[doc. web n. 10175293]

Provvedimento del 17 luglio 2025

Registro dei provvedimenti
n. 430 del 17 luglio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101, recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE, il dott. Agostino Ghiglia;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento sanzionatorio

1.1. Con nota del 4 febbraio 2025, la Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche ha trasmesso a questa Autorità il verbale di operazioni compiute e i verbali di assunzione di informazioni redatti rispettivamente in data 10.10.2024, 22.10.2024 e 18.11.2025 − a loro volta trasmessi dal Gruppo della Guardia di finanza di Verona − con i quali veniva accertata la presenza di un impianto di videosorveglianza costituito da 3 telecamere, due esterne ed una interna, presso l’unità locale dell’impresa individuale Usman Travels di Sarwar Usman situata in Verona, via San Giacomo 2 (P.I. 02282280227) (di seguito, il “titolare del trattamento”).

Dai predetti verbali risultava che il trattamento dei dati personali effettuato mediante tale impianto non era segnalato da idonei cartelli informativi e, ancorché fosse stata rilevata la presenza di lavoratori alle dipendenze dell’impresa la cui attività era suscettibile di essere ripresa a distanza da tale impianto di videosorveglianza, non risultano soddisfatte le garanzie previste dall’art. 4, l. n. 300/1970 e, in particolare, il titolare del trattamento era sprovvisto della necessaria autorizzazione dell’Ispettorato del Lavoro.

Il verbale di sommarie informazioni riferiva che sia il titolare dell’impresa individuale che un dipendente avevano dichiarato di non sapere se le telecamere esterne fossero funzionanti, essendo state installate dal precedente gestore dell’esercizio commerciale. In particolare, in relazione ad una telecamera collocata all’interno dell’esercizio commerciale, risultava dalle dichiarazioni rese (cfr. verbale del 22 ottobre 2024 e, in termini, verbale del 18 novembre 2024), che la stessa:

a) è mobile ed è in grado di riprendere “sia i lavoratori presenti che i clienti che vi accedono”;

b) le immagini oggetto di ripresa “sono consultabili in tempo reale attraverso apposita applicazione installata nel telefonino del titolare […] dell’impresa” che ne ha altresì curato l’installazione;

c) la telecamera, “fornita di sistema di zoom”, “è manovrabile da remoto” e le immagini riprese “sono a colori e nitide”.

Da parte del titolare del trattamento veniva altresì riferito di aver apposto, successivamente al controllo ispettivo (avvenuto in data 11.10.2024), i cartelli informativi per segnalare la presenza delle telecamere all’interno dell’esercizio commerciale e all’esterno dello stesso.

1.2. Alla luce degli atti inviati dalla Guardia di finanza di Verona con nota del 13 maggio 2025 (prot. n. 64418), l’Ufficio provvedeva a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, che qui si intende integralmente richiamato, in relazione alla violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento e degli artt. 114 del Codice e 88 del Regolamento quanto alla disciplina applicabile in materia.

1.3. Con nota del 13 giugno 2025, il titolare del trattamento faceva pervenire al Garante scritti difensivi in relazione al procedimento sanzionatorio a suo carico, dichiarando che le telecamere esterne non sarebbero state funzionanti e, relativamente al trattamento effettuato dalla telecamera interna, di aver installato cartelli informativi e aver altresì provveduto, in data 13 giugno 2025, a presentare istanza di autorizzazione all’Ispettorato del Lavoro di Verona.

È stato altresì dichiarato che la telecamera interna sarebbe stata installata solo pochi giorni prima della data del controllo ispettivo e che, successivamente allo stesso, era stata disinstallata.

2. Il quadro giuridico del trattamento effettuato

2.1. Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento, lo stesso deve essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, in particolare del principio di trasparenza, il quale si declina nel dovere di informazione gravante sul titolare del trattamento in base all’art. 13 del Regolamento.

A tale scopo, quindi, con particolare riferimento ai trattamenti effettuati mediante impianti di videosorveglianza, “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”; di qui la necessità che il titolare del trattamento predisponga idonei cartelli informativi affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza”. In tal senso, da tempo il Garante ha fornito proprie indicazioni (cfr. punto 3.1 del provv. 8 aprile 2010, doc. web n. 1712680; v. anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità; per una fattispecie individuale di natura analoga v. provv. 6 luglio 2023, n. 293, doc. web n. 9920881) e, analogamente, il Comitato europeo per la protezione dei dati, con le Linee Guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, ha specificato che “le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)” (cfr. punto 7). Nelle stesse linee guida si prevede inoltre che “tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”.

Tali informazioni dovrebbero inoltre essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi), per consentirgli “di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

2.2. L’utilizzo di sistemi di videosorveglianza determina, inoltre, un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento – anche nel caso in cui vi sia solo raccolta di dati personali e visualizzazione da remoto degli stessi mediante smartphone senza registrazione, come dichiarato nel caso di specie (in tal senso v. anche Cass. 2 settembre 2015, n. 17740). Anche tale trattamento deve pertanto deve essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, in particolare del principio di liceità, il quale si declina nel dovere di osservare quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300, richiamato dall’art. 114 del Codice.

In particolare, i trattamenti di dati personali effettuati tramite impianti di videosorveglianza nell’ambito della gestione del rapporto di lavoro, in quanto a tal fine necessari (artt. 6, par. 1, lett. c) e 9, par. 2, lett. b) del Regolamento), devono svolgersi nel rispetto dei principi generali indicati dall’art. 5 del Regolamento, ed in particolare del principio di liceità, in base al quale il trattamento è lecito se è conforme alle discipline di settore applicabili (art. 5, par. 1, lett. a) del Regolamento). Coerentemente con tale impostazione, l’art. 88 del Regolamento ha fatto salve le norme nazionali di maggior tutela (“norme più specifiche”) volte ad assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei lavoratori. Al riguardo, come è noto, il legislatore nazionale ha approvato, quale disposizione più specifica, l’art. 114 del Codice che tra le condizioni di liceità del trattamento ha stabilito l’osservanza di quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300. La violazione dell’art. 88 del Regolamento è soggetta, ricorrendone i requisiti, all’applicazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, lett. d) del Regolamento.

In base al richiamato art. 4, l. n. 300/1970 gli apparati di videosorveglianza, qualora dagli stessi derivi “anche la possibilità di controllo a distanza” dell'attività dei dipendenti, “possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale” e la relativa installazione deve, in ogni caso, essere eseguita previa stipulazione di un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali o, ove non sia stato possibile raggiungere tale accordo o in caso di assenza delle rappresentanze, solo in quanto preceduta dal rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.

L’attivazione e la conclusione di tale procedura di garanzia è dunque condizione indefettibile per l’installazione di sistemi di videosorveglianza e condizione di liceità del trattamento di dati personali che ne deriva. La violazione di tale disposizione è, peraltro, penalmente sanzionata (v. art. 171 del Codice).

La predetta procedura di garanzia, come più volte sottolineato dalla giurisprudenza di legittimità, “tutela interessi di carattere collettivo e superindividuale”, per cui, nel caso in cui il datore di lavoro non la attivi, la sua condotta lederà gli interessi collettivi a presidio dei quali è posta (v., tra le altre, Cass. pen, sez. III, 17 dicembre 2019, n. 50919). Solo attraverso tale procedura, quindi, per il tramite delle rappresentanze sindacali o dell’Ispettorato del lavoro, potrà essere correttamente valutata l’idoneità a ledere la dignità dei lavoratori di strumenti tecnologici dai quali possa derivare un controllo a distanza dei lavoratori e potrà essere verificata l'effettiva rispondenza di detti impianti alle esigenze tecnico-produttive o di sicurezza. L’inderogabilità della citata procedura risponde anche alla situazione di sproporzione esistente tra la posizione datoriale e quella dei lavoratori.

3. L’esito dell’istruttoria

Il trattamento dei dati personali effettuato nel caso di specie dal titolare del trattamento attraverso il sistema di videosorveglianza non si è informato al quadro regolatorio sopra richiamato.

Infatti, sulla base del menzionato verbale di accertamento e della relativa documentazione fotografica è emerso che l’impianto di videosorveglianza in parola, attivo e funzionante, era sprovvisto di idonei cartelli informativi.

Tale condotta si pone in contrasto con quanto stabilito dall’art. 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento, nonché del principio generale di trasparenza del trattamento di cui all’art. 5, par. 1, lett. a) del medesimo Regolamento.

Inoltre, sulla base del menzionato verbale di accertamento è emerso che l’impianto di videosorveglianza in parola, attivo e funzionante, era sprovvisto della necessaria autorizzazione dell’Ispettorato del Lavoro.

4. Illiceità del trattamento

Alla luce di tali considerazioni, l’Autorità rileva l’illiceità del trattamento effettuato dal titolare del trattamento in quanto posto in essere in violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento in relazione alla mancata apposizione di idonei cartelli informativi e altresì degli artt. 5, par. 1, lett. a) e 88 del Regolamento unitamente all’art. 114 del Codice e 4, l. n. 300/1970, in quanto sprovvisto della necessaria autorizzazione dell’Ispettorato del Lavoro.

[OMISSIS]

[OMISSIS]

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a), in relazione al principio di trasparenza, e 13 del Regolamento nonché degli artt. 5, par. 1, lett. a), con riguardo al principio di liceità del trattamento, e degli artt. 114 del Codice e 4 della l. n. 300/1970;

[OMISSIS]

DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, [OMISSIS]

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 luglio 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE REGGENTE
Filippi