[doc. web n. 10293872]

Provvedimento del 17 aprile 2026

Registro dei provvedimenti
n. 282 del 17 aprile 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento sanzionatorio

1.1. Con comunicazione pervenuta il 6.10.2025, la Questura di Roma – Commissariato di P.S. distaccato “Genzano” ha trasmesso al Garante il verbale di operazioni compiute redatto in occasione del sopralluogo del 12 settembre 2025 presso l’esercizio pubblico “XX” di XX (P.IVA XX), sito in Genzano, via Giuseppe Garibaldi 8.  

Dal predetto verbale risulta la presenza di un impianto di videosorveglianza costituito da due telecamere, una sola delle quali funzionante, le cui immagini sono visualizzabili da remoto dal titolare dell’esercizio commerciale mediante app installata sul cellulare in grado di riprendere l’addetto presente nell’esercizio commerciale. Dal suddetto verbale risulta la mancata autorizzazione all’installazione degli apparati di ripresa da parte del competente Ispettorato Territoriale del Lavoro.

1.2. In considerazione degli elementi così acquisiti, con nota del 6 febbraio 2026 (prot. n. 18035), l’Ufficio provvedeva a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, che qui si intende richiamato, in relazione alla violazione del principio di liceità di cui agli articoli 5, par. 1, lett. a) e 6 del Regolamento in relazione agli articoli 114 del Codice e 88, par. 1, del Regolamento. 

1.3. Nonostante l’invito a produrre scritti difensivi in relazione al procedimento sanzionatorio a suo carico, il titolare del trattamento non ha fatto pervenire alcun riscontro all’Autorità. 

2. Il quadro giuridico del trattamento effettuato

2.1. L’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento anche nel caso in cui vi sia solo raccolta di dati personali e visualizzazione da remoto degli stessi mediante smartphone senza registrazione, come dichiarato nel caso di specie (in tal senso v. anche Cass. 2 settembre 2015, n. 17740). 

2.2. Tale trattamento deve pertanto essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, del principio di liceità di cui agli articoli 5, par. 1, lett. a) e 6 del Regolamento nonché dell’art. 114 del Codice che, sulla scorta della previsione contenuta nell’art. 88, par. 1, del Regolamento, si declina nel dovere di osservare quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300. 

Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori, nel caso di specie mediante il richiamo operato, quale disposizione più specifica, dall’art. 114 del Codice alle disposizioni contenute nell’art. 4, legge 20 maggio 1970, n. 300. In base ad essa gli apparati di videosorveglianza, qualora dagli stessi derivi “anche la possibilità di controllo a distanza” dell'attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro. 

L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza. La violazione di tale disposizione è penalmente sanzionata (v. art. 171 del Codice). La predetta procedura di garanzia, come più volte sottolineato dalla giurisprudenza di legittimità, “tutela interessi di carattere collettivo e superindividuale”, per cui, nel caso in cui il datore di lavoro non la attivi, la sua condotta lederà gli interessi collettivi a presidio dei quali è posta (v., tra le altre, Cass. pen, sez. III, 17 dicembre 2019, n. 50919). Solo attraverso tale procedura, quindi, per il tramite delle rappresentanze sindacali o dell’Ispettorato del lavoro, potrà essere correttamente valutata l’idoneità a ledere la dignità dei lavoratori di strumenti tecnologici dai quali possa derivare un controllo a distanza dei lavoratori e potrà essere verificata l'effettiva rispondenza di detti impianti alle esigenze tecnico-produttive o di sicurezza. L’inderogabilità della citata procedura risponde anche alla situazione di sproporzione esistente tra la posizione datoriale e quella dei lavoratori.

2.3. Le violazioni degli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento sono soggette, ricorrendone i presupposti, all’applicazione di sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. a) e d) del Regolamento.

3. Esito dell’istruttoria e illiceità del trattamento

3.1. Il trattamento dei dati personali effettuato nel caso di specie dal titolare del trattamento attraverso il sistema di videosorveglianza non si è informato al quadro regolatorio sopra richiamato. Infatti, sulla base del menzionato verbale di accertamento è emerso che l’impianto di videosorveglianza in parola, attivo e funzionante, era sprovvisto, al momento del controllo, della necessaria autorizzazione dell’Ispettorato del Lavoro.

Tale condotta si pone quindi in contrasto con quanto stabilito dagli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento nonché dell’art. 114 del Codice, in base al quale il titolare del trattamento è tenuto al rispetto delle garanzie previste dall’art. 4 della l. n. 300/1970.

3.2. Alla luce di tali considerazioni, si confermano le valutazioni preliminari dell’Ufficio in ordine ai profili di illiceità sopra evidenziati. 
 
3.3. Tanto premesso, occorre, tuttavia tenere in considerazione taluni elementi emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta tenuta dal titolare del trattamento (v. cons. 148 del Regolamento), in capo al quale non risultano precedenti violazioni pertinenti, rispetto al contesto oggetto di reclamo, commesse dall’impresa (art. 83, par. 2, lett. e), del Regolamento).

3.4. Alla luce di quanto rappresentato e dei termini complessivi della vicenda in esame, si ritiene pertanto di adottare un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i), del Regolamento per l’applicazione di una sanzione amministrativa pecuniaria in ordine alla violazione delle disposizioni sopra richiamate al punto 3.1. 

3.5. In relazione alla accertata violazione del principio di liceità, essendo l’impianto di videosorveglianza sprovvisto della necessaria autorizzazione dell’Ispettorato del Lavoro e non essendo presenti in atti elementi volti ad assicurare che la condotta abbia esaurito i suoi effetti, anche in considerazione del fatto che il titolare del trattamento non ha fornito, neanche in tempi successivi alla notificazione delle violazioni effettuata ai sensi dell’art. 166 del Codice, elementi idonei a comprovare l’avvenuta conformazione del trattamento al quadro regolatorio sopra esposto, ricorrono i presupposti per l’adozione di misure correttive di cui all’art. 58, par. 2, lett. d) del Regolamento e, in particolare si ritiene necessario disporre la limitazione del trattamento ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, fino all’eventuale ottenimento dell’autorizzazione di cui all’art. 4, l. n. 300/1970.   

5. Ordinanza di ingiunzione

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, l. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato dal titolare del trattamento, per mezzo del descritto impianto di videosorveglianza, in violazione del principio di liceità in ragione della mancata adozione delle garanzie previste dall’art. 4 della legge n. 300/1970. 

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), nel caso di specie sono state tenute in considerazione le circostanze sotto riportate:

a. con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la responsabilità del titolare del trattamento connessa all’inadempimento dell’obbligo di rispettare le garanzie previste dall’art. 4, l. n. 300/1970;

b. quale fattore attenuante, l’assenza di precedenti specifici a carico del titolare del trattamento relativi a violazioni della disciplina in materia di protezione dei dati personali.

In ragione dei suddetti elementi, valutati nel loro complesso, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.000,00 (mille) per la violazione degli artt. 5, par. 1, lett. a), 88 del Regolamento e 114 del Codice.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare del trattamento individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a), 88 del Regolamento e 114 del Codice;

ORDINA

al titolare del trattamento di pagare la somma di euro 1.000,00 (mille) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione; 

INGIUNGE

al medesimo titolare del trattamento:

- di pagare la somma di euro 1.000,00 (mille), secondo le modalità indicate nel documento allegato al presente provvedimento, entro 30 giorni dalla notifica dello stesso, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si rappresenta in proposito che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

- di limitare il trattamento posto in essere mediante l’impianto di videosorveglianza, ai sensi dell’art. 58, par. 2, lett. f) del Regolamento, con divieto di effettuazione dello stesso nei termini di cui in motivazione, sino all’eventuale conseguimento dell’autorizzazione prevista dall’art. 4, comma 1, l. 20 maggio 1970, n. 300. 

DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, tenuto conto della natura delle violazioni, oggetto di reiterati provvedimenti da parte del Garante, nonché in ragione del numero di soggetti coinvolti dal trattamento, omessi i dati personali del legale rappresentate dell’impresa individuale titolare del trattamento; 

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 aprile 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori