[doc. web n. 10183820]

Provvedimento dell'11 settembre 2025

Registro dei provvedimenti
n. 493 dell'11 settembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento sanzionatorio

1.1. Con nota del 15 gennaio 2025, la Questura di Lecco - Divisione Polizia amministrativa, sociale e dell’immigrazione (di seguito “Questura”) ha trasmesso a questa Autorità il verbale del controllo effettuato, nel medesimo giorno, presso l’esercizio commerciale denominato “Caffeina” - gestito dall’impresa individuale “J&D di ZAMBRANO AGUIRRE Ruth Johanna” (P.IVA XX), con sede legale a Lecco in Via Roma n° 99 (di seguito, “titolare del trattamento”). Nello stesso veniva attestata la presenza, all’interno del menzionato esercizio commerciale, di un impianto di videosorveglianza − composto da tre telecamere, una delle quali regolarmente funzionante − installato in assenza di cartelli riportanti l’informativa di cui all’art. 13 del Regolamento (UE) 2016/679 (di seguito anche semplicemente “Regolamento”).

Inoltre, dalle dichiarazioni rese dal titolare del trattamento (unitamente alla documentazione fotografica attestante la presenza delle telecamere e l’angolo di ripresa delle stesse) riportate nel verbale, risulta che:

le immagini riprese vengono visualizzate in tempo reale, tramite l’applicazione per smartphone “IEGeek CAm”;

il trattamento dei dati in parola “ha la finalità prevalente di controllo dei dipendenti addetti alla somministrazione di cibo e bevande, nonché degli avventori presenti nel locale”.

Rispetto all’installazione del menzionato sistema di videosorveglianza non risultavano effettuati gli adempimenti previsti dall’art. 4 della L. 20 maggio 1970, n. 300 (Statuto dei lavoratori).

1.2. Alla luce degli atti inviati dalla Questura di Lecco, con nota del 2 aprile 2025 l’Ufficio provvedeva a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del d.lgs. 30 giungo 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”), atto che qui si intende integralmente richiamato, in relazione alla violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento e degli artt. 114 del Codice e 88 del Regolamento quanto alla disciplina applicabile in materia. 

1.3. Il titolare del trattamento non ha fatto pervenire scritti difensivi in relazione al procedimento sanzionatorio a suo carico, né ha richiesto di essere audito dall’Autorità.

1.4. Al fine di acquisire utili elementi in vista delle determinazioni da assumere, l’Ufficio, con nota del 26 agosto 2025, ha provveduto a richiedere all’Ispettorato del lavoro di Como, Lecco e Sondrio informazioni in ordine all’eventuale rilascio dell’autorizzazione all’utilizzo dell’impianto di videosorveglianza. A tale richiesta è stato fornito riscontro con comunicazione del 1° settembre 2025, recante l’autorizzazione dell’Ispettorato all’installazione del predetto sistema risalente al 19 febbraio 2025, con puntuali prescrizioni circa le condizioni di legittimo utilizzo dello stesso in linea con la previsione dell’art. 4, comma 1, l. n. 300/1970, ovvero “esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”, nonché con le indicazioni fornite del Garante (in particolare nei provvedimenti di natura generale).

Nella comunicazione l’Ispettorato del lavoro ha altresì rappresentato di aver irrogato una sanzione pecuniaria pari a 387,25 euro.

2. Il quadro giuridico del trattamento effettuato

2.1. Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2), del Regolamento (in tal senso v. già la nota del Garante del 17 dicembre 1997, in gpdp.it, doc. web n. 39849; Cass. 2 settembre 2015, n. 17440; Corte di giustizia, 11 dicembre 2014, causa C-212/13, Ryneš, punto 25), anche nel caso in cui, come dichiarato dal titolare nel caso di specie, vi sia solo raccolta di dati personali e visualizzazione da remoto degli stessi mediante smartphone senza registrazione (v. al riguardo anche Cass. 2 settembre 2015, n. 17740). Detto trattamento deve quindi essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, con particolare riguardo ai principi fondamentali in materia di protezione dei dati di liceità, correttezza e trasparenza del trattamento, quest’ultimo ulteriormente declinato, tra l’altro, negli obblighi informativi gravanti sul titolare del trattamento in base all’art. 13 del Regolamento.

2.2. A tale scopo, quindi, con particolare riferimento ai trattamenti effettuati mediante impianti di videosorveglianza, “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”; di qui la necessità che il titolare del trattamento predisponga idonei cartelli informativi affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza”.

In tal senso, da tempo il Garante ha fornito proprie indicazioni (cfr. punto 3.1. del provv. 8 aprile 2010, doc. web n. 1712680; v. anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità; per una fattispecie individuale di natura omologa v. provv. 6 luglio 2023, n. 293, doc. web n. 9920881) e, analogamente, il Comitato europeo per la protezione dei dati, con le Linee Guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, ha specificato che “le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento cfr.  (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)” (cfr. punto 7). Nelle stesse linee guida si prevede inoltre che “tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”.

Tali informazioni dovrebbero inoltre essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona oggetto di ripresa (approssimativamente all’altezza degli occhi), per consentirgli “di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

2.3. Inoltre, per quanto qui di diretto rilievo, i trattamenti di dati personali effettuati tramite impianti di videosorveglianza nell’ambito della gestione del rapporto di lavoro, in quanto necessari per esigenze organizzative, produttive e di sicurezza sul lavoro, devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, ed in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento nonché artt. 114 del Codice e 4, l. n. 300/1970).

Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori. Al riguardo, come è noto, il legislatore nazionale ha previsto, quale disposizione più specifica, l’art. 114 del Codice che tra le condizioni di liceità del trattamento ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300. La violazione dell’art. 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. d) del Regolamento.

In base al richiamato art. 4, l. n. 300/1970 gli apparati di videosorveglianza, qualora dagli stessi derivi “anche la possibilità di controllo a distanza” dell'attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.

L’attivazione e la conclusione di tale procedura di garanzia, ed il rispetto delle condizioni indicate nell’autorizzazione dell’Ispettorato del lavoro (per quanto qui di interesse), è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza e presupposto di liceità del trattamento di dati personali che ne deriva. La violazione di tale disposizione è, peraltro, penalmente sanzionata (v. art. 171 del Codice).

La predetta procedura di garanzia, come più volte sottolineato dalla giurisprudenza di legittimità, “tutela interessi di carattere collettivo e superindividuale”, per cui, nel caso in cui il datore di lavoro non la attivi, la sua condotta lederà gli interessi collettivi a presidio dei quali è posta (v., tra le altre, Cass. pen, sez. III, 17 dicembre 2019, n. 50919). Solo attraverso tale procedura, quindi, per il tramite delle rappresentanze sindacali o dell’Ispettorato del lavoro, potrà essere correttamente valutata l’idoneità a ledere la dignità dei lavoratori di strumenti tecnologici dai quali possa derivare un controllo a distanza dei lavoratori e potrà essere verificata l'effettiva rispondenza di detti impianti alle esigenze tecnico-produttive o di sicurezza. 

3. L’esito dell’istruttoria

3.1. Il trattamento dei dati personali effettuato nel caso di specie dal titolare del trattamento attraverso il sistema di videosorveglianza, risultato attivo e funzionante, non si è conformato al quadro regolatorio sopra richiamato. Infatti, sulla base del menzionato verbale di accertamento e della relativa documentazione fotografica, è emerso che l’impianto di videosorveglianza in parola, risultato sprovvisto della necessaria autorizzazione dell’Ispettorato del Lavoro in violazione dell’art. 4, l. n. 300/1970, era prevalentemente finalizzato al “controllo dei dipendenti addetti alla somministrazione di cibo e bevande”.

Il perseguimento di detta finalità integra un trattamento di dati personali che, in modo radicale, si pone in contrasto con la previsione dell’art. 4, comma 1, l. n. 300/1970 – la quale, come ricordato, ammette la possibilità di un controllo a distanza dei lavoratori “esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale”, e non dunque per il controllo a distanza dell’attività dei lavoratori –, determinando in pari tempo un trattamento illecito ai sensi degli artt. 5, par. 1, lett. a) del Regolamento e 114 del Codice. Ciò sino alla data dell’avvenuto rilascio della menzionata autorizzazione da parte dell’Ispettorato del lavoro che ha circoscritto, in termini di liceità, le condizioni d’impiego del sistema di videosorveglianza sì da consentire, nella misura in cui effettivamente rispettate dal titolare del trattamento, il lecito trattamento dei dati eventualmente raccolti.

3.2. Sotto diverso profilo, il sistema di videosorveglianza è altresì risultato sprovvisto di idonei cartelli informativi, e quindi in contrasto con quanto stabilito dall’art. 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento, e rispetto al principio generale di trasparenza del trattamento di cui all’art. 5, par. 1, lett. a) del medesimo Regolamento.

4. Illiceità del trattamento

Alla luce di tali considerazioni, il Garante rileva l’illiceità del trattamento effettuato dal titolare del trattamento in quanto posto in essere in violazione degli artt. 5, par. 1, lett. a) e 88 del Regolamento unitamente all’art. 114 del Codice e 4, l. n. 300/1970 (punto 3.1) – trattamento che solo a far data dal 19 febbraio 2025 ha formato oggetto della necessaria autorizzazione dell’Ispettorato del Lavoro, alle condizioni nella medesima fissate – nonché, in punto di informativa agli interessati, in relazione agli artt. 5, par. 1, lett. a) e 13 del Regolamento (punto 3.2).

La violazione accertata nei termini di cui in motivazione non può in alcun modo essere considerata “minore”, tenuto conto della natura intenzionale della violazione, per i profili connessi al controllo a distanza dei lavoratori, della gravità della condotta e della durata, del grado di responsabilità e della maniera in cui l’autorità di controllo ha preso conoscenza della violazione, per il tramite della Questura di Lecco (v. cons. 148 del Regolamento).

Pertanto, accertata l’illiceità della condotta nei termini sopra descritti, deve adottarsi un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento per l’applicazione di una sanzione amministrativa pecuniaria.

5. Ordinanza di ingiunzione

Ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, l. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato dal titolare del trattamento per mezzo del descritto impianto di videosorveglianza risultato sprovvisto dell’informativa di cui all’art. 13 del Regolamento e dell’autorizzazione dell’Ispettorato del Lavoro.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), nel caso di specie sono state tenute in considerazione le circostanze sotto riportate:

a. quale fattore aggravante, la natura intenzionale della violazione, per i profili connessi al controllo a distanza dei lavoratori, la gravità della condotta, nonché la durata della violazione;

b. quale fattore aggravante, in relazione all’obbligo di rendere l’informativa agli interessati, la circostanza che la condotta illecita abbia potuto riguardare un’ampia platea di persone in ragione della natura di esercizio pubblico del luogo oggetto di videosorveglianza;

c. quale fattore aggravante, la circostanza che le violazioni poste in essere abbiano formato oggetto nel tempo di innumerevoli provvedimenti del Garante (sia di natura individuale, sia contenenti indicazioni di natura generale: cfr., in particolare, i citati provv.ti del 29 aprile 2004 e dell’8 aprile 2010) e di un consolidato orientamento giurisprudenziale (cfr. Cass. civ., Sez. II, 2 settembre 2015, n. 17440; Cass. civ., Sez. II, 5 luglio 2016, n. 13633);

d. quale fattore attenuante, l’assenza di precedenti specifici a carico del titolare del trattamento relativi a violazioni della disciplina in materia di protezione dei dati personali;

e. quale fattore attenuante, l’avvenuta richiesta di autorizzazione in relazione all’installazione del sistema di videosorveglianza all’Ispettorato del lavoro successivamente agli accertamenti ispettivi che hanno interessato l’esercizio commerciale, ancorché della stessa e del suo avvenuto rilascio l’Autorità sia venuta a conoscenza solo su propria iniziativa.

In ragione dei suddetti elementi, valutati nel loro complesso, e ai principi di effettività,

proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, considerata altresì la sanzione irrogata dall’Ispettorato del lavoro (pari a 387,25 euro), si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 8.000 (ottomila) per la violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento e 114 del Codice.

Entro tale cornice, si ritiene che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet dell’Autorità. Ciò in considerazione della natura intenzionale delle violazioni poste in essere con riferimento al controllo a distanza dei lavoratori e in ragione dell’assenza di informazione alcuna circa il trattamento di dati personali in spazi aperti al pubblico, con il possibile coinvolgimento di un’ampia platea di interessati.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare del trattamento individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento e degli artt. 114 del Codice e 4 della l. n. 300/1970;

ORDINA

al titolare del trattamento di pagare la somma di euro 8.000 (ottomila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione; 

INGIUNGE

al medesimo titolare del trattamento di pagare la somma di euro 8.000 (ottomila), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, tenuto conto della natura delle violazioni, oggetto di reiterati provvedimenti da parte del Garante, nonché in ragione del numero di soggetti coinvolti dal trattamento;

ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 settembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Fanizza