[doc. web n. 10226120]

Provvedimento del 12 febbraio 2026

Registro dei provvedimenti
n. 85 del 12 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento sanzionatorio

1.1. Con nota del 17.1.2025, ad integrazione dell’esposto trasmesso al Garante in data 3.10.2024 per il tramite la Compagnia della Guardia di finanza di Corigliano-Rossano (CS), il sig. Pasquale Levote ha lamentato l’illiceità del trattamento di dati personali effettuato mediante un impianto di videosorveglianza presso l’esercizio commerciale “Atmosphera Ristorante Pizzeria”, sito in Rossano, via Maglione 26, la cui titolarità del trattamento fa capo all’impresa individuale “Bollicine di XX (P.I. XX).

Ciò in quanto le telecamere sarebbero state idonee a riprendere la pubblica via e le abitazioni di privati cittadini; veniva altresì lamentato che, in assenza di consenso del segnalante, la predetta impresa individuale avrebbe comunicato a terzi alcune immagini che lo riguardavano registrate mediante il predetto impianto.

1.2. Sulla scorta di un’integrazione della segnalazione, risultava che le immagini di cui veniva lamentata la comunicazione riguardavano il reclamante, coinvolto in un sinistro stradale avvenuto sulla pubblica via nell’area antistante l’esercizio commerciale e ripreso da una delle telecamere esterne (cfr. comunicazione del 17 gennaio 2025 e documentazione allegata).

1.3. Dalle verifiche effettuate presso l’esercizio commerciale dalla Guardia di finanza il 2 luglio 2025 (e trasmesse all’Ufficio il successivo 11 luglio) – in occasione delle quali si è rilevato essere il locale temporaneamente chiuso in ragione della stagionalità − è risultata comprovata la presenza di un impianto di videosorveglianza, funzionante e in grado di rendere riconoscibili le persone oggetto di ripresa, composto da 5 telecamere (tre delle quali riprendono aree esterne e le restanti quelle interne al locale). Le immagini sono risultate:

a. accessibili da remoto mediante app;

b. oggetto di registrazione in via continuativa e conservate a far data dal 24 giugno 2025.

1.4. È stata altresì constatata l’assenza, sia all’interno che all’esterno del locale, di cartelli informativi volti a segnalare il trattamento di dati personali così effettuato (cfr. verbale di attività ispettive del 2 luglio 2025). In merito all’informativa, il titolare del trattamento ha dichiarato, senza tuttavia fornire elementi obiettivi di riscontro, che in occasione della verifica non sono risultati “affissi cartelli in materia di videosorveglianza” in quanto gli stessi sarebbero stati “rimossi” “a seguito di alcuni lavori di ristrutturazione e tinteggiatura svolti ad inizio anno” e che avrebbe provveduto quanto prima ad apporli nuovamente.

1.5. Per quanto concerne l’area ripresa dalle telecamere, dalla documentazione fotografica allegata al verbale si rileva l’idoneità delle telecamere a riprendere la strada pubblica, a distanza dall’immobile, oltre che gli spazi interni al locale; al riguardo anche il titolare dell’esercizio commerciale ha dichiarato che “il sistema riprende anche luoghi di non stretta pertinenza”, manifestando l’intenzione di “provvedere ad effettuare le modifiche del caso”. 

1.6. In ordine alle riprese concernenti gli spazi nei quali si svolge altresì l’attività lavorativa, in sede di accertamento sono state rilevate le contestazioni per la violazione della disciplina in materia di controlli a distanza dei lavoratori mosse dal competente Ispettorato del lavoro a seguito di verifiche svolte il 4 marzo 2025, l’avvenuto pagamento in misura ridotta della sanzione pecuniaria irrogata ed il successivo ottenimento dell’autorizzazione dell’impianto di videosorveglianza ai sensi dell’art. 4 l. n. 300/1970. 

1.7. In merito, infine, alla lamentata comunicazione a terzi di immagini registrate dal suddetto impianto, la circostanza ha formato oggetto di conferma da parte del titolare dell’esercizio commerciale ed è stata motivata dalla richiesta pervenuta da un terzo, egli pure coinvolto nel sinistro stradale (del quale era stato parte il segnalante), finalizzata a “far valere il proprio diritto di difesa nei confronti della compagnia assicurativa” in ragione della peculiare dinamica del sinistro ripreso dalla telecamera. Nel dare seguito a tale richiesta, il titolare del trattamento metteva a disposizione dell’istante le immagini relative al sinistro “credendo di poter dare una mano a fare giustizia sulla vicenda, per mero senso civico […], agendo in assoluta buona fede e credendo di non violare alcuna normativa specifica” (cfr. verbale 2 luglio 2025, p. 6).

1.8. Alla luce della documentazione in atti, con nota trasmessa via PEC il 4 novembre 2025 e regolarmente ricevuta, l’Ufficio provvedeva a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, d.lgs. 30 giungo 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”), atto che qui si intende integralmente richiamato, contestando la violazione dei principi generali in materia di protezione dei dati personali di cui all’art. 5, par. 1, lett. a) e l’assenza di idonea informativa nei confronti degli interessati, secondo quanto previsto dall’art. 13 del Regolamento, nonché degli artt. nell’art. 5, par. 1, lett. c), e 25 del Regolamento. 

1.9. Il titolare del trattamento non ha fatto pervenire scritti difensivi in relazione al procedimento sanzionatorio a suo carico, né ha richiesto di essere audito dall’Autorità. 

2. Il quadro giuridico del trattamento effettuato e l’esito dell’istruttoria

2.1. Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2), del Regolamento (in tal senso v. già la nota del Garante del 17 dicembre 1997, in gpdp.it, doc. web n. 39849; Cass. 2 settembre 2015, n. 17440; Corte di giustizia, 11 dicembre 2014, causa C-212/13, Ryneš, punto 25) − circostanza non controversa nel caso di specie e confermata dall’intento di utilizzare le riprese effettuate per chiarire la dinamica di un sinistro stradale che ha coinvolto il segnalante e il terzo cui le immagini sono state trasmesse −, lo stesso deve essere effettuato nel rispetto della disciplina di protezione dei dati personali.

2.2. Per quanto di diretto interesse nel caso di specie, come già rilevato in occasione della notificazione al titolare del trattamento effettuata ai sensi dell’art. 166, comma 5, del Codice, vengono in rilievo la violazione:

a. dell’art. 5, par. 1, lett. a), del Regolamento, con particolare riguardo ai principi di:

i. liceità, in combinato disposto con l’art. 6 del Regolamento, considerato che la sistematica osservazione di spazi pubblici (unitamente alla registrazione delle immagini riprese), non può essere svolta in autonomia da soggetti privati, trattandosi di attività riservata a soggetti pubblici ai quali, all’interno di un articolato quadro di garanzie, la legge attribuisce compiti in materia di sicurezza pubblica o di accertamento nonché di prevenzione e repressione di reati (v. già al riguardo i provvedimenti generali in materia di videosorveglianza del 29 aprile 2004, punti 2.4, 5.1 e 5.4, doc. web n. 1003482; 8 aprile 2010, punti 2 e 5.1, doc. web n. 1003482). 
Né in proposito è stata altrimenti comprovata dal titolare del trattamento, secondo quanto peraltro previsto dall’art. 5, par. 2 del Regolamento, la ricorrenza di una delle basi giuridiche del trattamento posto in essere sulla scorta di una delle diverse previsioni contenute nel menzionato art. 6 del Regolamento.

Del resto, in termini generali, il pur diffuso fenomeno della videosorveglianza a tutela di persone e beni individuali può lecitamente svolgersi entro gli ambiti di pertinenza del soggetto privato che, nel proprio interesse, a tale forma di trattamento intende ricorrere: in questa prospettiva, con riguardo alla tutela del domicilio, in linea di principio (salve comprovate situazioni di rischio effettivo) le riprese devono essere effettuate negli spazi immediatamente antistanti alle vie di accesso ad esso, senza estendere la videosorveglianza ad aree circostanti, in tutto o in parte di terzi o, come nel caso in esame, pubbliche, sì da incidere sulle libertà altrui (cfr., ad es., provv.ti 27 aprile 2023, n. 173, doc. web n. 9896468; 2 marzo 2023, n. 59, doc. web n. 9872567; 18 luglio 2023, n. 319, doc. web n. 9935503);

ii. correttezza e trasparenza del trattamento, questi ultimi ulteriormente declinati negli obblighi informativi gravanti sul titolare del trattamento in base all’art. 13 del Regolamento. Nell’ambito dei trattamenti di dati personali effettuati mediante un impianto di videosorveglianza, ciò si traduce nell’obbligo, per il titolare del trattamento, di informare adeguatamente gli interessati ai sensi dell’art. 13 del Regolamento del trattamento effettuato mediante il sistema di videosorveglianza tramite l’apposizione di idonei cartelli recanti l’informativa (di primo e secondo livello), collocati prima del raggio d’azione delle telecamere – sia all’interno che all’esterno del locale − e aventi formato e posizionamento tali da risultare chiaramente visibili in ogni condizione di illuminazione ambientale (cfr. in tal senso altresì le Linee guida dell’EDPB n. 3/2019 sul trattamento dei dati personali, adottato dall’EPDB il 10 luglio 2019, parr. 114-119; v. già il citato provv. 8 aprile 2010, punto 3.1);

b. dell’art. 5, par. 1, lett. c), del Regolamento, secondo il quale i dati personali oggetto di trattamento devono essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. Nel caso di specie, come risulta dalle dichiarazioni rese e dalla documentazione in atti, anche fotografica, tale principio risulta violato:

i. in relazione all’acquisizione di dati personali in spazi eccedenti rispetto a quelli di diretta pertinenza del titolare del trattamento, segnatamente la pubblica via prossima all’esercizio commerciale. In proposito, il titolare del trattamento, in conformità al principio di cui all’art. 25 del Regolamento, che pure risulta violato nel caso di specie, è tenuto ad adottare modalità tecniche di ripresa tali da limitare l’angolo visuale delle telecamere in modo da ritrarre la sola “area effettivamente da proteggere, evitando, per quanto possibile, la ripresa di luoghi circostanti e di particolari che non risultino rilevanti (vie, edifici, esercizi commerciali, istituzioni)” (v. già, in tal senso le indicazioni contenute nel provvedimento l’8 aprile 2010, punto 6.2.2.1; v. pure le Linee guida dell’EPDB n. 3/2019, par. 8).

ii. in relazione all’arco temporale di conservazione dei dati, il quale è risultato pari ad otto giorni senza che sia risultata comprovata la necessità di tale prolungata conservazione delle informazioni raccolte, peraltro in difformità dalle indicazioni fornite sia nel provvedimento dell’8 aprile 2010, punto 3.4 − secondo il quale, in via massima, la conservazione delle immagini dovrebbe essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione (esemplificate nel provvedimento) e, comunque, in via generale, per un arco temporale non superiore ai sette giorni −, sia nelle Linee guida n. 3/2019, in base alle quali “solitamente è possibile individuare eventuali danni entro uno o due giorni” (par. 121). 

2.3. Ulteriore profilo di illiceità del trattamento deve poi rinvenirsi nella comunicazione delle immagini del sinistro stradale, nelle quali era ripreso il segnalante, a un terzo esso pure coinvolto nel sinistro. E ciò in quanto i dati illecitamente trattati per le ragioni appena enunciate sono inutilizzabili ai sensi dell’art. 2-decies del Codice e pertanto, impregiudicata l’eventuale applicazione dell’art. 160 bis del Codice, non potevano formare oggetto di trattamento ulteriore, ivi compresa la comunicazione a terzi.

3. Illiceità del trattamento

Alla luce di tali considerazioni, al netto dei profili già oggetto di verifica da parte dell’Ispettorato del lavoro, risultano confermati i profili oggetto di contestazione ai sensi dell’art. 166 del Codice con la richiamata comunicazione del 4 novembre 2025 nei confronti del titolare del trattamento, ponendosi le operazioni di trattamento effettuate per mezzo dell’impianto di videosorveglianza installato presso l’esercizio commerciale e la successiva comunicazione di dati personali a un terzo in violazione delle disposizioni di cui agli articoli:

a. 5, par. 1, lett. a) e 13, del Regolamento con riguardo all’omessa informativa;

b. 6 del Regolamento con riguardo all’assenza di base giuridica del trattamento in relazione alle riprese effettuate con riguardo a spazi pubblici nonché in relazione all’avvenuta comunicazione dei dati a un terzo;

c. 5, par. 1, lett. a) e 25 del Regolamento con riguardo al trattamento di dati eccedenti dal punto di vista delle aree oggetto di ripresa e al tempo di conservazione dei dati trattati, anche in ragione della configurazione dei sistemi della rilevazione dei dati personali utilizzati.

Le violazioni accertate nei termini di cui in motivazione – ancorché, alla luce degli elementi in atti non risultino essere state poste in essere dal titolare del trattamento al fine trarne profitto per sé o altri ovvero di arrecare danno − non possono essere considerate “minori”, interessando la videosorveglianza sia spazi pubblici che, come rilevato all’Ispettorato del lavoro, ambiti nei quali si sono trovati ad operare non solo gli avventori dell’esercizio commerciale ma anche i lavoratori.

Pertanto, accertata l’illiceità della condotta come sopra descritta, deve adottarsi un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento per l’applicazione di una sanzione amministrativa pecuniaria, pur prendendo in considerazione la già irrogata sanzione da parte dell’Ispettorato del lavoro e la circostanza che, in ragione della chiusura stagionale dell’esercizio commerciale, un trattamento attuale di dati personali non aveva luogo all’interno del locale in occasione delle verifiche.

4. Ordinanza di ingiunzione

Ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, l. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato, sotto più profili, in violazione delle disposizioni sopra menzionate, segnatamente degli articoli 5, par. 1, lett. a) nonché degli artt. 13, 6 e 25 del Regolamento.    

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), nel caso di specie sono state tenute in considerazione le circostanze di seguito riportate:

a. con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta colposa del titolare del trattamento, la responsabilità connessa all’inadempimento degli obblighi in materia di videosorveglianza – peraltro nel tempo oggetto di innumerevoli provvedimenti del Garante (sia di natura individuale, sia contenenti indicazioni di natura generale: cfr., in particolare, i citati provv.ti del 29 aprile 2004 e dell’8 aprile 2010) e di un consolidato orientamento giurisprudenziale (cfr. Cass. civ., Sez. II, 2 settembre 2015, n. 17440; Cass. civ., Sez. II, 5 luglio 2016, n. 13633);

b. quale fattore attenuante, l’assenza di precedenti specifici a carico del titolare del trattamento relativi a violazioni della disciplina in materia di protezione dei dati personali;

c. quale fattore attenuante, la piena cooperazione prestata in sede di accertamento ed il riconoscimento delle proprie responsabilità da parte dell’autore della condotta in sede ispettiva;

d. la circostanza che un trattamento attuale di dati personali non aveva luogo all’interno del locale in occasione delle verifiche.

In ragione dei suddetti elementi, valutati nel loro complesso, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.500 (millecinquecento) per la violazione delle disposizioni sopra menzionate, segnatamente degli articoli 5, par. 1 lett. a) nonché dell’art. 13, 6 e 25 del Regolamento.

Entro tale cornice, si ritiene che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet dell’Autorità. 

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare del trattamento individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a) nonché dell’art. 13, 6 e 25 del Regolamento;

ORDINA

al titolare del trattamento di pagare la somma di euro 1.500 (millecinquecento) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione; 

INGIUNGE

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento al medesimo titolare del trattamento di pagare la somma di euro 1.500 (millecinquecento), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

ai sensi degli artt. 58, par. 2, lett. d), del Regolamento di conformare il trattamento dei dati personali al Regolamento entro trenta giorni dalla notifica del presente provvedimento, provvedendo:

a rendere l’informativa agli interessati per il tramite di idonea cartellonistica;

ad orientare le telecamere che vanno a comporre il sistema di videosorveglianza in modo da non riprendere spazi pubblici.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, nonché ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, omesso il nominativo del contravventore, la pubblicazione del presente provvedimento sul sito internet del Garante, tenuto conto della natura delle violazioni, oggetto di reiterati provvedimenti da parte del Garante;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori