[doc. web n. 10196164]

Provvedimento del 23 ottobre 2025

Registro dei provvedimenti
n. 628 del 23 novembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, la Sig.ra XX, ex dipendente del Comune di Curtarolo (di seguito, il “Comune”), ha rappresentato che “in data XX è stato attivato nei [propri] confronti […] [un] procedimento disciplinare per fatti avvenuti dal XXal XX sulla base di documentazione video e fotografica”, ottenuta con un “utilizzo illegittimo degli impianti di videosorveglianza […]”.

Con un’integrazione al proprio reclamo, la reclamante ha poi rappresentato che, nell’ambito di un procedimento penale avviato nei propri confronti in relazione a tali fatti, che si è concluso senza addebiti per la stessa, è emersa “dal verbale di altre sommarie informazioni testimoniali […] [un’] ulteriore violazione della privacy […], avendo [la Sindaca del Comune] incaricato un privato cittadino a riprender[e] [la reclamante] mentre pranzav[a] con due colleghe in periodo di malattia (peraltro in maniera pienamente legittima in quanto al di fuori della fasce di reperibilità); tale filmato è stato trasmesso [tramite un’applicazione informatica di messagistica istantanea] sul cellulare privato del sindaco ed utilizzat[o] [all’] insaputa [della reclamante] e del tutto illecitamente”.

La reclamante ha, inoltre, segnalato all’Autorità, ai sensi dell’art. 144 del Codice, che il Comune si sarebbe dotato di un sistema di videosorveglianza senza aver, tuttavia, collocato i richiesti cartelli informativi contenenti l’informativa sul trattamento dei dati personali di primo livello e, più in generale, senza aver adempiuto ai principali obblighi previsti dalla normativa in materia di protezione dei dati.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (v. nota prot. n. XX del XX), formulata ai sensi dell’art. 157 del Codice, il Comune, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

A) in relazione al trattamento di dati personali posto in essere mediante telecamere di videosorveglianza installate sulla pubblica via:

“con delibera del Consiglio Comunale del XX, [il Comune] affidava alla Federazione dei Comuni del Camposampierese [di seguito, la “Federazione”] attraverso apposita convenzione […] la gestione operativa […] del sistema di videosorveglianza […]”;

“il Comune con proprio affidamento in data XX […] si dotava di un sistema di videosorveglianza territoriale con tre dispositivi […, di cui uno] installato in Piazza Martiri […]”;

“la Federazione poi, nel corso del XX […]) provvedeva, […] all’acquisto e all’installazione di altri quattro dispositivi con messa in funzione del sistema software e videoregistrazione delle vie cittadine del Comune […], affidato alla Polizia locale”;

“il Comune ha affidato [alla Federazione, quale] responsabile [del trattamento] il [compito di assicurare il] rispetto degli obblighi di informativa all’interessato ai sensi dell’art. 13 […] del [Regolamento]”;

“tutte le telecamere di videosorveglianza […], installate sulla pubblica via, hanno sempre avuto le seguenti finalità e basi giuridiche: a) finalità di tutela della sicurezza urbana e della sicurezza pubblica […]. Base giuridica: […] art. 5 D.Lgs. 51/2018; b) finalità di tutela del patrimonio comunale […]; c) finalità di tutela della sicurezza stradale e controllo della circolazione dei veicoli […]. Base giuridica: […] art. 6, paragrafo 1, lettera e) [del Regolamento]; d) finalità di tutela ambientale e polizia amministrativa […]. Base giuridica: […] art. 6, paragrafo 1, lettera e) [del Regolamento]; e) […] unicamente in qualità di polizia giudiziaria, per finalità di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nell’ambito di attività di P.G. Base giuridica: […] art. 6, paragrafo 1, lettera e) [del Regolamento] […]; art. 5 D.Lgs. 51/2018”;

“il Comune ha pubblicato sul proprio sito web l’informativa sul trattamento dei dati personali relativi al sistema di videosorveglianza redatto dalla Federazione in data XX

“è stato approvato il patto per l’attuazione della sicurezza urbana stipulato con la Prefettura di Padova [con] delibera n. XX del XX”;

“il Comune ha iniziato a redigere la valutazione di impatto [sulla protezione dei dati], che è in fase di conclusione […]”;

“la […] conservazione delle immagini, il cui tempo di conservazione è di sette giorni, è affidata alla Polizia locale presso i locali della Federazione”;

B) in relazione all’utilizzo dei filmati di videosorveglianza in cui compare la reclamante:

non è stato concluso “alcun accordo con le rappresentanze sindacali, né autorizzazione dell’Ispettorato […]. La telecamera […] riprende [infatti] la zona per ragioni di pubblica sicurezza ai soli fini prevenzione e accertamento dei reati […] [con] ripresa […] a 360 gradi per tutta l’area circostante”;

“[…] a seguito di apposite segnalazioni di alcuni dipendenti del comune […] la [Sindaca] […], nella sua qualità di Ufficiale di Polizia Locale/Ufficiale di Polizia Giudiziaria art. 57 c[p]p, […] si attivava richiedendo alla Polizia locale della Federazione […] di acquisire riprese della pubblica via”;

“i fatti contestati alla reclamante, consistenti nell’aver sistematicamente evitato di timbrare il cartellino marcatempo in occasione delle sue ripetute uscite dalla sede comunale, hanno portato […] ad emettere un provvedimento di licenziamento senza preavviso”;

“a seguito della visione dei predetti filmati, si evidenziavano elementi che, potendo avere rilevanza penale e disciplinare, venivano sottoposti all’attenzione delle autorità preposte (ossia [il competente ufficio per i procedimenti disciplinari]) e successivamente […] anche agli organi inquirenti (a mezzo di denuncia di data XX presentata presso la Stazione dei Carabinieri di Piazzola sul Brenta)”;

“[…] tale attività veniva posta in essere - essendo una notizia di un reato perseguibile d’ufficio - in qualità di Pubblico Ufficiale e/o Ufficiale di Polizia Giudiziaria ex art. 57, comma 1, lett. c), c.p.p. (stante l’assenza sul territorio comunale “di un ufficio della polizia di Stato ovvero un comando dell'arma dei carabinieri o della guardia di finanza”)”;

C) in relazione all’utilizzo di un video, ripreso da un dipendente del Comune, in cui compare la reclamante e alcune sue colleghe, nonché alla trasmissione dello stesso alla Sindaca mediante un’applicazione informatica di messagistica istantanea:

“la [Sindaca], appreso che la reclamante durante il periodo di malattia […] era stata vista passeggiare […] e pranzare con delle colleghe incaricava […] [un] collaboratore comunale […] affinché raccogliesse indizi (video) relativi a tale circostanza. Il video relativo al giorno XX […] è stato registrato e trasferito mediante [un’] applicazione [di messaggistica] sull’utenza personale del Sindaco dallo stesso collaboratore […], dopo il trasferimento di tali immagini alla [Sindaca], le stesse venivano immediatamente cancellate”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento:

per aver lo stesso posto in essere un trattamento di dati personali, mediante dispositivi video, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice;

per aver omesso di fornire agli interessati un’idonea informativa sul trattamento dei dati personali, agendo in maniera non conforme al principio di “liceità, corretta e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento;

per aver omesso di eseguire una valutazione di impatto sulla protezione dei dati prima di dare avvio al trattamento, in violazione dell’art. 35 del Regolamento;

per aver sottoposto a videosorveglianza l’ingresso della casa comunale senza aver assicurato il rispetto delle garanzie previste dall’art. 4 della l. n. 300/1970 e per aver utilizzato a fini disciplinari i filmati di videosorveglianza, in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “limitazione della finalità”, in violazione degli artt. 5, par. 1, lett. a) e b), 6 e 88 del Regolamento, nonché 114 del Codice (in riferimento all’art. 4 della l. 300/1970);

per aver svolto attività investigative o comunque di accertamento in merito ad attività poste in essere dalla reclamante e altre due dipendenti al di fuori dell’orario di lavoro, per il tramite di un proprio collaboratore e mediante dispositivi video, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento, nonché 113 del Codice (in riferimento all'art. 8 della l. 300/1970).

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Comune ha presentato una memoria difensiva, dichiarando, in particolare, che:

“[…] proprio nella visione delle immagini di videosorveglianza e il raffronto tra le stesse con le attestazioni delle presenze si è sostanziata la legittima acquisizione della notizia di reato […]”;

“[…] al netto delle forme di redazione della [denuncia], l’atto introduttivo dell’azione investigativa dev’essere considerato, sul piano sostanziale, quale evidente comunicazione di notizia di reato ex art. 347 c.p.p.”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (v. verbale prot. n. XX della medesima data), il Comune ha dichiarato, in particolare, che “l’interessata non ha […] subito alcun danno per effetto del trattamento”, fornendo elementi di valutazione al riguardo.

3. Esito dell’attività istruttoria.

3.1 Il trattamento di dati personali mediante dispositivi video installati sulla pubblica via.

All’esito dell’istruttoria avviata dall’Ufficio è emerso che il Comune si è dotato di un sistema di videosorveglianza, la cui gestione tecnica è stata affidata alla Federazione, composto da alcune telecamere, installate sulla pubblica via, di cui soltanto cinque risultano allo stato attive e funzionanti.

Inoltre, il Comune ha installato ulteriori due dispositivi video, dotati di funzionalità di lettura automatica delle targhe dei veicoli in transito, per la tutela della sicurezza stradale e il controllo della circolazione dei veicoli.

L’impiego dei predetti dispositivi video da parte del Comune non risulta, tuttavia, conforme alla disciplina in materia di protezione dei dati personali, come di seguito illustrato.

3.2. La liceità del trattamento.

Il trattamento di dati personali mediante dispositivi video, da parte di soggetti pubblici, è generalmente ammesso se esso è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito lo stesso (v. art. 6, parr. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché art. 2-ter del Codice; cfr. par. 41 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il 29 gennaio 2020).

L’art. 6, par. 3, del Regolamento - in aderenza a quanto previsto dagli artt. 8 della Convenzione europea dei diritti dell’uomo e 7, 8 e 52 della Carta dei diritti fondamentali dell’Unione europea - precisa che la base giuridica su cui si fonda il trattamento dei dati di cui al par. 1, lett. c) ed e), deve essere stabilita dal diritto dell'Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento, che deve determinare la finalità del trattamento, nonché contenere disposizioni specifiche per adeguare l'applicazione delle norme del Regolamento, fermo restando che il diritto dell'Unione o degli Stati membri deve, in ogni caso, perseguire un obiettivo d’interesse pubblico ed essere proporzionato all'obiettivo legittimo perseguito.

Il titolare del trattamento è poi, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati (v. art. 5 del Regolamento), tra cui quello di “liceità, correttezza e trasparenza”, e deve essere in grado di dimostrare che il trattamento è effettuato in conformità al Regolamento (artt. 5, par. 2, e 24 del Regolamento).

Ciò premesso, si osserva che il Comune ha dichiarato che i quattro dispositivi di videosorveglianza impiegati sarebbero, anzitutto, strumentali alla tutela della sicurezza urbana.

Al riguardo, deve rilevarsi che, in base alla vigente disciplina di settore (v. artt. 4 e 5, co. 2, lett. a), del d.l. 20 febbraio 2017, n. 14; v. anche art. 6, co. 7 e 8, del d.l. 23 febbraio 2009, n. 11; cfr. provv.ti 10 aprile 2025, n. 201, doc. web n. 10139433; 19 dicembre 2024, n. 805, doc. web n. 10107263; 11 gennaio 2024, n. 5, doc. web n. 9977020 e 20 ottobre 2022, n. 341, doc. web n. 9831369), i Comuni possono installare telecamere di videosorveglianza sulla pubblica via per la “prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria”, previa stipula di un patto per l’attuazione della sicurezza urbana con la Prefettura territorialmente competente.

Il Comune ha stipulato tale patto con la Prefettura di Padova in data XX e, pertanto, successivamente alla data di installazione di due delle predette cinque telecamere di videosorveglianza che allo stato risultano attive (una telecamera installata in Piazza Martiri e due telecamere installate presso il Parco Impianti Sportivi il XX), senza peraltro indicare puntualmente, nell’ambito del predetto patto, le specifiche aree del territorio comunale da sottoporre a videosorveglianza (v. l’art. 2 del patto, ove si indicano, in modo del tutto generico, “incroci stradali, piazze e aree pubbliche, parchi pubblici e immobili, plessi scolastici e istituzionali”). Ciò con la conseguenza che anche l’impiego delle telecamere installate dal Comune successivamente alla data di stipula di detto patto non può ritenersi conforme al richiamato quadro giudico di settore, non essendo stata effettuata alcuna valutazione, congiuntamente alle competenti autorità di pubblica sicurezza, in merito all’effettiva esigenza di ricorrere alla videosorveglianza negli specifici siti in cui le stesse sono state installate per la tutela della sicurezza urbana, con conseguente impossibilità di ricondurre i trattamenti di dati personali in questione alla disciplina di settore di cui all’art. 5, co. 2, lett. a), del d.l. 20 febbraio 2017, n. 14.

Deve, inoltre, osservarsi che la finalità di “prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nell’ambito di attività di [polizia giudiziaria]”, richiamata dal Comune, non può giustificare l’impiego ex ante di telecamere di videosorveglianza, indipendentemente, cioè, da specifiche attività d’indagine poste in essere dalla Polizia locale per conto, alle dipendenze e sotto la direzione dell’autorità giudiziaria (cfr. artt. 5, comma 4, della l. 7 marzo 1986, n. 65 e 56 c.p.p.), potendo tale finalità eventualmente venire in rilievo nel caso in cui, nell’ambito dell’attività di videosorveglianza già posta in essere per la tutela della sicurezza urbana, conformemente al richiamato quadro di settore, talune immagini possano effettivamente costituire elementi di prova di responsabilità di natura penale e debbano essere, pertanto, acquisite ai fini dei connessi procedimenti giudiziari (v. art. 55 c.p.p.; cfr. Cass. pen., Sez. III, Sent. 30/08/2022, n. 31930, ove si legge che “costituisce […] insegnamento risalente, ma mai messo in discussione, quello secondo cui, ai sensi della L. 7 marzo 1986, n. 65, art. 5 e dell'art. 57 c.p.p., comma 2, lett. b), la qualità di agenti di polizia giudiziaria è espressamente attribuita alle guardie dei comuni, alle quali è riconosciuto il potere di intervento nell'ambito territoriale dell'ente di appartenenza e nei limiti delle proprie attribuzioni, tra le quali rientra lo svolgimento di funzioni attinenti all'accertamento di reati di qualsiasi genere, che si siano verificati in loro presenza, e che richieda un pronto intervento anche al fine di acquisizione probatoria”; v. anche provv.ti 11 aprile 2024, n. 234, doc. web n. 10013356; 16 novembre 2023, n. 577 e 578, doc. web nn. doc. web n. 9963453 e 9963486; 9 giugno 2022, n. 214, doc. web n. 9794895).

Per quanto concerne, invece, la finalità di “tutela ambientale e polizia amministrativa”, pure invocata nel corso dell’istruttoria, il Comune non ha indicato alcuna disposizione di settore, idonea per rango e qualità, che consenta ai Comuni di sottoporre a videosorveglianza la pubblica via, con ampio angolo di ripresa e su base continuativa, per il perseguimento di tale finalità di trattamento, non avendo, peraltro, l’Ente illustrato le specifiche violazioni di natura amministrativa che sarebbero potenzialmente accertabili mediante le telecamere di videosorveglianza in questione e le modalità con cui sarebbe effettuata l’identificazione dei presunti trasgressori ripresi. Occorre, infatti, considerare che tale finalità di trattamento non può essere perseguita con le medesime telecamere di videosorveglianza che riprendono ad ampio raggio la pubblica via per finalità di sicurezza urbana, potendo, invece, gli Enti locali, nel quadro giuridico applicabile al tempo dei fatto oggetto di reclamo, utilizzare dispositivi video (c.d. fototrappole) collocati in specifiche e circoscritte aree, su cui insiste un effettivo rischio di illecito abbandono di rifiuti o scorretto conferimento degli stessi, a condizione che tali aree siano debitamente segnalate con cartelli informativi (in maniera tale che gli interessati abbiano piena contezza del fatto di essere ripresi e possano, se del caso e ove possibile, decidere di sottrarsi alla videosorveglianza) e solo se non risulta possibile, o si riveli non efficace, il ricorso a strumenti e sistemi di controllo alternativi; ciò comunque nel rispetto del principio di minimizzazione dei dati, che impone di configurare tali dispositivi con un angolo di visuale circoscritto alle aree interessate dai predetti fenomeni, tipicamente caratterizzate da scarsa o limitata presenza umana (v. FAQ del Garante in materia di videosorveglianza del 3 dicembre 2020, doc web. n. 9496574, n. 13; v. già il “Provvedimento in materia di videosorveglianza” del Garante, dell’8 aprile 2010, doc. web n. 1712680, par. 5.2; si veda, tuttavia, la nuova formulazione dell’art. 255, comma 1, del d.lgs 3 aprile 2006, n. 152 - Norme in materia ambientale, come modificato prima dall’art. 6-ter del d.l. 10 agosto 2023, n. 105, convertito con l. 9 ottobre 2023, n. 137, e poi, da ultimo, dall’art. 1, comma 1, del d.l. 8 agosto 2025, n. 116, convertito con l. 3 ottobre 2025, n. 147, che ha attratto all’alveo penale talune condotte in materia di tutela ambientale, prima sanzionate soltanto in via amministrativa).

Da ultimo, per quanto attiene all’impiego dei tre dispositivi video dotati di funzionalità di lettura automatica dei veicoli in transito per la tutela della sicurezza stradale e il controllo della circolazione dei veicoli, il Comune non ha comprovato di aver fatto ricorso a dispositivi  omologati ai fini della verifica dell’assolvimento degli obblighi in materia di revisione e assicurazione obbligatoria previsti dagli artt. 80 e 193 del Codice della Strada (d.lgs. 30 aprile 1992, n. 285) e della contestazione differita delle violazioni accertate. Né il Comune ha dichiarato che i dispositivi video in questione, ancorché non omologati, sono utilizzati come mero strumento di supporto agli agenti della Polizia locale, fisicamente presenti nelle aree interessate dai controlli, ai fini dell’individuazione dei veicoli da fermare e della contestazione immediata delle violazioni eventualmente accertate dagli agenti, salvo che ricorra una situazione di fatto che renda impossibile l’arresto del veicolo e la contestazione immediata, con motivazioni da indicare dettagliatamente nel verbale (v. le circolari del Ministero dell’Interno n. XX del XX e n. XX del XX; cfr. provv. 19 dicembre 2024, n. 805, doc. web n. 10107263).

Alla luce delle considerazioni che precedono, deve concludersi che il Comune ha posto in essere un trattamento i dati personali (immagini di persone fisiche o comunque a esse relative; numeri di targa dei veicoli in transito), mediante dispositivi video, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6, par. 1, lett. c) ed e), e parr. 2 e 3 del Regolamento, nonché 2-ter del Codice.

3.3 La trasparenza del trattamento.

Nel rispetto del principio di “liceità, correttezza e trasparenza”, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato, prima di iniziare il trattamento, tutte le informazioni richieste dal Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (v. artt. 5, par. 1, lett. a), 12, 13 e 14 del Regolamento).

Allorquando siano impiegati dispositivi video, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” cit., in particolare par. 3.1; da ultimo, v. le FAQ del Garante in materia di videosorveglianza, cit., n. 4).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale (senza alcuna registrazione di dati o trasmissione a soggetti terzi) (Linee guida del Comitato, cit., par. 115). La segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa completa.

Nel caso di specie, il Comune ha dichiarato di aver installato dei cartelli, contenenti l’informativa di primo livello, nel mese di XX e, pertanto, successivamente all’avvio dell’istruttoria da parte dell’Autorità. Soltanto con riguardo a due dei dispositivi video di lettura delle targhe, collocati nella rotonda di via Einaudi, il Comune ha fatto riferimento alla “presenza dell’informativa di primo livello dell’XX”, senza, tuttavia, aver indicato alcuna data certa d’installazione dei cartelli informativi in questione.

Deve poi, in ogni caso, rilevarsi che tali cartelli contengono un’informativa di primo livello inadeguata ad assicurare un sufficiente livello di trasparenza nei confronti degli interessati e a soddisfare gli obblighi informativi previsti dall’attuale quadro giuridico europeo in materia di protezione dei dati (cfr. la FAQ del Garante n. 4 in materia di videosorveglianza, che rimanda a sua volta al cartello esemplificativo proposto dal Comitato europeo per la protezione dei dati nelle citate “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, parr. 115-116).

Tali cartelli, in cui compare l’avvertimento “area videosorvegliata”, unitamente alla raffigurazione di una telecamera, non riportano in maniera precisa la denominazione del titolare del trattamento (“la registrazione è effettuata da Polizia locale FCC”), indicano una finalità del trattamento del tutto generica (“per fini di sicurezza”), non fanno alcuna menzione dei diritti riconosciuti dal Regolamento agli interessati e non danno conto della registrazione dei filmati di videosorveglianza per l’arco temporale stabilito dal titolare. Non vi è, inoltre, alcun riferimento alle modalità con le quali gli interessati possono consultare l’informativa completa di secondo livello, essendo, pertanto, compromessa in radice l’efficacia del meccanismo di trasparenza basato su informative stratificate, di primo e di secondo livello, di cui alle richiamate Linee guida del Comitato europeo per la protezione dei dati.

Quanto all’informativa completa di secondo livello, il Comune ha dichiarato di aver pubblicato “in data XX, sul proprio sito web il “Regolamento disciplina della videosorveglianza dei comuni del Camposampierese” di data XX”, dunque soltanto successivamente all’avvio dell’istruttoria da parte dell’Autorità, e che tale documento conterrebbe tutte le informazioni richieste dall’art. 13 del Regolamento (v. all. XX della nota del Comune del XX). Premesso che il regolamento in questione è stato adottato dalla Federazione e non, invece, dal Comune, lo stesso non può, in ogni caso, considerarsi un’informativa sul trattamento dei dati personali resa ai sensi degli artt. 12 e 13 del Regolamento. Ciò in quanto si tratta di un documento redatto per fini diversi da quelli sottesi agli obblighi previsti dal Regolamento per assicurare la trasparenza del trattamento, che non può, quindi, sostituire l’informativa che il titolare deve rendere agli interessati, prima di iniziare il trattamento, in merito alle caratteristiche essenziali dello stesso, in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.

Risulta, pertanto, accertato che il Comune ha omesso di fornire agli interessati un’idonea informativa sul trattamento dei dati personali, agendo in maniera non conforme al principio di “liceità, corretta e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

3.4 La valutazione di impatto sulla protezione dei dati.

In caso di rischi elevati per gli interessati - derivanti, ad esempio, dall’utilizzo di nuove tecnologie e sempre presenti laddove sia effettuata una sorveglianza sistematica su larga scala di una zona accessibile al pubblico (v. art. 35, par. 3, lett. c), del Regolamento) - il titolare del trattamento deve eseguire una valutazione di impatto sulla protezione dei dati, al fine di adottare, in particolare, le misure adeguate ad affrontare tali rischi, consultando preventivamente il Garante, ove ne ricorrano i presupposti (v. artt. 35 e 36, par. 1, del Regolamento).

Nel caso di specie, il Comune era certamente soggetto all’obbligo di redigere una valutazione di impatto sulla protezione dei dati, considerato che, ai sensi dell’art. 35, par. 3, lett. c), del Regolamento, la stessa è sempre richiesta in caso di “sorveglianza sistematica su larga scala di una zona accessibile al pubblico”, circostanza che ricorre nel caso di specie, stante l’impiego di dispositivi video sulla pubblica via, di cui alcuni, peraltro, dotati di funzionalità di lettura automatizzata delle targhe dei veicoli in transito.

Inoltre, considerato che uno dei dispositivi video in questione riprendeva non solo la pubblica via ma anche l’ingresso dell’edificio della casa comunale e, pertanto, era idoneo a consentire un controllo sull’entrata e l’uscita dei lavoratori comunali dal proprio luogo di lavoro, come è effettivamente avvenuto nel caso di specie (v. successivo par. 3.5), il Comune avrebbe dovuto effettuare una valutazione di impatto sulla protezione dei dati anche con riguardo ai dati personali dei lavoratori. Tanto in considerazione sia della particolare “vulnerabilità” degli interessati nel contesto lavorativo (cfr. cons. 75 e art. 88 del Regolamento e le “Linee guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento "possa presentare un rischio elevato" ai sensi del Regolamento 2016/679”, WP 248, del 4 aprile 2017, che, tra le categorie di interessati vulnerabili, menzionano espressamente “i dipendenti”) sia del possibile “monitoraggio sistematico” in ambito lavorativo, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” (cfr. criterio n. 3 indicato nelle Linee guida, cit., ma vedi anche criteri 4 e 7; cfr. art. 88, par. 2, del Regolamento; v. anche provv. 11 ottobre 2018, n. 467, doc. web n. 9058979, all. n. 1, che espressamente menziona i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici […] dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”; v., tra gli altri, provv.ti 10 aprile 2025, n. 201, doc. web n. 10139433; 16 novembre 2023, n. 578, doc. web n. 9963486 e 1° dicembre 2022, n. 409, doc. web n. 9833530).

Al riguardo, il titolare del trattamento ha dichiarato che “il Comune ha iniziato a redigere la valutazione di impatto, che è in fase di conclusione”.

Pertanto, non avendo il Comune svolto una valutazione di impatto sulla protezione dei dati prima di dare avvio al trattamento, risulta violato l’art. 35 del Regolamento.

3.5 L’utilizzo di filmati di videosorveglianza nel contesto del rapporto di lavoro, anche per fini disciplinari.

Dalla nota del Comune al competente Ufficio per i procedimenti disciplinari del XX, in atti, emerge che, a seguito di alcune segnalazioni, in base alle quali la reclamante “durante lo svolgimento della sua attività lavorativa si assenta[va] frequentemente dal lavoro per recarsi all’esterno dell’edificio [al fine di soddisfare esigenze personali]”, sono stati acquisiti sia “i dati relativi alla rilevazione delle presenza effettuate a mezzo badge” sia “le immagini ricavate dalle telecamere poste all’esterno della casa comunale e che inquadrano, per ragioni di sicurezza, la pubblica via e la stessa casa comunale”. Dall’incrocio tra tali dati e le immagini di videosorveglianza ottenute con la predetta telecamera è stato contestato alla reclamante di essere entrata e uscita dalla sede comunale in numerose occasioni senza darne atto nel sistema di rilevazione delle presenze.

In una successiva segnalazione effettuata dal Comune al predetto Ufficio per i procedimenti disciplinari in data XX, in atti, sono state contestate alla reclamante ulteriori simili condotte, sempre basate sul raffronto tra i dati del sistema di rilevazione delle presenze e le immagini di videosorveglianza. Inoltre, si contestava alla reclamante che “durante il periodo di malattia della [interessata] […] la stessa in due occasioni documentate, seppur fuori dalla fascia oraria della reperibilità, è stata vista in data […] (ripresa dalle telecamere esterne sulla pubblica via) passeggiare davanti al municipio”.

Per effetto di tali contestazioni, la reclamante è stata destinataria di un provvedimento di licenziamento senza preavviso, in atti, nelle cui premesse si attesta che alla segnalazione effettuata al competente ufficio disciplinare è stata allegata “copia delle rilevazioni tratte da un sistema pubblico di video sorveglianza, legittimamente posizionata nella pubblica via” e che gli accertamenti effettuati dal Comune in merito alle assenze dal servizio della reclamante sono stati “supportati da riprese video”, avendo il Comune proceduto all’“esame delle immagini registrate dalle telecamere poste all’esterno della casa comunale”, contestando alla reclamante di essersi “ripetutamente [allontanata] dal luogo di lavoro senza provvedere a effettuare le dovute “stimbrature” e “ritimbrature”, in linea di massima sostando all’esterno del Municipio, per attendere a proprie esigenze personali”.

Risulta, pertanto, accertato che, a seguito di alcune segnalazioni, presentate da colleghi della reclamante, il Comune ha utilizzato filmati estratti da un una telecamera di videosorveglianza, installata sulla pubblica via (Piazza Martiri) per la tutela della sicurezza urbana, al fine di verificare la fondatezza di quanto segnalato e acquisire elementi a supporto di eventuali contestazioni disciplinari, poi effettivamente mosse nei confronti della reclamante.

Il Comune ha, dunque, trattato i filmati di videosorveglianza per una finalità (ovvero l’accertamento e la contestazione di condotte ritenute rilevanti sul piano disciplinare nell’ambito del rapporto di lavoro) che non può ritenersi compatibile (cfr. art. 6, par. 4, del Regolamento) con quella per cui il sistema di videosorveglianza è stato installato (ovvero la tutela della sicurezza urbana; cfr. provv. 20 ottobre 2022, n. 341, doc. web n. 9831369).

I trattamenti posti in essere dal Comune, per fini riconducibili alla gestione del rapporto di lavoro al tempo in essere con la reclamante, non possono, infatti, considerarsi logicamente connessi o derivanti dai trattamenti effettuati dal medesimo Comune per finalità di sicurezza urbana, che sono volti alla “prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria” (v. art. 5, co. 2, lett. a), del d.l. 20 febbraio 2017, n. 14; cfr. Gruppo di Lavoro art. 29, “Parere 03/2013 sulla limitazione delle finalità” (WP 203) del 2 aprile 2013, par. III.2.2.(a), ove si afferma che può sussistere una relazione tra la finalità di trattamento originaria e quella ulteriore nel caso in cui il trattamento ulteriore sia già in qualche misura implicito nella finalità iniziale, o possa considerarsi un logico passaggio successivo alla luce di tale finalità iniziale).

Il ricorso alla videosorveglianza sulla pubblica via per verificare il corretto adempimento da parte della reclamante degli obblighi discendenti dal rapporto di lavoro, si pone, altresì, in contrasto con l’aspettativa, da una parte, dei cittadini in merito al fatto che le immagini acquisite dalle telecamere installate sulla pubblica via sono trattate esclusivamente per le predette finalità di sicurezza urbana e, dall’altra, dei lavoratori del Comune, acciocché soltanto i dispositivi video da cui possa derivare un controllo indiretto della prestazione lavorativa e in relazione ai quali sia stato assicurato il rispetto delle garanzie previste dall’art. 4, commi 1 e 3, della l. 20 maggio 1970, n. 300 (v. anche artt. 88 del Regolamento e 114 del Codice) possano essere utilizzati dal datore di lavoro a tutti i fini connessi al rapporto di lavoro (cfr. “Parere 03/2013 sulla limitazione delle finalità”, cit., par. II.3, ove si afferma che il trattamento ulteriore non può considerarsi prevedibile se non è sufficientemente correlato alla finalità di trattamento originaria e non soddisfa le ragionevoli aspettative che gli interessati avevano al momento della raccolta dei dati, tenuto conto del contesto in cui tale raccolta è avvenuta).

Considerato che, nel caso di specie, il Comune non ha comprovato la sussistenza di autonomi presupposti di liceità per il trattamento delle immagini di videosorveglianza, già acquisite e trattate per finalità di sicurezza urbana, anche al diverso fine di accertare e contestare alla reclamante condotte rilevanti sul piano disciplinare, il relativo trattamento di dati personali deve ritenersi effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento.

Deve poi, in ogni caso, considerarsi che il titolare del trattamento può utilizzare per ulteriori trattamenti i soli dati personali lecitamente raccolti in presenza di un’idonea base giuridica, avendo previamente “soddisfatto tutti i requisiti per la liceità del trattamento originario” (cfr. cons. n. 50 del Regolamento), e dunque nei limiti in cui l’originaria raccolta sia stata lecitamente effettuata, avuto riguardo alla finalità principale e nel rispetto dei principi generali di protezione dei dati. Tenuto conto dell’illiceità del trattamento effettuato a monte mediante le telecamere di videosorveglianza in questione (v. il precedente par. 3.2), e stante l’inutilizzabilità dei “dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati” (art. 2-decies del Codice), si ritiene che anche i successivi trattamenti di dati personali, posti in essere dall’Ente, debbano essere considerati illeciti.

Deve, pertanto, concludersi che il Comune ha trattato i filmati di videosorveglianza in questione per una finalità di trattamento incompatibile con quella originaria, in maniera non conforme al principio di “limitazione della finalità”, in violazione dell’art. 5, par. 1, lett. b), del Regolamento.

Né può essere accolta la difesa del Comune, secondo la quale l’acquisizione dei filmati di videosorveglianza avrebbe concretizzato “un’acquisizione d’iniziativa di notizia di reato ai sensi dell’art. 55 c.p.p., nella qualifica soggettiva di Ufficiale di P.G., ai sensi dell’art. 57, comma 1, lett. c), c.p.p.” e che “l’atto introduttivo dell’azione investigativa dev’essere considerato, sul piano sostanziale, quale evidente comunicazione di notizia di reato ex art. 347 c.p.p.”. Ciò in quanto l’accesso alle immagini di videosorveglianza è stato effettuato dal Comune in veste di datore di lavoro della reclamante al fine di raffrontare tra loro i dati relativi all’attestazione delle presenze con le immagini di videosorveglianza e poter verificare il rispetto da parte della reclamante degli obblighi derivanti dal rapporto di lavoro, e, pertanto, soltanto all’esito di tale operazione, e non già per effetto della mera visione delle immagini di videosorveglianza, la Sindaca ha ritenuto sussistessero idonei elementi per presentare una denuncia-querela, per l’ipotesi di reato di cui all’art. 640, comma 2, n. 1, c.p., all’Autorità giudiziaria, che ha, peraltro, poi disposto l’archiviazione del caso. Come, infatti, emerge dalla sentenza del Tribunale di Padova, in atti, il procedimento è stato avviato a seguito di “atto di denuncia-querela presentat[a] [dal …] Sindaco” e non già a seguito di comunicazione di notizia di reato ex art. 347 c.p.p. nell’ambito di attività di polizia giudiziaria, come sostenuto dal Comune nel corso del procedimento (cfr. provv.to 11 aprile 2024, n. 234, doc. web n. 10013356).

Considerato, inoltre, che dalla segnalazione del Comune al competente Ufficio per i procedimenti disciplinari del XX, in atti, emerge che le “telecamere [erano] poste all’esterno della casa comunale e […] inquadra[va]no […] [non solo] la pubblica via [ma anche] la stessa casa comunale”, e dunque aree d’ingresso e uscita dal luogo di lavoro, tale circostanza, stante l’assenza dell’attivazione delle garanzie previste dall’art. 4, comma 1, della l. 300/1970 (accordo sindacale o autorizzazione dell’Ispettorato Nazionale del Lavoro) e l’effettivo impiego delle immagini di videosorveglianza a fini disciplinari, induce a ritenere che, nel caso di specie, la condotta del Comune si ponga, altresì, in contrasto anche con gli artt. 88 del Regolamento, nonché 114 del Codice.

Come, infatti, costantemente ribadito nei provvedimenti del Garante, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi ove si svolge anche l’attività lavorativa, trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 della l. n. 300/1970. Tale disposizione perimetra, infatti, in modo uniforme a livello nazionale, l’ambito del trattamento consentito in ogni contesto lavorativo (pubblico e privato) e costituisce nell’ordinamento interno una disposizione più specifica e di maggiore garanzia di cui all’art. 88 del Regolamento, la cui osservanza - per effetto del rinvio contenuto nel Codice alle preesistenti disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, con particolare riferimento ai possibili controlli da parte del datore di lavoro (art. 114 “Garanzie in materia di controllo a distanza”) - è condizione di liceità del trattamento (v. art. 5, par.1, lett. a) e 6, par. 1, lett. c) del Regolamento; v., a livello europeo, le indicazioni contenute nelle citate “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., spec. par. 11, nonché le precedenti indicazioni del Gruppo di Lavoro Articolo 29 nel “Parere 2/2017 sul trattamento dei dati sul posto di lavoro”, WP 249; cfr. par. 4.1 del “Provvedimento in materia di videosorveglianza”, cit., e, da ultimo, la FAQ n. 9 del Garante in materia di videosorveglianza, cit., e le numerose decisioni del Garante riferite a casi concreti, tra cui, con riguardo al ricorso alla videosorveglianza sui luoghi di lavoro, provv.ti 10 luglio 2025, n. 410, doc. web n. 10162731; 10 aprile 2025, n. 201, doc. web n. 10139433; 11 aprile 2024, n. 234, doc. web n. 10013356; 16 novembre 2023, n. 578, doc. web n. 9963486; 16 settembre 2021, n. 331, doc. web n. 9719768; 11 marzo 2021, n. 90, doc. web n. 9582791; 5 marzo 2020, n. 53, doc. web n. 9433080; 19 settembre 2019, n. 167, doc. web n. 9147290).

Ciò in conformità alla giurisprudenza della Corte europea dei diritti dell’uomo, nel caso Antovic e Mirković v. Montenegro (Application n. 70838/13 del 28.11.2017), che ha stabilito che il rispetto della vita privata deve essere esteso anche ai luoghi di lavoro pubblici (nel caso di specie, le aule universitarie), evidenziando che l’impiego di dispositivi video sul posto di lavoro può essere giustificato solo nel rispetto delle garanzie previste dalla legge nazionale applicabile, in mancanza delle quali costituisce un'interferenza illecita nella vita privata del dipendente, ai sensi dell'art. 8, par. 2, della CEDU.

Il sistema di protezione dei dati, integrato con l’art. 4 della l. 300/1970, tutela, d’altra, parte la persona che lavora, non solo quando i dispositivi di sorveglianza siano posti all’interno dei luoghi di lavoro - essendo irrilevante la circostanza che l’accesso a detti locali da parte dei lavoratori avvenga in maniera discontinua e per brevi archi temporali – ma anche nel caso in cui siano sottoposte a videosorveglianza aree esterne o perimetrali in cui comunque transitano i lavoratori, stante la possibilità, come nel caso di specie, di riprendere la loro immagine e le attività da essi svolte (cfr. provv.ti 10 aprile 2025, n. 201, doc. web n. 10139433, sull’impiego di una telecamera di videosorveglianza inquadrante l’ingresso esterno di una sede di Polizia locale e parte del parcheggio delle auto di servizio; 11 marzo 2021, n. 90, doc. web n. 9582791, riguardante l’impiego di telecamere di videosorveglianza nei corridoi di un edificio ospitante un Dipartimento di un Ateneo; 9 maggio 2018, n. 277, doc. web n. 8998303, riguardante un sistema di videosorveglianza installato in aree interne ed aree esterne a un edificio della sede di un ente pubblico, inclusi gli accessi; 18 aprile 2013, n. 200, doc. web n. 2483269, riguardante le riprese che interessavano in particolare gli accessi, i corridoi e alcuni ambienti aperti all’utenza di un Archivio di Stato; 9 febbraio 2012, n. 56, doc. web n. 1886999, nel quale le riprese riguardavano gli accessi ai garage di un Comando di polizia locale, nonché il corridoio interno di accesso ai locali dell’armeria; 17 novembre 2011, n. 434, doc. web n. 1859558, nel quale le riprese interessavano gli ingressi principali e di emergenza, i corridoi posti ai diversi piani, nonché le aree di accesso a talune zone degli uffici).

Nel caso di specie, codesto Comune ha sottoposto a videosorveglianza un’area della pubblica via che include l’accesso alla sede comunale, in cui indubbiamente transitano i lavoratori dell’Ente in entrata o in uscita dal luogo di lavoro, senza aver assicurato il rispetto delle garanzie previste dall’art. 4, comma 1, della l. 300/1970, risultando così violati gli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento, nonché 114 del Codice (in riferimento all’art. 4 della l. 300/1970).

Ciò, inoltre, senza aver fornito ai lavoratori una specifica informativa sul trattamento dei dati personali mediante dispositivi video e al loro utilizzo anche a tutti i fini connessi al rapporto di lavoro (v. art. 4, comma 3, della l. 300/1970), con conseguente violazione anche degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

3.6 Le riprese effettuate dal Comune con un diverso dispositivo video.

Dalle dichiarazioni rese nel corso dell’istruttoria emerge che la Sindaca del Comune, avendo appreso da una segnalazione che la reclamante era stata vista passeggiare e pranzare con delle colleghe durante il periodo di malattia, ha incaricato “un collaboratore comunale […] affinché raccogliesse indizi (video) relativi a tale circostanza”, e che tale collaboratore, dopo aver registrato un video, lo ha trasmesso al telefono cellulare della Sindaca mediante un’applicazione informatica di messagistica istantanea, atteso che “il Comune […] non dispone di risorse economiche sufficienti a garantire al Sindaco un cellulare e un’utenza intestata al Comune”. Tali video sono stati successivamente utilizzati dal Comune nell’ambito del procedimento disciplinare avviato nei confronti della reclamante.

Il Comune ha, pertanto, svolto attività investigative o comunque di accertamento in merito ad attività poste in essere dalla reclamante al di fuori dell’orario di lavoro, per il tramite di un proprio collaboratore - che, peraltro, non risulta appartenesse al personale addetto alla vigilanza dell'attività lavorativa (cfr. art. 3 della l. 300/1970) - e, dunque, senza avvalersi di soggetti che esercitano in maniera professionale e regolamentata la professione di investigatore, nel rispetto delle garanzie approntate dall’ordinamento (cfr. il Capo IV delle “Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101”, del 19 dicembre 2018, doc. web n. 9069653).

Peraltro, come evidenziato dal Giudice per le indagini preliminari del Tribunale di Padova, che ha disposto l’archiviazione del procedimento penale avviato nei confronti della reclamante a seguito di denuncia-querela presentata dalla Sindaca del Comune per l’ipotesi di reato di cui all’art. 640, comma 2, n. 1, c.p., l’Ente, in qualità di datore di lavoro, “avrebbe ben potuto predisporre le opportune visite fiscali, come era già capitato in passato”, anche tenuto conto che “il motivo di malattia che risulta dai certificati prodotti […] non imponeva il ricovero o il confinamento della paziente nella propria abitazione”.

Il Comune ha, pertanto, posto in essere, mediante un dispositivo video, un trattamento illecito dei dati personali della reclamante e di due dipendenti, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento.

Inoltre, nell’ordinamento vigente, al datore di lavoro è fatto divieto di trattare informazioni che non siano rilevanti ai fini della gestione del rapporto di lavoro, attesi i rischi di discriminazione ordinariamente connessi a tali trattamenti. Pertanto, disponendo la realizzazione di filmati video che riprendevano la reclamante, peraltro in compagnia di colleghe, al di fuori del contesto lavorativo, al fine di utilizzarli per fini disciplinari, il Comune ha, altresì, agito in violazione del divieto di “effettuare indagini, anche a mezzo di terzi, […] su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore”, di cui all’art. 8 della l. n. 300/1970, nonché all’art. 10 del d.lgs. 10 settembre 2003, n. 276, entrambi espressamente richiamati dall’art. 113 del Codice. Né il trattamento in questione poteva ritenersi comunque necessario, atteso che sussiste una specifica disciplina di settore che regola, in quadro di garanzia, che disciplina le modalità con cui il dipendente può fruire dell’assenza per motivi di salute e i flussi informatici di cui il datore di lavoro è destinatario (v. art. 55-septies, comma 2, del d.lgs. 30 marzo 2001, n. 165; d.P.C.M. di cui all’art. 50, comma 5-bis, del d.l. 30 settembre 2003, n. 269, convertito, con modificazioni, dalla l. 24 novembre 2003, n. 326, introdotto dall'art. 1, co. 810, della l. 27 dicembre 2006, n. 296), attribuendo esclusivamente agli uffici ispettivi degli enti previdenziali competente le attività di verifica dell’effettiva sussistenza di uno stato di salute del lavoratore incompatibile con la prestazione lavorativa, per il tramite del sistema delle visite mediche di controllo (c.d. visite fiscali) (cfr. art. 5 della l. n. 300/1970, ai sensi del quale “sono vietati accertamenti da parte del datore di lavoro sulla idoneità e sulla infermità per malattia o infortunio del lavoratore dipendente. Il controllo delle assenze per infermità può essere effettuato soltanto attraverso i servizi ispettivi degli istituti previdenziali competenti, i quali sono tenuti a compierlo quando il datore di lavoro lo richieda”; v. già le "Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico", adottate con provv. 14 giugno 2007, n. 23, doc. web n. 1417809, par. 8.2; cfr., da ultimo, provv. 9 maggio 2024, n. 270, doc. web n. 10025870 e gli ulteriori provvedimenti in esso richiamati).

Per tali ragioni, si deve concludere che la condotta del Comune si è posta, altresì, in violazione degli artt. 88 del Regolamento e 113 del Codice (in riferimento all’art. 8 della l. 300/1970).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, mediante dispositivi video, in violazione degli artt. 5, par. 1, lett. a) e b), 6, par. 1, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13, 35 e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice.

Le violazioni delle predette disposizioni hanno avuto luogo in conseguenza di due distinte condotte, che devono essere considerate separatamente ai fini sanzionatori: la prima relativa al trattamento dei dati personali mediante telecamere di videosorveglianza collocate sulla pubblica via per asserite finalità riconducibili alle competenze istituzionali del Comune, con la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13 e 35 del Regolamento, nonché 2-ter del Codice (cfr. i precedenti parr. 3.1-3.4); la seconda, che può considerarsi unitaria (stesso trattamento o trattamenti tra loro collegati), relativa all’impiego di dispositivi video in ambito lavorativo, anche per fini disciplinari, con la violazione degli artt. 5, par. 1, lett. a) e b), 6, par. 1, lett. c), 12, par. 1, 13, 35 e 88 del Regolamento, nonché 113 e 114 del Codice (cfr. i precedenti parr. 3.5 e 3.6).

Per entrambe le condotte trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, per entrambe le condotte, le violazioni più gravi, relative agli artt. 5, par. 1, lett. a) e b), 6, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13, e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale di ciascuna sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti - atteso che il Comune, nell’ambito delle proprie memorie difensive, ha dichiarato di aver assunto iniziative volte a porre rimedio alle contestate violazioni, rispetto alle quali l’Autorità si riserva, peraltro, di effettuare ogni ulteriore valutazione, anche in sede di una separata istruttoria, non ricorrano i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5.Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

5.1 La condotta che attiene al trattamento dei dati personali mediante telecamere di videosorveglianza collocate sulla pubblica via

Tenuto conto che:

il Comune, in data XX, sebbene successivamente all’installazione di due delle telecamere che compongono il proprio impianto, aveva comunque stipulato un patto per l’attuazione con la Prefettura territorialmente competente, ancorché senza il necessario livello di dettaglio in merito all’individuazione delle specifiche aree del territorio comunale da sottoporre a videosorveglianza (art. 83, par. 2, lett. a), del Regolamento);

la violazione ha carattere colposo, essendo stata posta in essere per effetto di errate valutazioni sul piano giuridico da parte dell’Ente (art. 83, par. 2, lett. b), del Regolamento);

il trattamento non ha riguardato dati particolari appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento), si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un Ente di piccole dimensioni (circa 7.200 abitanti), dotato, pertanto, di limitate risorse organizzative ed economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il Comune ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal Comune (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000 (cinquemila) per la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13 e 35 del Regolamento, nonché 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che l’impiego di telecamere di videosorveglianza ha interessato luoghi pubblici, concretizzando un trattamento di dati personali che “consente [di rilevare] la presenza e il comportamento delle persone nello spazio considerato” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, par. 2.1, cit.), senza che gli interessati fossero pienamente consapevoli dell’effettiva finalità di trattamento perseguita e di tutte le caratteristiche del trattamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

5.2 La condotta che attiene all’impiego di dispositivi video in ambito lavorativo, anche per fini disciplinari

Tenuto conto che:

la violazione, in parte dovuta a errate valutazioni sul piano giuridico da parte dell’Ente, ha comportato rilevanti ripercussioni nella sfera personale e lavorativa della reclamante, atteso che le immagini ottenute dai dispositivi video in questione sono state utilizzate nell’ambito di un procedimento disciplinare conclusosi con il licenziamento senza preavviso, ancorché il Comune abbia affermato che il pregiudizio sul piano professionale sia stato sostanzialmente mitigato da talune sopravvenute circostanze (art. 83, par. 2, lett. a) e b), del Regolamento);

ancorché il trattamento non abbia riguardato dati appartenenti alle categorie particolari di cui all’art. 9 del Regolamento, lo stesso si è concretizzato anche in una forma di controllo invasiva sulla sfera di riservatezza della reclamante, la quale è stata ripresa dal Comune, assieme ad alcune colleghe, fuori dalla sede di lavoro e dall’orario di servizio, in assenza di presupposti di liceità (cfr. art. 83, par. 2, lett. a) e g), del Regolamento), si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un Ente di piccole dimensioni (circa 7.200 abitanti), dotato, pertanto, di limitate risorse organizzative ed economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il Comune ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal Comune (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 10.000 (diecimila) per la violazione degli artt. artt. 5, par. 1, lett. a) e b), 6, par. 1, lett. c), 12, par. 1, 13, 35 e 88 del Regolamento, nonché 113 e 114 del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che il trattamento posto in essere ha avuto ad oggetto dati personali relativi anche a interessati vulnerabili nel contesto lavorativo e, sotto diverso profilo, ha riguardato anche i dati relativi alle targhe dei veicoli in transito sul territorio comunale, informazioni queste particolarmente delicate, poiché dalla loro analisi possono essere astrattamente ottenute informazioni relative agli spostamenti degli interessati sul territorio comunale.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Curtarolo per violazione degli artt. 5, par. 1, lett. a) e b), 6, par. 1, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13, 35 e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice, nei termini di cui in motivazione;

ORDINA

al Comune di Curtarolo, in persona del legale rappresentante pro-tempore, con sede legale in Via Gorizia, 2 - 35010 Curtarolo (PD), C.F. 80009430283, di pagare la complessiva somma di euro 15.000 (quindicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la complessiva somma di euro 15.000 (quindicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 ottobre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE 
Fanizza