[doc. web n. 10183218]

Provvedimento dell'11 settembre 2025

Registro dei provvedimenti
n. 491 dell'11 settembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Segnalazione ricevuta e avvio del procedimento sanzionatorio

1.1. Con nota del 2 novembre 2024 la Polizia locale – Unione Comunale Chianti Fiorentino ha trasmesso a questa Autorità, in data 28 ottobre 2024, il verbale di accertamento dello stato dei luoghi compiuto a seguito di segnalazione. Con lo stesso veniva rilevata la presenza di un impianto di videosorveglianza, solo in parte funzionante, presso l’immobile privato situato nel Comune di Barberino Tavarnelle (FI), Strada Poppiano n. 25 risultato intestato a Impresa agricola moderna I.A.M. s.r.l., con sede legale in Barberino Tavarnelle (FI) Strada di Poppiano n. 1 – frazione Poppiano (ex Barberino Val D’Elsa) (Partita IVA XX) (di seguito, “titolare del trattamento”).

In particolare, due delle telecamere presenti risultavano orientate anche su aree diverse da quelle di esclusiva pertinenza del titolare del trattamento senza che l’area di ripresa risultasse segnalata da cartelli informativi. Più precisamente, di questi apparati di ripresa uno interessava “il confine della proprietà” e “un piccolo tratto della Strada pubblica (Strada Poppiano)”; un secondo era direzionato anche su “un piccolo tratto della stessa pubblica via” (cfr. verbale p. 1 e documentazione fotografica allegata).

1.2. Alla luce degli atti pervenuti, con nota del 13 marzo 2025 (prot. n. 33602), l’Ufficio provvedeva a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, che qui si intende integralmente richiamato, in relazione alla violazione degli artt. 5, par. 1, lett. a) e 13 del Regolamento.

Nel medesimo atto – ancorché non abbia formato oggetto di formale contestazione da parte dell’Ufficio − risulta altresì presente un richiamo all’osservanza della disciplina in materia di controllo a distanza, nel caso in cui l’impianto di videosorveglianza fosse idoneo a riprendere anche i lavoratori (circostanza non oggetto di accertamento nel verbale).

1.3. Il titolare del trattamento non faceva pervenire al Garante scritti difensivi in relazione al procedimento sanzionatorio così attivato a suo carico.

2. Il quadro giuridico del trattamento effettuato

2.1. Posto che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2, del Regolamento (in tal senso v. già la nota del Garante del 17 dicembre 1997, in gpdp.it, doc. web n. 39849; Cass. 2 settembre 2015, n. 17440; Corte di giustizia, 11 dicembre 2014, causa C-212/13, Ryneš, punto 25), lo stesso deve essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, in particolare dei principi fondamentali in materia di protezione dei dati di liceità, correttezza e trasparenza del trattamento, quest’ultimo ulteriormente declinato negli obblighi informativi gravanti sul titolare del trattamento in base all’art. 13 del Regolamento.

Ciò anche in considerazione di quanto rappresentato nella richiamata sentenza della Corte di giustizia secondo la quale, ove la videosorveglianza interessi, “anche se solo parzialmente”, uno spazio pubblico − essendo in tal modo “diretta verso l’esterno della sfera privata della persona che procede al trattamento dei dati con tale modalità”, ad essa trova applicazione la disciplina di protezione dei dati personali, non potendo tale attività essere considerata esclusivamente «personale o domestica» (ai sensi dell’articolo 3, paragrafo 2, secondo trattino, della direttiva 95/46 ed ora, non diversamente, in base all’art. 2, par. 2, lett. c) del Regolamento) (cfr. Corte di giustizia, 11 dicembre 2014, cit., punto 33).

2.2. In questa prospettiva, con particolare riferimento ai trattamenti effettuati mediante impianti di videosorveglianza, “gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata”; di qui la necessità che il titolare del trattamento predisponga idonei cartelli informativi affinché gli interessati siano resi “consapevoli del fatto che è in funzione un sistema di videosorveglianza” (v. provv. 8 aprile 2010, doc. web n. 1712680).

In tal senso, da tempo il Garante ha fornito proprie indicazioni (cfr., in particolare, punto 3.1. del richiamato provv. 8 aprile 2010; v. anche le Faq in materia di videosorveglianza, pubblicate sul sito web dell’Autorità; per una fattispecie individuale di natura analoga v. provv. 6 luglio 2023, n. 293, doc. web n. 9920881).

Analogamente il Comitato europeo per la protezione dei dati, con le Linee Guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, ha specificato che “le informazioni più importanti devono essere indicate [dal titolare] sul segnale di avvertimento stesso (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello)”. Nelle stesse linee guida si prevede inoltre che “tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto (articolo 12, par. 7, del RGPD). Il formato delle informazioni dovrà adeguarsi alle varie ubicazioni”. Tali informazioni dovrebbero inoltre essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi), per consentirgli “di stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

3. L’esito dell’istruttoria

Alla luce degli elementi emersi all’esito dell’istruttoria, limitatamente alle telecamere funzionanti delle quali è stata accertata l’idoneità a riprendere brevi tratti della pubblica via nell’ambito di un contesto – quello di un’azienda agricola − del quale non consta dalla documentazione in atti, neanche in via di approssimazione, la numerosità dei soggetti potenzialmente interessati dalle riprese, deve comunque rilevarsi la violazione del principio di trasparenza di cui all’art. 5, par. 1, lett. a) e dell’art. 13 del Regolamento, non essendo risultata presente alcuna informativa tale da rendere gli interessati “consapevoli del fatto che è in funzione un sistema di videosorveglianza” (così il richiamato provvedimento generale del Garante del 2010 e, non diversamente, le Linee Guida n. 3/2019, punto 7).

4. Illiceità del trattamento

4.1. Si confermano, pertanto, le valutazioni preliminari dell’Ufficio in ordine ai profili relativi all’omessa informativa in relazione al trattamento di dati personali occasionato dalle riprese concernenti i pur brevi tratti di strada confinanti con l’azienda agricola. Ne deriva che, il trattamento dei dati personali come descritto, non si è pienamente informato al quadro regolatorio sopra richiamato. Tale condotta si è quindi posta in contrasto con il principio di trasparenza, di cui all’art. 5, par. 1, lett. a) del Regolamento nonché al successivo art. 13.

4.2. Tanto premesso, occorre, tuttavia tenere in considerazione taluni elementi emersi nel corso dell’istruttoria, che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta tenuta dal titolare del trattamento (v. cons. 148 del Regolamento). In particolare, tenuto conto che:

non vi sono in atti elementi in grado di indicare o desumere, anche in via solo presuntiva, il numero di soggetti che potrebbero essere in concreto interessati dalle riprese rispetto ai tratti di strada (definiti “piccoli”) confinanti con l’azienda agricola interessati dalle riprese delle telecamere esterne (cfr. art. 83, par. 2, lett. a), del Regolamento);

solo alcune delle telecamere la cui presenza è stata rilevata in sede di verifica sono risultate funzionanti;

la rilevata violazione ha carattere colposo, atteso che, in base agli elementi in atti, non vi sono indici in grado di evidenziare alcuna intenzionalità rispetto alle riprese effettuate;

non risultano precedenti violazioni pertinenti, rispetto al contesto oggetto di reclamo, commesse dell’Azienda (art. 83, par. 2, lett. e), del Regolamento);

non consta, come ricordato, che lavoratori siano stati interessati dalle riprese in modo tale da far ritenere sussistenti gli estremi di un controllo a distanza degli stessi.

4.3. Una valutazione complessiva delle circostanze del caso concreto alla luce degli elementi in atti inducono quindi a ricondurre la vicenda tra le “violazioni minori”, nella prospettiva del considerando 148 del Regolamento nonché delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679” adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

4.4. Alla luce di quanto rappresentato e dei termini complessivi della vicenda in esame, si ritiene pertanto sufficiente ammonire il titolare del trattamento, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento) in ordine alla violazione delle disposizioni sopra richiamate al punto 4.1, non essendo stata comprovata dal titolare del trattamento la presenza di situazioni di rischio effettivo che giustifichino, sulla base di un legittimo interesse, l’estensione delle ripresa delle videocamere anche ad aree che esulano dalla propria esclusiva pertinenza (cfr. al riguardo (cfr., provv.ti 27 aprile 2023, n. 173, doc. web n. 9896468; 2 marzo 2023, n. 59, doc. web n. 9872567; 18 luglio 2023, n. 319, doc. web n. 9935503).

4.5. Rilevato tuttavia che non vi sono elementi volti ad assicurare che la condotta abbia esaurito i suoi effetti, anche in considerazione del fatto che il titolare del trattamento non ha partecipato attivamente al procedimento sanzionatorio conseguente alla contestazione degli addebiti notificata dall’Ufficio ai sensi dell’art. 166 del Codice, ricorrono i presupposti per l’adozione di misure correttive di cui all’art. 58, par. 2, del Regolamento affinché le telecamere, ove ancora idonee a riprendere (ancorché solo in parte) la pubblica via, siano riorientate in modo la limitare le riprese alle sole aree immediatamente prospicienti ai confini dell’azienda agricola. 

4.6. Non consta, invece, dal verbale trasmesso al Garante alcun profilo connesso al potenziale controllo a distanza dei lavoratori: su tale aspetto, ancorché evocato nella comunicazione dell’Ufficio ai sensi dell’art. 166 del Codice, non si ritiene pertanto, allo stato degli atti, di provvedere.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a), in relazione al principio di trasparenza, e 13 del Regolamento;

avverte, ai sensi dell’art. 58, par. 2, lett. b) del Regolamento il titolare del trattamento in ordine alla necessità di fornire l’informativa agli interessati in relazione alle operazioni di trattamento dei dati personali mediante il sistema di videosorveglianza ove le stesse, ricorrendo particolari ragioni legittimanti, non siano circoscritte alle sole aree di pertinenza dell’azienda agricola e non possano quindi essere riconducibili ad attività meramente personali o domestiche escluse dall’ambito di applicazione del Regolamento;

prescrive, ai sensi dell’art. 58, par. 2, lett. d) del Regolamento di orientare le telecamere che consentono di riprendere la pubblica via in modo tale da limitare l’area oggetto di ripresa alle sole aree immediatamente prospicienti alla proprietà, anche in considerazione del fatto che non risultano comprovate in atti situazioni di rischio concreto o altre forme di turbativa da parte di terzi. Dell’adempimento di tale prescrizione il titolare del trattamento dovrà dare comunicazione all’Autorità, ai sensi dell’art. 157 del Codice, entro 30 giorni dalla ricezione del presente provvedimento, con avvertimento che, in caso di omessa comunicazione, si renderà applicabile la sanzione amministrativa pecuniaria prevista ai sensi degli articoli 116, comma 2 del Codice e 83, par. 5 del Regolamento.

DISPONE

ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, tenuto conto della natura delle violazioni commesse, peraltro oggetto di reiterati provvedimenti da parte dell’Autorità in materia di videosorveglianza;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 settembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Fanizza