[doc. web n. 10290506]

Provvedimento del 18 giugno 2026

Registro dei provvedimenti
n. 458 del 18 giugno 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”); 

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

È pervenuta all’Autorità, in data 3 gennaio 2024, una segnalazione con la quale è stato rappresentato che l’Azienda Trasporti Messina S.p.a. - avendo installato e impiegando, previa sottoscrizione il 14 luglio 2021 di apposito contratto collettivo sindacale ai sensi dell’art. 4, comma 1, della l. 20 maggio 1970, n. 300, “dispositivi di videosorveglianza indossabili c.d. bodycam che consentono la raccolta e la trasmissione delle immagini riprese sia a bordo di bus e tram che durante l’accertamento nel servizio ZTL e Carroattrezzi” e “un sistema di geolocalizzazione satellitare tipo AVM (Automatic Vehicle Monitoring) basato su tecnologia GPS (Global Positioning System)” (cfr. accordo collettivo sindacale) - avrebbe utilizzato in plurimi casi i dati acquisiti per il tramite dei predetti strumenti tecnologici a fini disciplinari in assenza dei necessari presupposti (cfr., ad es., nota di contestazione disciplinare XX, nella quale si fa riferimento al comportamento di un agente nei confronti di “tre studentesse”, ripreso appunto tramite la bodycam attivata dallo stesso). 

2. L’attività istruttoria.

Nell’ambito dell’istruttoria, l’Azienda ha fornito elementi informativi in merito ai diversi sistemi tecnologici in uso presso gli autoveicoli aziendali. Nel dettaglio:

- quanto al sistema di geolocalizzazione installato presso tram e bus, l’Azienda ha dichiarato, in particolare, che:

- tale sistema “consente di effettuare la localizzazione geografica degli autoveicoli aziendali (Bus-Tram e vetture di servizio) per una pluralità di scopi, relativi [in particolare] alla verifica dei tempi di fermata in linea [… e] a garantire e dimostrare l'esatta esecuzione del servizio oggetto del contratto di servizio” (cfr. nota del 6 maggio 2024); 

- “il personale è stato preventivamente formato ed informato dell'istallazione dell'impianto di geolocalizzazione mediante apposita "informativa scritta resa ai sensi dell'art. 13 del GDPR che è affissa nelle bacheche aziendali e scaricabile sul sito istituzionale di ATM S.p.A.”; “ogni bus e tram è dotato di informativa breve (vetrofania), atta a mettere a conoscenza l'utenza che accede, che il mezzo bus/tram è videosorvegliato”; “per quanto sopra descritto la  […] società ha ritenuto […] ai sensi dell'art. 13 del Regolamento UE, anche considerato quanto previsto dall'art. 4, comma 3 della legge 20 maggio 1970, n° 300, di aver dato l'informativa ai dipendenti specificando l'utilizzabilità dei sistemi AVM” (cfr. nota del 6 maggio 2024);

- “le contestazioni disciplinari, cui [… si fa riferimento sopra], riguardano solo ed esclusivamente il passaggio in anticipo alle fermate” (cfr. nota del 6 maggio 2024); 

- nel fornire le predette dichiarazioni, l’Azienda ha, altresì, fornito, tra gli altri documenti, un’informativa resa ai sensi degli artt. 13 e 14 del Regolamento relativa al “sistema di gestione AVM (Automatic-Vehicle-Monitoring)”;

- quanto ai dispositivi video indossabili dagli agenti (cc.dd. “bodycam”), dalle dichiarazioni rese dall’Azienda in corso d’istruttoria emerge, in particolare, che:

- “l’utilizzo delle bodycam ha quasi azzerato le aggressioni”; “l’operatore di verifica non è mai ripreso, sulle telecamere è presente un monitor e una luce rossa lampeggiante in modo da far comprendere all'utente e/o eventuale aggressore che il sistema sta registrando” (cfr. nota del 6 maggio 2024); “l’operatore può agevolmente attivare e disattivare per il tramite di un tasto di colore rosso, posto sulla bodycam la funzione di ripresa” (cfr. nota del 16 ottobre 2024); 

- “ad oggi nessun operatore è mai stato sanzionato per attività rilevate dalle bodycam, le sanzioni a cui si fa riferimento, riguardano l'aver disatteso una disposizione di servizio, che obbliga gli operatori a: ritirare, indossare e rendere operative le bodycam” (cfr. nota del 6 maggio 2024);

- “il personale autorizzato al trattamento non ha possibilità di accedere da remoto in tempo reale alle immagini riprese tramite bodycam in quanto il sistema non lo prevede. Solo l’operatore in servizio in caso di emergenza ha la possibilità di attivare tramite un tasto posto sulla bodycam la modalità streaming in tempo reale, al fine di allertare la sala operativa e quindi quest’ultimi chiamare le forze dell’ordine ove necessario” (cfr. nota del 16 ottobre 2024); 

- la “disposizione di servizio n° 3 del XX prot. XX […] è stata inviata tramite protocollo aziendale all’Ufficio Risorse Umane, il quale ha provveduto a consegnarla a tutti i dipendenti interessati […] oltre a essere stata affissa nelle bacheche aziendali” (cfr. nota del 16 ottobre 2024); 

- “a tutti i dipendenti che utilizzano le bodycam, al momento della consegna è stata effettuata la formazione sul corretto utilizzo, attestata dagli stessi […] (modulo consegna bodycam con istruzioni operative)” (cfr. nota del 16 ottobre 2024); 

- “su tutti i mezzi è istallata l’informativa breve” (cfr. nota del 16 ottobre 2024); 

- più nel dettaglio, “la nota di contestazione disciplinare ns. prot XX nasce da un comportamento inappropriato ed in violazione delle norme comportamentali, segnalato[… all’Azienda] dal padre di una delle studentesse, il [… quale] ha denunciato il comportamento del[…l’]operatore, chiedendo l’annullamento del verbale e la restituzione di quanto pagato dalla figlia a saldo del verbale tra l’altro pagato in contanti (attività vietata dall’azienda). A seguito dei fatti contestati […], l’ATM S.p.A. ha avviato un’indagine interna al fine di verificare se quanto dichiarato dal padre della studentessa fosse effettivamente successo, e solo allora ha messo a confronto le immagini della bodycam confrontandoli con i verbali emessi. Per quanto sopra non è stato effettuato nessun controllo a distanza del dipendente” (cfr. nota del 16 ottobre 2024);

- nel fornire le predette dichiarazioni, l’Azienda ha, altresì, fornito specifica documentazione e, in particolare, tra gli altri, i seguenti documenti: due note di contestazione disciplinare, l’una per fatti risalenti all’8 novembre 2023 e relativi al transito presso le fermate in anticipo rispetto all’orario di tabellino e l’altra inerente all’omessa attivazione della bodycam da parte di un dipendente in data 22 aprile 2022; un’informativa resa ai sensi degli artt. 13 e 14 del Regolamento, relativa al “servizio di sorveglianza tramite bodycam”; la sopra citata disposizione di servizio n. XX dell’XX, recante informazioni sulle finalità perseguite tramite l’impiego delle bodycam e sulle istruzioni operative a carico del personale interessato, con la precisazione che “l’inosservanza della […] disposizione sarà oggetto di specifico procedimento disciplinare”;

- quanto al sistema di videosorveglianza installato all’interno degli autoveicoli aziendali, l’Azienda ha dichiarato, in particolare, quanto segue:

- “è stato sottoscritto con le organizzazioni sindacali un accordo ai sensi dell’art. 4 della legge 20 maggio 1970 n. 300” (cfr. nota del 6 maggio 2024);

- “i soggetti autorizzati non possono accedere in tempo reale alle immagini riprese su Bus e Tram, in quanto il dispositivo di registrazione (DVR) si trova a bordo del mezzo, messo in posizione di sicurezza e non attivabile senza le credenziali di accesso” (cfr. nota del 6 maggio 2024);

- “l’informativa estesa ai sensi dell’art. 13 è pubblicata sul sito di ATM S.p.A. ed è stata affissa nelle bacheche aziendali, inoltre ogni bus e tram è dotato di informativa breve […], inoltre le video camere a bordo di bus e tram non riprendono mai il posto di guida” (cfr. nota del 6 maggio 2024);

- “in linea con l’approccio basato sul rischio adottato dal regolamento generale sulla protezione dei dati, non è obbligatorio svolgere una valutazione d’impatto sulla protezione dei dati per ciascun trattamento. […] Tuttavia, nel caso di specie non è stato riscontrato un rischio elevato per i diritti e le libertà delle persone fisiche in quanto: [… tra l’altro] il trattamento non prevede dati relativi a interessati vulnerabili (considerando 75) intesi come rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, che possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare se il trattamento può comportare discriminazioni, furto o usurpazione ‘identità, perdite finanziarie, pregiudizio alla reputazione; […] pertanto, le considerazioni sopra esposte, hanno portato il titolare del trattamento a non procedere ad effettuare una valutazione d’impatto sulla protezione dei dati, tuttavia, in armonia con quanto raccomandato dal WP29, ha proceduto successivamente alla valutazione d’impatto sulla protezione dei dati di trattamenti multipli simili tra loro […] la quale ha evidenziato un rischio basso” (cfr. nota del 6 marzo 2025).

Con nota del 25 giugno 2025, l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, sul presupposto che i trattamenti oggetto di segnalazione fossero avvenuti in violazione degli artt. 5, par. 1, lett. a), b) e c), 6, 12, 13, 25, 35 e 88 del Regolamento e 2-ter e 114 del Codice.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del 25 luglio 2025, l’Azienda ha presentato una memoria difensiva, dichiarando, in particolare, che:

- “i tre strumenti hanno finalità totalmente diverse, così come si evince dalle singole informative e dai relativi accordi sindacali”

- il sistema di geolocalizzazione di bus e tram è analogo a quello “oggi utilizzato da tutte le società di TPL, nonché dalle società di trasporto ferroviario” e “non costituisce monitoraggio sistematico dei dipendenti”; in tal caso, “la finalità [… perseguita] è il servizio di trasporto pubblico locale”, che presenta specifiche caratteristiche di cui occorre tenere conto; infatti, “affinché il sistema di trasporto pubblico locale venga svolto in modo efficiente ed efficace, è necessario che l’utente possa essere messo a conoscenza di alcune informazioni necessarie per la migliore fruizione del servizio di trasporto pubblico locale”; ciò anche alla luce del fatto che, “peraltro, la politica dell’Unione Europea è pacificamente rivolta  da tempo, ad incentivare in tutti i modi  l’utilizzo del mezzo pubblico a discapito dell’auto privata”; inoltre, in base a quanto previsto dal contratto collettivo, “la sala operativa vedrà sempre il numero del Bus e/o tram e mai i dati identificativi dell’operatore di esercizio, per cui l’operatore di esercizio non sarà mai direttamente identificabile. Solo in caso di continue anomalie e dietro autorizzazione della Direzione esercizio si potranno incrociare i dati e verificare le informazioni nella loro generalità, al fine di gestire l’anomalia”;

- “la videosorveglianza a bordo ha la finalità di prevenire atti delittuosi, attività illecite, episodi di microcriminalità, atti vandalici e di tutela dei beni aziendali e dello stesso personale della società”; “le videocamere a bordo non riprendono mai la postazione dell’autista, il sistema è a circuito chiuso e la registrazione avviene tramite DVR posizionato all’interno dell’autobus e non può essere raggiunto dall’autista. La lettura del DVR può essere effettuata solo da personale autorizzato al trattamento dei dati ed il sistema è dotato di chiave di accesso. Ogni autobus è dotato di informativa breve iconografica come disposto dal Garante”;

- quanto alle bodycam, i dati relativi alle aggressioni subite dal personale sono “allarmanti”, come testimoniato da alcuni articoli di stampa; anche a fronte delle richieste delle organizzazioni sindacali, l’Azienda ha ritenuto di implementare l’utilizzo delle bodycam per “la tutela della vita del dipendente”;

- “le bodycam sono indossate dal nostro personale nello svolgimento di tre servizi ben distinti (Verifica a bordo, Controllo stalli blu e Servizio di rimozione) che hanno modalità di svolgimento completamente diverse e soprattutto il personale ruota su tutti e tre i servizi:

- nel primo caso, posto che l’agente “verificatore trascorre a bordo del bus mediamente circa 10/12 minuti, (il tempo di una/due fermate) […] la bodycam come da istruzioni sarà attiva solo durante i dodici minuti della verifica, al fine di garantire la sicurezza del personale durante lo svolgimento dell’attività di controlleria a bordo”;

- “il personale impiegato al controllo del pagamento [… attiva la bodycam] qualora la verifica dovesse dare esito negativo […] e solo in quella occasione cioè durante la verbalizzazione”;

- nel caso del “servizio di rimozione il servizio di rimozione […] la bodycam in dotazione al nostro ausiliare del traffico verrà attivata solo ed esclusivamente durante l’attività di verbalizzazione e di prelevamento delle […] auto”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data 29 settembre 2025 (cfr. verbale del 29 settembre 2025, formalizzatosi con la relativa accettazione da parte del titolare del trattamento, trasmessa il 2 ottobre 2025), l’Azienda, “nel ribadire di aver stipulato con le rappresentanze sindacali competenti specifico accordo ai sensi dell’art. 4 della l. 300/1970 e di aver fornito le informative al personale dipendente interessato”, ha ribadito le dichiarazioni già fornite in corso d’istruttoria, precisando, in particolare, che:

- “quanto al sistema di tracciamento degli autobus “AVM”, che si interfaccia con linee elettroniche collegate al tabellone delle fermate ed è in uso presso altre analoghe aziende di trasporto, lo stesso permette all’utenza di verificare se l’orario di arrivo del mezzo di trasporto è in orario o in anticipo o in ritardo”;

- “con riguardo alla videosorveglianza a bordo dei veicoli aziendali, anch’essa in uso presso altre analoghe aziende di trasporto, tale sistema è stato installato al fine di garantire la tutela del patrimonio aziendale nonché l’incolumità sia del personale presente sull’autobus che degli utenti, anche alla luce delle aggressioni già verificatesi nel tempo”;

- “quanto alle bodycam, tale sistema, che è stato installato anche su impulso dei sindacati nonché su indicazione delle Forze dell’Ordine e della Prefettura, è in uso a circa 50 operatori”;

- “grazie ai sistemi utilizzati, si sono ridotti in modo estremamente significativo i disservizi (v., in particolare, AVM), mentre, grazie agli altri due sistemi, si sono ridotte le aggressioni sia all’utenza che al personale, oltre ai disservizi”.    

3. La disciplina in materia di protezione dei dati personali in ambito lavorativo.

Con riguardo al trattamento dei dati personali nell’ambito del rapporto di lavoro, si evidenzia in via generale che il datore di lavoro può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento), al ricorrere di un’idonea base giuridica, se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore nonché quando il trattamento è “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, parr. 1, lett. c) ed e), 2 e 3; 9, par. 2, lett. b), e 4; 88 del Regolamento; 2-ter del Codice). 

Il datore di lavoro deve, inoltre, rispettare le norme nazionali, che “includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro” (artt. 6, par. 2, e 88, par. 2, del Regolamento). Sul punto il Codice, confermando l’impianto anteriore alle modifiche apportate dal d.lgs. 10 agosto 2018, n. 101, fa espresso rinvio alle disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, anche con riferimento alle garanzie che il datore di lavoro è tenuto ad attuare per l’utilizzo, a tutti i fini connessi al rapporto di lavoro, dei dati raccolti tramite i sistemi da cui può derivare il controllo a distanza dell’attività dei lavoratori (v., in particolare, art. 114 “Garanzie in materia di controllo a distanza”). Per effetto di tale rinvio, e tenuto conto dell’art. 88, par. 2, del Regolamento, l’osservanza dell’art. 4 della l. 20 maggio 1970, n. 300, e dell’art. 10 del d.lgs. n. 297/2003, nei casi in cui ne ricorrono i presupposti, costituisce una condizione di liceità del trattamento.

Il datore di lavoro, quale titolare del trattamento, è tenuto in ogni caso a rispettare i principi in materia di protezione dei dati (art. 5 del Regolamento). 

4. Esito dell’attività istruttoria.

All’esito dell’attività istruttoria, è emerso che, nell’ambito del contesto del trasporto pubblico locale, l’Azienda, previa sottoscrizione di appositi accordi con le rappresentanze sindacali competenti ai sensi dell’art. 4, comma 1, della legge 20 maggio 1970, n. 300, ricorre all’utilizzo, su bus e tram aziendali, di tre diversi sistemi tecnologici: il sistema di geolocalizzazione satellitare, le telecamere di videosorveglianza installate a bordo dei predetti autoveicoli e le bodycam, queste ultime impiegate sia dagli operatori delle zone a traffico limitato sia dagli addetti alla verifica dei pagamenti a bordo degli autoveicoli sia dagli agenti incaricati di gestire il servizio carro attrezzi.

Ciò nel perseguimento di specifiche e distinte finalità di trattamento nonché attraverso modalità e condizioni operative che, alla luce delle dichiarazioni da ultimo rese in corso d’istruttoria anche ai sensi dell’art. 168 del Codice nonché in base ad una valutazione globale delle caratteristiche del trattamento che ne deriva, escludono in concreto, sotto il profilo della protezione dei dati personali, forme di responsabilità dell’Azienda medesima con riguardo all’aspetto della complessiva proporzionalità del trattamento in questione (artt. 5, par. 1, lett. c), e 25 del Regolamento).

Con riferimento ai predetti sistemi, tuttavia, risultano accertati specifici profili di non conformità alla normativa in materia di protezione dei dati personali, posto che, in particolare:

- le informative ai sensi degli artt. 13 e 14 del Regolamento, acquisite agli atti, l’una relativa al “sistema di gestione AVM (Automatic-Vehicle-Monitoring)” e l’altra al “servizio di sorveglianza tramite bodycam”, risultano rivolte non già al personale dipendente ma agli utenti (v. premessa delle due informative) e non recano informazioni in merito alla possibilità di utilizzo, da parte dell’Azienda, in qualità di datore di lavoro, delle informazioni acquisite per il tramite dei predetti sistemi a fini disciplinari (v. par. 4.1 del presente provvedimento);

- in specifici casi - documentati nella segnalazione del 3 gennaio 2024 nonché, nel corso dell’istruttoria, dalla stessa Azienda – i dati personali acquisiti per il tramite del sistema di geolocalizzazione e delle bodycam sono stati successivamente utilizzati a fini disciplinari in assenza di idonee garanzie informative (v., par. 4.2 del presente provvedimento);

- non è stata effettuata una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 del Regolamento con specifico riguardo al trattamento dei dati svolto per il tramite del sistema di videosorveglianza installato a bordo degli autoveicoli aziendali (v. par. 4.3. del presente provvedimento).

4.1. L’assenza di informazioni per il personale dipendente in merito al trattamento dei dati acquisiti tramite le bodycam e il sistema di geolocalizzazione degli autoveicoli aziendali.

Nel rispetto del principio di “liceità, correttezza e trasparenza”, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12 del Regolamento).

Nel rilevare che le informative acquisite agli atti e sopra richiamate (v. par. 4 del presente provvedimento) risultano rivolte all’utenza e non ai dipendenti e che, dalla documentazione acquisita nel corso dell’istruttoria, non vi è alcuna evidenza che i dipendenti interessati siano stati resi edotti di tutti gli elementi espressamente richiesti dalla normativa in materia di protezione dei dati, deve ritenersi che l’Azienda non abbia fornito al personale interessato una rappresentazione chiara e trasparente del complessivo trattamento effettuato, con particolare riguardo alla raccolta e ai successivi utilizzi, nell’ambito del rapporto di lavoro e, segnatamente, anche a fini disciplinari, dei dati raccolti tramite gli strumenti tecnologici in uso a bordo degli autoveicoli aziendali (v., in particolare, art. 13, par. 1, lett. a), del Regolamento, per cui il titolare deve indicare agli interessati anche le “le finalità del trattamento cui sono destinati i dati personali”).

L’osservanza dell’obbligo di fornire agli interessati tutti gli elementi informativi essenziali previsti dal Regolamento risponde all’esigenza di consentire agli stessi di essere pienamente consapevoli, prima che il trattamento abbia inizio, delle caratteristiche dello stesso in relazione allo specifico contesto in cui gli interessati agiscono - nel caso di specie, quello lavorativo, connotato da un’intrinseca delicatezza - e presenta dunque anche lo scopo di consentire agli stessi di comprendere la tipologia delle operazioni di trattamento che, in tale ambito, possono essere svolte attingendo, in un quadro di liceità, ai dati raccolti (cfr., al riguardo, tra gli altri, provv. 28 maggio 2026, n. 382, in corso di pubblicazione; provv. 13 marzo 2025, n. 135, doc. web n. 10128005; provv. 11 aprile 2024, n. 234, doc. web n. 10013356 e provv. 1° dicembre 2022, n. 409, doc. web n. 9833530; v. anche sentenza della Corte Europea dei Diritti dell'Uomo del 5 settembre 2017 - Ricorso n. 61496/08 - Causa Barbulescu c. Romania, spec. par. n. 133 e 140).

Tanto anche alla luce dell’art. 4, comma 3, della l. 20 maggio 1970, n. 300, che subordina l’utilizzo a tutti i fini connessi al rapporto di lavoro dei dati acquisiti tramite gli strumenti di cui ai commi 1 e 2 del medesimo art. 4, proprio alla “condizione che sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli”, nel rispetto della disciplina di protezione dei dati. 

Ciò comporta, in particolare, che, in disparte dagli elementi informativi previsti dall’art. 13 del Regolamento, al fine di assicurare il pieno coordinamento con l’art. 4, comma 3, della l. 20 maggio 1970, n. 300, il datore di lavoro debba fornire al personale dipendente, anche mediante un unico documento, adeguate informazioni idonee ad assicurare compiuta rappresentazione “delle modalità d'uso degli strumenti e di effettuazione dei controlli”, quali, a titolo esemplificativo, ove ritenuto opportuno dal titolare in un’ottica di “responsabilizzazione” (art. 5, par. 2, del Regolamento): il funzionamento e le modalità di utilizzo dei predetti strumenti; le tipologie di dati personali raccolti; le condizioni e i presupposti al ricorrere dei quali il datore di lavoro può accedere a tali dati e utilizzarli a tutti i fini connessi al rapporto di lavoro, con l’indicazione delle specifiche finalità perseguite nello svolgimento di siffatti controlli, dando evidenza in particolare della possibilità di utilizzare tali dati a fini disciplinari nonché delle possibili conseguenze a carico dei dipendenti interessati; le concrete modalità operative di effettuazione dei controlli, l’indicazione delle categorie di soggetti autorizzati deputati allo svolgimento degli stessi e le garanzie previste a beneficio dei lavoratori interessati in tali casi.

Per le ragioni che precedono, non può ritenersi sufficiente, per i profili di protezione dei dati, la messa a disposizione del personale dipendente della disposizione di servizio n. XX dell’XX, sopra menzionata, peraltro relativa alle sole bodycam, recante unicamente informazioni sulle istruzioni operative a carico del personale interessato, con la sola precisazione che “l’inosservanza della […] disposizione sarà oggetto di specifico procedimento disciplinare”, difettando la stessa di una puntuale indicazione di tutti gli altri elementi informativi previsti dall’art. 13 del Regolamento, anche alla luce di quanto previsto dall’art. 4, comma 3, della l. 20 maggio 1970, n. 300.

Siffatto documento nonché, per altro verso, anche la stessa attività di formazione in favore dei dipendenti interessati non soddisfano, infatti, la funzione informativa richiesta dall’art. 13 del Regolamento e dalla richiamata normativa di settore in materia di controlli a distanza, essendo funzionali per propria natura ad assolvere a differenti adempimenti in capo al datore di lavoro, titolare del trattamento (v., tra i tanti precedenti, provv. 13 maggio 2021, n. 190, doc. web n. 9669974).

Si osserva, peraltro, che, nel sopra menzionato caso delle “tre studentesse” (cfr. nota prot. n. XX), risulta che la condotta contestata all’agente in servizio non fosse attinente al corretto utilizzo della bodycam in uso al dipendente – cui, come detto, la predetta disposizione n. XX dell’XX si riferisce, stabilendo che l’inosservanza della stessa comporta conseguenze sul piano disciplinare - ma concernesse piuttosto il “comportamento inappropriato” assunto dall’agente, tanto che l’Azienda ha al riguardo dichiarato di aver “avviato un’indagine interna al fine di verificare se quanto dichiarato dal padre della studentessa fosse effettivamente successo, [… poi mettendo] a confronto le immagini della bodycam […] con i verbali emessi” (cfr. nota del 16 ottobre 2024).

Deve dunque concludersi che l’Azienda, non avendo fornito ai dipendenti interessati tutti gli elementi informativi previsti dal Regolamento, anche alla luce di quanto previsto dall’art. 4, comma 3, della l. 20 maggio 1970, n. 300, ha agito in maniera non conforme al “principio di liceità, correttezza e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

4.2. L’utilizzo dei dati personali dei dipendenti a fini disciplinari in assenza di idonee garanzie informative.

Quanto all’utilizzo a fini disciplinari dei dati acquisiti tramite le bodycam e il sistema di localizzazione satellitare, si rammenta che, come sopra già evidenziato, il quadro normativo vigente consente che i dati raccolti ai sensi dell’art. 4, commi 1 e 2, della l. 20 maggio 1970, n. 300, possano essere utilizzati dal datore di lavoro “a tutti i fini connessi al rapporto di lavoro” al ricorrere di talune condizioni: 

1) che la raccolta sia avvenuta previa corretta valutazione circa la natura dello strumento utilizzato e, dunque, della sua riconducibilità al comma 1 o al comma 2 dell’art. 4 della l. 20 maggio 1970, n. 300, con conseguente applicazione dello specifico regime giuridico previsto dalla legge – assicurando, in particolare, per quanto concerne il caso del comma 1, l’osservanza delle garanzie procedurali previste;

2) che “sia data al lavoratore adeguata informazione delle modalità d'uso degli strumenti e di effettuazione dei controlli” (art. 4, comma 3, della l. 20 maggio 1970, n. 300);

3) che il trattamento sia effettuato “nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n.196” (art. 4, comma 3 della l. 20 maggio 1970, n. 300) e, in generale, dalla disciplina di protezione dei dati.     

Il richiamato quadro normativo consente quindi al titolare (datore di lavoro) di utilizzare, per ulteriori trattamenti necessari alla gestione del rapporto di lavoro e, dunque, anche a fini disciplinari, solo le informazioni raccolte nel rispetto delle condizioni e dei limiti previsti dall’art. 4 della l, 20 maggio 1970, n. 300, e della disciplina di protezione dati. In particolare, si fa presente che tali successive ed eventuali operazioni di trattamento presuppongono anche e specificamente la somministrazione agli interessati di un’adeguata informativa sui complessivi trattamenti che il datore di lavoro si riserva di effettuare, nei termini sopra già evidenziati (v. par. 4.1 del presente provvedimento).

Tali principi sono stati ribaditi dal Garante in numerosi provvedimenti, ancorché con riguardo all’impiego di differenti tecnologie nel contesto lavorativo (cfr., da ultimo, provv. 28 maggio 2026, n. 382, in corso di pubblicazione; provv. 17 aprile 2026, nn. 271 e 272, in corso di pubblicazione; provv. 13 marzo 2025, n. 135, doc. web n. 10128005; provv. 11 aprile 2024, n. 234, doc. web n. 10013356; provv. 13 maggio 2021, n. 190, doc. web n. 9669974; provv. 28 ottobre 2021, n. 384, doc. web n. 9722661).

Nel caso di specie risulta, invece, che l’Azienda ha utilizzato i dati personali dei dipendenti, originariamente raccolti e trattati tramite il sistema di geolocalizzazione e le bodycam, per contestare a taluni dipendenti addebiti disciplinari, in assenza di idonee garanzie sul piano informativo (v. par. 4.1 del presente provvedimento), dunque non rispettando i presupposti e le condizioni previste dalla richiamata disciplina di settore all’art. 4, comma 3, della l. 20 maggio 1970, n. 300 (cfr., a titolo esemplificativo, la richiamata nota di contestazione relativa a fatti risalenti all’8 novembre 2023 e relativi al transito presso le fermate in anticipo rispetto all’orario di tabellino; cfr. anche la nota di contestazione disciplinare prot. n. XX, relativa al caso delle “tre studentesse”, in cui, peraltro, l’addebito non riguarda le istruzioni operative di cui alla disposizione di servizio n. XX dell’XX ma, più in generale, la condotta assunta dall’operatore nell’esecuzione del servizio, v. sopra).

Ciò anche alla luce del disposto di cui all’art. 2-decies del Codice, che prevede in via di principio l’inutilizzabilità dei dati personali raccolti e trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali (tale principio è stato confermato in numerosi provvedimenti dell’Autorità e in documenti di indirizzo a carattere generale; cfr., tra i tanti, FAQ n. 13 in tema di oblio oncologico, doc. web n. 10044898, e FAQ n. 12 reperibile in https://www.garanteprivacy.it/temi/coronavirus/faq#scuola).

Più in generale, si evidenzia che, in via di principio, il titolare del trattamento può utilizzare i soli dati personali raccolti, avendo previamente “soddisfatto tutti i requisiti per la liceità del trattamento originario” (cfr. cons. n. 50 del Regolamento), dunque nei limiti in cui l’originaria raccolta sia stata lecitamente effettuata, nel rispetto dei principi generali di protezione dei dati e, in particolare, per quanto più rileva ai fini del caso di specie, nell’osservanza del principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a), del Regolamento). 

In particolare, i dati personali possono essere trattati per una finalità diversa da quella per la quale essi sono stati originariamente raccolti solo a condizione che il trattamento, cui inerisce la finalità originaria, sia avvenuto in un quadro complessivo di liceità, anche tenuto conto “del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento”, “delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati” nonché “dell'esistenza di garanzie adeguate” (v. art. 6, par. 4, del Regolamento).

Alla luce delle considerazioni che precedono (v. anche, in particolare, par. 4.1 del presente provvedimento), si ritiene che il trattamento effettuato dall’Azienda a fini disciplinari nel caso di specie sia avvenuto altresì in violazione dei principi di “liceità, correttezza e trasparenza” e “limitazione della finalità” nonché in assenza delle condizioni e dei presupposti per il lecito utilizzo delle informazioni previamente raccolte, in violazione degli artt. 5, par. 1, lett. a) e b), 6 e 88 del Regolamento e 2-ter e 114 del Codice, in relazione all’art. 4, comma 3, della l. 20 maggio 1970, n. 300.

4.3. L’omesso svolgimento della valutazione d’impatto sulla protezione dei dati in merito al trattamento effettuato tramite il sistema di videosorveglianza installato presso gli autoveicoli aziendali.

In attuazione del principio di “responsabilizzazione” (cfr. art. 5, par. 2, e 24 del Regolamento), spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali ai sensi dell’art. 35 del Regolamento (cfr. cons. 90 del Regolamento).

Nel caso di specie, il trattamento delle registrazioni video, mediante l’impianto di videosorveglianza installato a bordo dei bus e dei tram aziendali, è stato effettuato in assenza di una preliminare valutazione d’impatto sulla protezione dei dati.

Tenuto conto delle indicazioni fornite anche a livello europeo sul punto, si rileva, invece, che il trattamento in questione, comporta rischi specifici per i diritti e le libertà degli interessati nel contesto lavorativo (art. 35 del Regolamento).

Tanto in considerazione della particolare “vulnerabilità” degli interessati nel contesto lavorativo (cfr. cons. 75 e art. 88 del Regolamento e le “Linee guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento "possa presentare un rischio elevato" ai sensi del Regolamento 2016/679”, WP 248 del 4 aprile 2017, che, tra le categorie di interessati vulnerabili, menzionano espressamente “i dipendenti”) e del fatto che in tale ambito l’impiego di sistemi che comportano il “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” (cfr. criterio n. 3 indicato nelle Linee guida, cit., ma vedi anche criteri 4 e 7), può presentare rischi in termini di possibile monitoraggio dell’attività dei dipendenti (cfr. artt. 35 e 88, par. 2, del Regolamento; v. anche provv. 11 ottobre 2018, n. 467, doc. web n. 9058979, all. n. 1, che espressamente menziona i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici […] dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”; v., tra gli altri, provv. 16 novembre 2023, n. 578, doc. web n. 9963486 e provv. 1° dicembre 2022, n. 409, doc. web n. 9833530).

Sebbene, infatti, in base alle dichiarazioni rese dall’Azienda anche ai sensi dell’art. 168 del Codice, l’area videosorvegliata non comprenda anche la postazione di guida dei veicoli in questione, non è comunque possibile escludere l’eventuale acquisizione di immagini dei dipendenti, come ad esempio degli agenti o degli stessi autisti; occorre, peraltro, considerare che, in ogni caso, quanto agli autisti, le videocamere riprendono uno spazio che afferisce all’autoveicolo condotto dall’autista stesso, con la conseguenza che indubbiamente dalle riprese è possibile evincere anche informazioni in ordine allo stile di guida del dipendente, dunque in ordine all’assolvimento delle sue stesse mansioni lavorative.

Alla luce di quanto precede, si ritiene pertanto che il trattamento in questione, essendo effettuato in assenza di una previa valutazione d’impatto, si pone in violazione dell’art. 35 del Regolamento.

5. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, nei termini di cui sopra, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda, in qualità di datore di lavoro e titolare del trattamento, per aver trattato i dati personali dei propri dipendenti in violazione degli artt. 5, par. 1, lett. a), b), 6, 12, 13, 35 e 88 del Regolamento, nonché 2-ter e 114 del Codice, in relazione all’art. 4, comma 3, della l. 20 maggio 1970, n. 300. 

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5, 6, 12, 13 e 88 del Regolamento nonché 2-ter e 114 del Codice, in relazione all’art. 4, comma 3, della l. 20 maggio 1970, n. 300, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

6. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

Con riferimento ai profili di illiceità del trattamento rilevati nei paragrafi 4.1 e 4.3 del presente provvedimento (omessa informativa al personale interessato in ordine ai trattamenti effettuati tramite il sistema di geolocalizzazione satellitare e le bodycam e omessa valutazione d’impatto sulla protezione dei dati in ordine ai trattamenti effettuati tramite il sistema di videosorveglianza installato presso bus e tram aziendali), ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, si ritiene necessario che l’Azienda assicuri l’adozione - entro novanta giorni dalla notifica del presente provvedimento – delle seguenti specifiche misure per conformare i trattamenti alla normativa in materia di protezione dei dati personali:

- rendere l’informativa ai sensi dell’art. 13 del Regolamento al personale interessato in relazione ai trattamenti effettuati tramite il sistema di geolocalizzazione satellitare e le bodycam;

- svolgere una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 del Regolamento in ordine ai trattamenti effettuati tramite il sistema di videosorveglianza installato presso bus e tram aziendali.

Ai sensi dell’art. 157 del Codice, l’Azienda dovrà provvedere a confermare a questa Autorità di aver posto in essere le predette misure, entro trenta giorni dalla notifica del presente provvedimento.

7. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- il trattamento, che ha comportato l’instaurazione a carico di diversi dipendenti di procedimenti disciplinari, è avvenuto in assenza di idonee garanzie informative in favore dei dipendenti interessati (art. 83, par. 2, lett. a), del Regolamento);

- la violazione presenta carattere colposo, avendo peraltro l’Azienda assicurato nel caso di specie il rispetto delle garanzie procedurali previste dall’art. 4, comma 1, della l. 20 maggio 1970, n. 300 (art. 83, par. 2, lett. b), del Regolamento);

- il trattamento, pur riguardando informazioni delicate relative all’attività lavorativa, non ha interessato dati appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento), 

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- nel corso dell’istruttoria, il titolare ha offerto una piena cooperazione con l’Autorità (art. 83, par. 2, lett. f), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dal titolare con riferimento al trattamento dei dati in ambito lavorativo (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 15.000,00 (quindicimila/00) per la violazione degli artt. 5, par. 1, lett. a), b), 6, 12, 13, 35 e 88 del Regolamento, nonché 2-ter e 114 del Codice, in relazione all’art. 4, comma 3, della l. 20 maggio 1970, n. 300, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva. 

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che, nel caso oggetto della segnalazione, il trattamento posto in essere dall’Azienda ha riguardato soggetti vulnerabili, lavoratori, ed è avvenuto in assenza di idonee garanzie sul piano informativo a beneficio degli stessi interessati. 

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal titolare per violazione degli artt. 5, par. 1, lett. a), b), 6, 12, 13, 35 e 88 del Regolamento, nonché 2-ter e 114 del Codice, in relazione all’art. 4, comma 3, della l. 20 maggio 1970, n. 300, nei termini di cui in motivazione;

b) prescrive alla predetta Azienda, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di conformarsi, entro 90 giorni dalla data della notifica del presente provvedimento, alle prescrizioni formulate al paragrafo 6 del presente provvedimento;

c) prescrive alla predetta Azienda, ai sensi dell’art. 58, par. 1, lett. a), del Regolamento, e dell’art. 157 del Codice, di confermare a questa Autorità di aver posto in essere le misure indicate al precedente paragrafo 6 del presente provvedimento, entro trenta giorni dalla notifica del presente provvedimento; il mancato riscontro a una richiesta formulata ai sensi dell’art. 157 del Codice è punito con la sanzione amministrativa, ai sensi del combinato disposto di cui agli artt. 83, par. 5, del Regolamento e 166 del Codice;

ORDINA

all’Azienda Trasporti Messina S.p.a., in persona del legale rappresentante pro-tempore, con sede legale in Via La Farina, n. 336 - 98124 Messina, P. IVA 03573940834, di pagare la somma di euro 15.000,00 (quindicimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 15.000,00 (quindicimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 18 giugno 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni 

IL SEGRETARIO GENERALE
Montuori