Ordinanza ingiunzione o revoca n. 493 del 11/09/2025

Videosorveglianza illecita in esercizio commerciale con controllo a distanza dei lavoratori

Il provvedimento riguarda il titolare di un esercizio commerciale, destinatario di un’ordinanza ingiunzione per l’uso di un impianto di videosorveglianza installato e utilizzato in violazione della disciplina privacy e lavoristica. L’istruttoria è stata avviata a seguito di una segnalazione della Questura di Lecco, che aveva accertato la presenza di telecamere prive di adeguata informativa e un utilizzo orientato anche al controllo dei dipendenti.

Origine del procedimento e attività istruttoria

Con nota del 15 gennaio 2025 la Questura di Lecco ha trasmesso al Garante il verbale di controllo svolto presso l’esercizio denominato "Caffeina", gestito dall’impresa individuale "J&D di ZAMBRANO AGUIRRE Ruth Johanna". Dal verbale emergeva la presenza di un impianto composto da tre telecamere, di cui una sola funzionante, privo di cartelli informativi ex art. 13 GDPR. Il titolare aveva dichiarato che le immagini erano visualizzate in tempo reale tramite l’app "IEGeek CAm" e che il trattamento aveva come finalità prevalente il controllo dei dipendenti addetti alla somministrazione di cibo e bevande, oltre che degli avventori.

Con nota del 2 aprile 2025 l’Ufficio ha avviato il procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, contestando la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, nonché degli artt. 114 del Codice e 88 GDPR in relazione alla disciplina applicabile ai lavoratori. Il titolare non ha presentato scritti difensivi né ha chiesto di essere audito.

Quadro normativo richiamato dal Garante

Il Garante ha ricordato che la videosorveglianza costituisce trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR anche quando non vi sia registrazione delle immagini ma solo visualizzazione da remoto. Conseguentemente, il trattamento deve rispettare i principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR, oltre agli obblighi informativi previsti dall’art. 13.

Per i trattamenti effettuati nell’ambito del rapporto di lavoro, l’Autorità ha richiamato l’art. 88 GDPR e l’art. 114 del Codice, che rinviano alla disciplina più specifica dell’art. 4 della l. n. 300/1970. In base a tale norma, gli impianti dai quali derivi anche la possibilità di controllo a distanza dei lavoratori sono consentiti solo per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, previa procedura sindacale oppure autorizzazione dell’Ispettorato del lavoro. La violazione di tale disciplina è richiamata anche come penalmente sanzionata dall’art. 171 del Codice.

Sul versante dell’informativa, il Garante ha ribadito che gli interessati devono essere messi in condizione di sapere, prima dell’accesso alla zona, che stanno per entrare in un’area videosorvegliata, mediante cartelli idonei e ben visibili, in linea con i propri precedenti provvedimenti e con le Linee guida 3/2019 del Comitato europeo per la protezione dei dati.

Esito dell’istruttoria: trattamento illecito e mancata informativa

Dall’istruttoria è emerso che l’impianto era attivo e funzionante ma privo della necessaria autorizzazione dell’Ispettorato del lavoro al momento degli accertamenti, e che era stato utilizzato con finalità prevalente di controllo dei dipendenti. Il Garante ha ritenuto che tale impiego si ponesse in contrasto radicale con l’art. 4, comma 1, l. n. 300/1970, poiché la norma consente il controllo a distanza solo entro i limiti delle esigenze organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale, non per sorvegliare l’attività lavorativa.

L’Autorità ha precisato che solo a decorrere dal 19 febbraio 2025 è stata rilasciata l’autorizzazione dell’Ispettorato, con specifiche prescrizioni sulle condizioni di utilizzo lecito del sistema. Fino a quel momento, e comunque nei limiti delle condizioni non rispettate, il trattamento è stato qualificato come illecito ai sensi degli artt. 5, par. 1, lett. a), GDPR e 114 del Codice.

Inoltre, il sistema di videosorveglianza è risultato privo di adeguati cartelli informativi, con conseguente violazione dell’art. 13 GDPR e del principio di trasparenza di cui all’art. 5, par. 1, lett. a), GDPR.

Valutazione sulla gravità della violazione

Il Garante ha escluso che la violazione possa essere considerata minore. A tal fine ha valorizzato la natura intenzionale della condotta, la gravità del controllo a distanza dei lavoratori, la durata della violazione e le modalità di conoscenza dei fatti da parte dell’Autorità, avvenuta tramite la Questura di Lecco. È stato inoltre osservato che le violazioni in materia di videosorveglianza sono da tempo oggetto di numerosi provvedimenti del Garante e di un consolidato orientamento giurisprudenziale.

Sanzione amministrativa e criteri di quantificazione

In applicazione dell’art. 58, par. 2, lett. i), GDPR e dell’art. 166 del Codice, il Garante ha adottato ordinanza ingiunzione e ha determinato la sanzione amministrativa pecuniaria in euro 8.000 per la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR, nonché degli artt. 114 del Codice e 4 della l. n. 300/1970.

Nella quantificazione sono stati considerati, ai sensi dell’art. 83, par. 2, GDPR:

• come aggravanti, la natura intenzionale della violazione, la gravità della condotta e la durata del trattamento illecito;
• come aggravante, la possibile incidenza su un’ampia platea di persone, trattandosi di esercizio aperto al pubblico;
• come aggravante, il consolidato orientamento del Garante e della giurisprudenza in materia;
• come attenuante, l’assenza di precedenti specifici a carico del titolare;
• come attenuante, la successiva richiesta di autorizzazione all’Ispettorato del lavoro, presentata dopo gli accertamenti ispettivi.

Il Garante ha considerato anche la sanzione già irrogata dall’Ispettorato del lavoro, pari a 387,25 euro, e ha ritenuto l’importo di 8.000 euro conforme ai principi di effettività, proporzionalità e dissuasività di cui all’art. 83, par. 1, GDPR.

Dispositivo, pubblicazione e ricorsi

Il provvedimento dichiara l’illiceità del trattamento e ordina al titolare il pagamento della sanzione entro 30 giorni dalla notifica, con avvertenza sulla possibile esecuzione forzata ai sensi dell’art. 27 della l. n. 689/1981. È richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per proporre ricorso.

Il Garante dispone inoltre:

• la pubblicazione del provvedimento sul sito istituzionale, ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019;
• la pubblicazione dell’ordinanza ingiunzione ai sensi dell’art. 166, comma 7, del Codice;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.