Prescrizioni del Garante n. 173 del 27/03/2025

Impresa individuale Liu Jing - trattamento illecito tramite videosorveglianza nello �Sky Bar�f9

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento di dati personali effettuato dall’impresa individuale Liu Jing mediante un impianto di videosorveglianza installato presso l’esercizio commerciale �Sky Bar�f9 di Gradisca di Isonzo. Il procedimento nasce da un accertamento del N.A.S. dei Carabinieri, che ha rilevato telecamere attive senza adeguata informativa e, al momento del controllo, prive della preventiva autorizzazione dell’Ispettorato del lavoro.

Origine del procedimento e fatti accertati

Il Comando dei Carabinieri per la tutela della salute N.A.S. di Udine ha trasmesso al Garante, con nota del 4 novembre 2024, il verbale del controllo eseguito il 27 agosto 2024 presso il locale. Dal sopralluogo è emersa la presenza di un impianto di videosorveglianza funzionante composto da due telecamere:

• una direzionata verso il banco di mescita;
• una direzionata verso l’interno della sala giochi.

Il controllo ha evidenziato l’assenza di cartelli informativi idonei a segnalare la videosorveglianza. La documentazione fotografica allegata ha confermato l’effettiva operatività delle telecamere. In atti risultava inoltre che l’autorizzazione dell’Ispettorato del lavoro di Trieste-Gorizia era stata rilasciata solo il 30 agosto 2024, quindi successivamente al controllo.

Avvio del procedimento e difese del titolare

Con nota del 6 febbraio 2025 l’Ufficio ha avviato il procedimento sanzionatorio nei confronti del titolare dell’impresa individuale, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 del GDPR, nonché dell’art. 114 del Codice privacy. Nei successivi scritti difensivi del 25 febbraio 2025, il titolare ha dichiarato che l’impianto era stato installato per la tutela del patrimonio aziendale e che i cartelli informativi erano stati successivamente apposti, producendo documentazione fotografica.

Quadro normativo richiamato dal Garante

L’Autorità ribadisce che l’uso di sistemi di videosorveglianza costituisce un trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR e deve avvenire nel rispetto dei principi dell’art. 5 GDPR, in particolare del principio di trasparenza. Il Garante richiama il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e le FAQ pubblicate sul sito dell’Autorità, evidenziando che gli interessati devono essere informati prima di entrare nell’area sorvegliata mediante cartelli adeguati, visibili e comprensibili.

Vengono richiamate anche le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali tramite dispositivi video, che prevedono un sistema informativo a due livelli:

• le informazioni essenziali sul segnale di avvertimento;
• i dettagli ulteriori tramite altri strumenti informativi.

Profili lavoristici: controllo a distanza e autorizzazione preventiva

Il provvedimento affronta anche il profilo del possibile controllo a distanza dei lavoratori. Il Garante richiama l’art. 88 GDPR e l’art. 114 del Codice privacy, che rinvia all’art. 4 della legge n. 300/1970. In base a tale disciplina, gli impianti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei dipendenti possono essere installati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale.

L’installazione richiede, in via preventiva:

• un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali; oppure
• in mancanza di accordo o di rappresentanze, l’autorizzazione dell’Ispettorato del lavoro.

La violazione di tale disciplina è richiamata come penalmente sanzionata dall’art. 171 del Codice.

Valutazioni del Garante e illecito accertato

Sulla base del verbale ispettivo e della documentazione fotografica, il Garante ritiene provato che il sistema di videosorveglianza fosse attivo e funzionante, ma privo di idonea informativa al momento del controllo. Tale circostanza integra una violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Inoltre, poiché l’autorizzazione dell’Ispettorato del lavoro era successiva al controllo, il trattamento è stato considerato effettuato senza le garanzie previste dall’art. 4 della legge n. 300/1970, in violazione dell’art. 114 del Codice privacy con riferimento all’attività lavorativa svolta nel locale da personale dipendente.

Provvedimento finale e adempimenti

Il Garante dichiara, ai sensi degli artt. 57, par. 1, lett. f), e 83 GDPR, l’illiceità del trattamento effettuato dall’impresa individuale Liu Jing mediante l’impianto di videosorveglianza installato presso lo �Sky Bar�f9, per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, nonché dell’art. 114 del Codice privacy.

Sono inoltre disposti:

• la pubblicazione del provvedimento sul sito internet del Garante, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento n. 1/2019.

Rimedi esperibili

Il provvedimento indica la possibilità di proporre ricorso dinanzi all’autorità giudiziaria ordinaria, ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.