Apr212026

Trattamento Illecito dei dati – Controllo Divisione GDF – Nucleo Privacy e Frodi Tecnologiche

A seguito di un’attività ispettiva condotta dalla Guardia di Finanza di Padova in data 15 agosto 2024, nell’ambito di controlli in materia di protezione dei dati personali e frodi tecnologiche, è stata accertata la presenza di un sistema di videosorveglianza installato presso un ristorante di Padova. Gli esiti dell’ispezione sono stati successivamente trasmessi al Garante per la protezione dei dati personali dalla Guardia di Finanza di Roma – Nucleo privacy e frodi tecnologiche con nota del 25 febbraio 2025, determinando l’avvio di un procedimento amministrativo sanzionatorio.

Nel corso dell’ispezione è stato rilevato un impianto di videosorveglianza composto da 5 telecamere su 3 piani ove si riscontrava la presenza di lavoratori nelle aree oggetto di ripresa.

L’attività ispettiva ha evidenziato una serie di criticità rilevanti sotto il profilo della conformità al GDPR 679/2016 e alla normativa nazionale.

  1. Informativa carente o non adeguata. È stata accertata la presenza di un unico cartello informativo relativo al sistema di videosorveglianza, tra l’altro non a norma, non sufficiente a coprire tutte le aree interessate dalle riprese, distribuite su più ambienti e livelli dell’esercizio commerciale, e anche la mancanza della informativa completa ai sensi dell’art 13 del GDPR. Questa situazione configura una violazione del principio di trasparenza e dell’obbligo di informare gli interessati (lavoratori, clienti, fornitori, etc.) in modo chiaro e completo prima dell’accesso alle aree videosorvegliate;
  2. Assenza iniziale di autorizzazione dell’Ispettorato del lavoro. Al momento della verifica (15 agosto 2024), l’impianto risultava installato e funzionante in assenza della preventiva autorizzazione dell’Ispettorato territoriale del lavoro, autorizzazione rilasciata solo successivamente, il 31 ottobre 2024, quindi in un momento successivo rispetto all’accertamento ispettivo. La mancanza di autorizzazione preventiva integra una violazione della disciplina prevista dall’art. 4 dello Statuto dei lavoratori, richiamato dall’art. 114 del Codice Privacy, in quanto l’impianto consentiva potenzialmente il controllo a distanza dell’attività lavorativa.
  3. Mancanza di credenziali di accesso al sistema. Un ulteriore profilo di criticità riguarda le modalità di accesso alle immagini registrate. Gli accertamenti hanno evidenziato che il personale autorizzato poteva accedere al sistema di videosorveglianza senza l’utilizzo di credenziali di autenticazione. Questa configurazione tecnica è stata ritenuta inadeguata sotto il profilo della sicurezza, in quanto:
  • non consente di limitare l’accesso ai soli soggetti autorizzati;
  • impedisce la tracciabilità delle operazioni effettuate sui dati;
  • espone il sistema a rischi di accessi non autorizzati o utilizzi impropri.

Tale circostanza si pone in contrasto con gli obblighi previsti dall’art. 32 del GDPR, che impone l’adozione di misure tecniche e organizzative adeguate al rischio.

L’utilizzo di sistemi di videosorveglianza comporta il trattamento di dati personali ai sensi dell’art. 4 del Regolamento (UE) 2016/679 (GDPR) e, pertanto, deve essere conforme ai principi generali e agli obblighi specifici previsti dalla normativa europea e nazionale. Il provvedimento del Garante del 12 marzo 2026 richiama in modo sistematico tali obblighi, evidenziando come la non corretta applicazione degli stessi determini l’illiceità del trattamento.

Il Garante per la Protezione dei Dati Personali, a seguito dell’istruttoria, ha completato il procedimento con una ordinanza di ingiunzione ai sensi dell’art. 58, par. 2, lett. i) del Regolamento (UE) 2016/679 (GDPR), con la quale viene accertata l’illiceità del trattamento e vengono determinate sia la sanzione amministrativa pecuniaria sia le misure correttive necessarie per ricondurre il trattamento alla conformità normativa.

Il Garante ha determinato l’importo della sanzione amministrativa pecuniaria in euro 2.000, ritenuto adeguato in relazione alle circostanze del caso concreto, considerando l’assenza di precedenti specifici a carico del titolare del trattamento in materia di protezione dei dati personali e qualificando la condotta del titolare come colposa, e non dolosa.

il Garante ha disposto, inoltre, specifiche misure correttive ai sensi dell’art. 58, par. 2, lett. d) del GDPR, finalizzate a sanare le criticità riscontrate e a prevenire ulteriori violazioni, in particolare:

  • Rendere un’informativa conforme alla normativa attraverso l’adozione di idonea informativa e l’installazione di idonea cartellonistica;
  • Adottare misure tecniche e organizzative adeguate per regolare l’accesso alle immagini registrate dal sistema di videosorveglianza

Massimo Bruno