, previsti dall’art. 13 GDPR.

Inoltre, le telecamere risultavano idonee a riprendere aree diverse da quelle di esclusiva proprietà, in particolare:

• un’area pubblica adibita a parcheggio;
• parte della strada pubblica;
• spazi condominiali.

Per tale ragione il trattamento è stato ritenuto privo di base giuridica, e dunque illecito, in violazione dell’art. 6 GDPR. Il Garante precisa che la violazione non può essere considerata minore, considerando la natura dell’inadempimento, il grado di responsabilità e il fatto che la sorveglianza interessava luoghi accessibili a una pluralità di persone.

Sanzione amministrativa e criteri di quantificazione

L’Autorità ha applicato l’art. 58, par. 2, lett. i), GDPR e l’art. 166 del Codice privacy, irrogando una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR.

Nella determinazione dell’importo, il Garante ha considerato i criteri di cui all’art. 83, par. 2, GDPR e ha valorizzato:

• la natura, gravità e durata della violazione;
• l’omissione dell’informativa, già oggetto di consolidati richiami dell’Autorità e di orientamenti giurisprudenziali;
• la potenziale ampia platea di interessati, data la collocazione dell’impianto in un esercizio aperto al pubblico e la ripresa di aree pubbliche;
• l’assenza di precedenti specifici a carico del titolare, considerata come elemento attenuante.

La sanzione è stata determinata in euro 1.500,00.

Ordinanza ingiunzione e misure correttive

Con il provvedimento il Garante:

• dichiara l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6 e 13 GDPR;
• ordina il pagamento di euro 1.500,00 entro 30 giorni dalla notifica, con le modalità indicate nell’allegato, pena l’adozione degli atti esecutivi previsti dall’art. 27 della legge n. 689/1981;
• richiama la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro il termine di legge per la proposizione del ricorso;
• ingiunge, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare il trattamento entro 30 giorni, provvedendo a:
  • rendere l’informativa agli interessati mediante idonea cartellonistica;
  • orientare le telecamere in modo da non riprendere spazi pubblici o spazi condominiali.

Ulteriori disposizioni e mezzi di impugnazione

Il provvedimento dispone inoltre la pubblicazione sul sito istituzionale del Garante, con omissione della partita IVA, e l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR e degli artt. 152 del Codice privacy e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.