[doc. web n. 10214411]

Provvedimento del 16 gennaio 2026

Registro dei provvedimenti
n. 9 del 16 gennaio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento sanzionatorio

1.1. Con nota del 10.3.2023, il Comando della Polizia Locale della Città di Rionero in Vulture ha trasmesso a questa Autorità il verbale del controllo effettuato, su richiesta dell’ATER di Potenza, presso l’attività commerciale denominata “Macelleria La Costata s.r.l.s.” sita in Rionero in Vulture (PZ), via Tommaso Fiore 8, ove è stata accertata la non conforme installazione di un impianto di videosorveglianza composto da tre telecamere (una delle quali non funzionante) posizionate in due aree esterne dell’attività commerciale. In particolare, nel verbale si attesta che:

• le due telecamere posizionate nella zona antistante l’attività commerciale, una delle quali non funzionante, inquadravano “l’ingresso della macelleria, l’area antistante adibita a parcheggio e parte della strada pubblica denominata Via Amendola del Comune di Rionero in Vulture (PZ)”;

• la terza telecamera, posizionata sulla parete perimetrale dell’attività commerciale, era idonea a riprendere “l’area laterale adibita a parcheggio e parte della strada pubblica denominata Via Amendola del Comune di Rionero in Vulture (PZ)”.

Il Comando della Polizia Locale accertava altresì l’assenza di cartelli informativi della presenza delle suddette telecamere.

Nel verbale relativo alle attività ispettive si rappresenta altresì che rispetto all’impianto di videosorveglianza non sarebbe stata acquisita l’autorizzazione del condominio.

1.2. Alla luce degli atti inviati dalla Polizia Locale, con nota del 10 luglio 2023 (prot. n. 106027), l’Ufficio provvedeva a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, che qui si intende richiamare, in relazione alla violazione degli artt. 5, par. 1, lett. a), 6 e 13 del Regolamento. 

1.3. Nonostante fosse stato invitato a produrre scritti difensivi in relazione al procedimento sanzionatorio a suo carico, il titolare del trattamento non ha inviato alcun riscontro all’Autorità. 

2. Il quadro giuridico del trattamento effettuato

2.1. Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento, lo stesso deve essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, in particolare del principio di liceità e di trasparenza; quest’ultimo si declina nel dovere di rendere l’informativa con riguardo ai trattamenti effettuati mediante il sistema di videosorveglianza da parte del titolare del trattamento ai sensi dell’art. 13 del Regolamento.

A tale scopo, quindi, con particolare riferimento ai trattamenti effettuati mediante impianti di videosorveglianza, “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”; di qui la necessità che il titolare del trattamento predisponga idonei cartelli informativi affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza”. In tal senso da tempo il Garante ha fornito proprie indicazioni (cfr. punto 3.1. del provv. 8 aprile 2010, doc. web n. 1712680; v. anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità; per una fattispecie individuale di natura analoga v. provv. 6 luglio 2023, n. 293, doc. web n. 9920881) e, analogamente, il Comitato europeo per la protezione dei dati, con le Linee Guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, ha specificato che “le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento cfr.  (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)” (cfr. punto 7). Nelle stesse linee guida si prevede inoltre che “tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, paragrafo 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”.

Tali informazioni dovrebbero inoltre essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi), per consentirgli “di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

Infine, in base alle indicazioni contenute nel provvedimento generale in materia di videosorveglianza dell’8 aprile del 2010, nel caso di ripresa di aree esterne ad edifici ed immobili, il trattamento deve avvenire “con modalità tali da limitare l’angolo visuale all’area effettivamente da proteggere, evitando la ripresa di luoghi circostanti e di particolari non rilevanti (vie, edifici, esercizi commerciali, istituzioni ecc.)” (si veda, in particolare, il punto 6.2.2.1 del provvedimento).

Analogamente le già citate Linee Guida n. 3/2019 prevedono che, “in generale, la necessità di utilizzare la videosorveglianza per proteggere i locali del Titolare finisce ai confini della proprietà, tuttavia, per una protezione efficace, in alcuni casi potrebbe essere necessario estendere la videosorveglianza nelle immediate vicinanze dei locali. In questo contesto, il Titolare dovrebbe prendere in considerazione mezzi fisici e tecnici, come ad esempio bloccare o pixelare aree non rilevanti” (3.1.2 par. 27).

3. L’esito dell’istruttoria

3.1. Il trattamento dei dati personali effettuato nel caso di specie dal titolare del trattamento attraverso il sistema di videosorveglianza non si è informato al quadro regolatorio sopra richiamato.

Infatti, sulla base del menzionato verbale di accertamento e della relativa documentazione fotografica è emerso che l’impianto di videosorveglianza in parola, attivo e funzionante nei termini sopra descritti, era sprovvisto di idonei cartelli informativi.

Tale condotta si pone in contrasto con il principio di trasparenza del trattamento di cui all’art. 5, par. 1, lett. a) del Regolamento nonché con gli obblighi di informativa, finanche in forma semplificata, puntualmente previsti dall’art. 13 del Regolamento, in base ai quali il titolare del trattamento è tenuto a fornire agli interessati tutte le informazioni relative alle caratteristiche essenziali del trattamento effettuato.

3.2. Inoltre, dal verbale della Polizia locale è risultata accertata l’idoneità delle telecamere a riprendere aree ulteriori rispetto a quelle di esclusiva proprietà (in particolare, l’area pubblica adibita a parcheggio antistante e laterale rispetto all’ingresso dell’esercizio commerciale e parte della strada pubblica); con conseguente illiceità del relativo trattamento in quanto effettuato in violazione dell’art. 6 del Regolamento poichè privo di base giuridica. Né ad una delle fattispecie indicate nell’art. 6 ha fatto riferimento il titolare del trattamento né in sede di verifica, né successivamente fornendo riscontro alla notificazione effettuata dall’Ufficio ai sensi dell’art. 166 del Codice.

4. Illiceità del trattamento

4.1. Alla luce di tali considerazioni, l’Autorità rileva l’illiceità del trattamento effettuato dal titolare del trattamento in quanto posto in essere in violazione degli artt. 5, par. 1, lett. a), 6 e 13 del Regolamento.

La violazione accertata nei termini di cui in motivazione non può essere considerata “minore”, tenuto conto della natura della stessa, del grado di responsabilità e della maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. cons. 148 del Regolamento).

Pertanto, accertata l’illiceità della condotta come sopra descritta, deve adottarsi un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento per l’applicazione di una sanzione amministrativa pecuniaria.

5. Ordinanza di ingiunzione

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, l. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato dal titolare del trattamento, per mezzo del descritto impianto di videosorveglianza, in assenza dell’informativa di cui all’art. 13 del Regolamento e idoneo a riprendere la strada pubblica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento.  

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), nel caso di specie sono state tenute in considerazione le circostanze sotto riportate:

a. con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta del titolare del trattamento, la responsabilità connessa all’inadempimento dell’obbligo di rendere l’informativa agli interessati – peraltro nel tempo oggetto di innumerevoli provvedimenti del Garante (sia di natura individuale, sia contenenti indicazioni di natura generale: cfr., in particolare, i citati provv.ti del 29 aprile 2004 e dell’8 aprile 2010) e di un consolidato orientamento giurisprudenziale (cfr. Cass. civ., Sez. II, 2 settembre 2015, n. 17440; Cass. civ., Sez. II, 5 luglio 2016, n. 13633) −, nonché la circostanza che la condotta illecita abbia potuto interessare un’ampia platea di interessati in ragione della natura di esercizio pubblico dei luoghi oggetto di videosorveglianza e dell’accertata idoneità del sistema di videosorveglianza a riprendere aree pubbliche o aperte al pubblico;

b. quale fattore attenuante, l’assenza di precedenti specifici a carico del titolare del trattamento relativi a violazioni della disciplina in materia di protezione dei dati personali.

In ragione dei suddetti elementi, valutati nel loro complesso, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.500,00 (millecinquecento) per la violazione degli artt. 5, par. 1, lett. a), 6 e 13 del Regolamento.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare del trattamento individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a), 6 e 13 del Regolamento;

ORDINA

al titolare del trattamento di pagare la somma di euro 1.500,00 (millecinquecento) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; 

INGIUNGE

al medesimo titolare del trattamento:

di pagare la somma di euro 1.500,00 (millecinquecento), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si rappresenta in proposito che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

ai sensi degli artt. 58, par. 2, lett. d), del Regolamento di conformare il trattamento dei dati personali al Regolamento entro trenta giorni dalla notifica del presente provvedimento, provvedendo:

a rendere l’informativa agli interessati per il tramite di idonea cartellonistica;

ad orientare le telecamere che vanno a comporre il sistema di videosorveglianza in modo da non riprendere spazi pubblici ovvero spazi condominiali; 

DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, omessa l’indicazione della partita IVA;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 gennaio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori