Ordinanza ingiunzione o revoca n. 209 del 26/03/2026

Titolare dell’attività commerciale sanzionato per videosorveglianza illegittima

Il Garante ha esaminato il trattamento effettuato presso l’esercizio di vicinato denominato "SMA Frutta", a seguito di un sopralluogo della Polizia di Roma Capitale. Il caso riguarda un impianto di videosorveglianza attivo in assenza di adeguata informativa e senza la necessaria autorizzazione in presenza di lavoratori.

Origine del procedimento e attività istruttoria

Il procedimento è stato avviato sulla base della nota del 15 ottobre 2025 con cui il Corpo di Polizia di Roma Capitale – X Gruppo Mare ha trasmesso il verbale delle operazioni compiute nel sopralluogo del 13 ottobre 2025. Dall’accertamento è emersa la presenza di un impianto composto da 4 telecamere, di cui 3 interne e 1 esterna, con funzionamento verificato almeno per una telecamera interna collocata presso la cassa.

Il verbale ha evidenziato due criticità principali:

• assenza di idonei cartelli informativi relativi alla videosorveglianza;
• mancanza dell’autorizzazione dell’Ispettorato del Lavoro, pur essendo presenti lavoratori alle dipendenze dell’impresa.

Con nota del 4 febbraio 2026, l’Ufficio ha notificato al titolare del trattamento l’avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice. Il titolare non ha presentato scritti difensivi né ha fornito riscontro all’Autorità.

Quadro normativo richiamato

Il Garante ha richiamato che l’uso di sistemi di videosorveglianza integra un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. Tale trattamento deve rispettare il principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e l’obbligo di informativa dell’art. 13 GDPR.

In materia di videosorveglianza, l’Autorità ha ribadito che gli interessati devono essere informati prima di accedere all’area sorvegliata e che l’informativa deve essere resa con cartelli idonei, visibili e leggibili, richiamando:

• il provvedimento del 8 aprile 2010 sulle videosorveglianza;
• le FAQ dell’Autorità;
• le Linee guida CEPD n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video.

Per i trattamenti in ambito lavorativo, il Garante ha ricordato la disciplina dell’art. 4 della l. 300/1970, richiamata dall’art. 114 del Codice e salvaguardata dall’art. 88 GDPR. Quando dagli impianti derivi anche la possibilità di controllo a distanza dei lavoratori, è necessario il previo accordo con le rappresentanze sindacali oppure, in mancanza, l’autorizzazione dell’Ispettorato del lavoro.

Accertamento delle violazioni

Dall’istruttoria è risultato che il sistema di videosorveglianza era attivo e funzionante ma:

• era privo di cartelli informativi idonei, con conseguente violazione degli artt. 5, par. 1, lett. a), e 13 GDPR;
• era privo della necessaria autorizzazione dell’Ispettorato territoriale del lavoro, con violazione dell’art. 88 GDPR e dell’art. 114 del Codice in relazione all’art. 4 della l. 300/1970.

Il Garante ha quindi qualificato il trattamento come illecito per violazione del principio di trasparenza e delle garanzie previste per il controllo a distanza dei lavoratori.

Valutazioni sulla gravità e sulla quantificazione della sanzione

Ai fini della determinazione della sanzione, l’Autorità ha richiamato i criteri dell’art. 83, par. 2, GDPR e il principio di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Sono stati considerati:

• la natura colposa della condotta;
• la circostanza che la violazione dell’obbligo informativo riguardasse un tema già oggetto di numerosi precedenti provvedimenti e di orientamenti giurisprudenziali consolidati;
• la possibile ampia platea di interessati, trattandosi di un esercizio aperto al pubblico;
• la responsabilità per il mancato rispetto delle garanzie dell’art. 4 della l. 300/1970;
• l’assenza di precedenti specifici a carico del titolare.

In esito a tale valutazione, il Garante ha determinato la sanzione in euro 2.000,00 per la violazione degli artt. 5, par. 1, lett. a), 13 e 88 GDPR e 114 del Codice.

Provvedimenti adottati

Il Garante ha:

• dichiarato l’illiceità del trattamento ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 2.000,00;
• ingiunto il pagamento entro 30 giorni dalla notifica, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice mediante pagamento della metà della sanzione entro il termine per il ricorso;
• ordinato, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di conformare il trattamento entro 30 giorni mediante l’installazione di idonea cartellonistica informativa;
• imposto la comunicazione al Garante delle misure adottate entro lo stesso termine ex art. 157 del Codice;
• disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, una limitazione del trattamento con divieto di attivazione della videosorveglianza negli orari di apertura dell’esercizio commerciale fino al rilascio dell’eventuale autorizzazione dell’Ispettorato territoriale del lavoro.

Pubblicazione e rimedi

Il provvedimento dispone la pubblicazione sul sito del Garante, con omissione dei dati personali del legale rappresentante del titolare del trattamento, e l’annotazione nel registro interno dell’Autorità.

Contro il provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.