Aggiornato al 23 maggio 2026
In sintesi. Con il provvedimento n. 167 del 12 marzo 2026 il Garante per la protezione dei dati personali ha sanzionato con 2.000 euro un ristorante di Padova. L’informativa consisteva in un solo cartello di videosorveglianza per telecamere collocate in tre ambienti su piani diversi: per il Garante non bastava, perché chi entra in ciascuna zona ripresa deve essere avvertito prima di entrarvi. Le altre contestazioni riguardano l’assenza dell’autorizzazione dell’Ispettorato del lavoro al momento del controllo e l’accesso alle immagini senza credenziali.
Il caso: ispezione della Guardia di Finanza a Padova
Il provvedimento è un’ordinanza ingiunzione, cioè l’atto con cui il Garante accerta la violazione e applica la sanzione. Nasce da una verifica della Guardia di Finanza di Padova del 15 agosto 2024 in un esercizio di ristorazione dotato di quattro telecamere esterne e di una interna. Nelle aree riprese erano presenti lavoratori.
Che cosa ha contestato il Garante
Le violazioni riguardano tre profili. Il primo è la trasparenza: l’informativa, cioè l’avviso agli interessati sul trattamento delle loro immagini, previsto dagli articoli 5 e 13 del Regolamento (Ue) 2016/679 (Gdpr). Il secondo è la liceità del controllo sui lavoratori, per l’articolo 4 della legge 300/1970 (Statuto dei lavoratori) richiamato dall’articolo 114 del Codice privacy. Il terzo è la sicurezza dei dati, per l’articolo 32 del Gdpr.
Perché un solo cartello non basta
Il verbale indicava un unico cartello per telecamere distribuite in tre ambienti su piani diversi. Il Garante ha rilevato che non tutti gli ambienti ripresi erano segnalati e che quindi gli interessati non erano sempre informati. Ha richiamato le Linee guida 3/2019 del Comitato europeo per la protezione dei dati (Edpb), secondo cui le informazioni essenziali vanno poste in modo da essere notate prima di entrare nella zona ripresa.
Le Linee guida propongono un’informativa in due passaggi. Nel primo c’è il cartello di avvertimento, posto di norma all’altezza degli occhi prima dell’area sorvegliata: indica finalità, identità del titolare e diritti degli interessati, e rinvia al resto. Nel secondo si trovano tutti gli elementi richiesti dall’articolo 13 del Gdpr. Questa parte va resa consultabile senza entrare nell’area ripresa: un foglio alla cassa o alla reception, un indirizzo internet, un codice QR; deve esistere anche una versione non digitale.
Autorizzazione dell’Ispettorato e credenziali di accesso
L’articolo 4 dello Statuto dei lavoratori consente gli impianti da cui può derivare la sorveglianza a distanza dei lavoratori soltanto se c’è un accordo con i sindacati o un’autorizzazione rilasciata dall’Ispettorato del lavoro. Al momento del controllo l’impianto funzionava senza autorizzazione. L’Ispettorato di Padova-Rovigo l’ha rilasciata con effetto dal 31 ottobre 2024, dopo l’ispezione. Il Garante ha comunque ritenuto violato l’articolo 4, pur senza ordinare misure correttive su questo punto proprio perché l’autorizzazione era arrivata.
Sul fronte della sicurezza, il personale autorizzato a vedere le immagini non usava credenziali. Questo impedisce di sapere chi consulta, copia o cancella i dati. Per il Garante sarebbero bastate misure organizzative semplici.
Sanzione e ordini correttivi
La sanzione è di 2.000 euro, da pagare entro 30 giorni dalla notifica. Il Garante ha considerato come aggravanti la natura colposa della condotta e l’ampia platea di persone coinvolte, dato che i locali sono aperti al pubblico. Ha riconosciuto come attenuante l’assenza di precedenti specifici. Il titolare non aveva presentato memorie difensive. Entro 30 giorni deve installare idonei cartelli e limitare l’accesso alle immagini ai soli soggetti legittimati.
Il provvedimento riguarda un singolo caso: non stabilisce regole nuove, ma applica principi e linee guida già esistenti.
Domande frequenti
Basta un cartello all’ingresso se le telecamere sono in più locali? Nel caso deciso dal Garante no: gli ambienti ripresi non erano tutti segnalati e gli interessati vanno avvertiti prima di entrare in ciascuna zona.
L’autorizzazione dell’Ispettorato ottenuta dopo sana la violazione? Il Garante ha accertato la violazione dell’articolo 4 dello Statuto, perché l’impianto operava senza autorizzazione al momento del controllo. L’autorizzazione successiva ha evitato solo un ordine correttivo su quel punto.
Che cosa deve contenere il cartello? Secondo le Linee guida 3/2019, finalità, identità del titolare, diritti degli interessati e rinvio al secondo livello di informazioni, oltre a conservazione e comunicazione a terzi se non attese dall’interessato.
Servono le credenziali per chi vede le immagini? Sì: nel caso esaminato l’assenza di credenziali ha reso impossibile tracciare gli accessi ed è stata contestata come carenza di sicurezza.
Fonti
Garante per la protezione dei dati personali, provvedimento n. 167 del 12 marzo 2026 (doc. web 10240451), letto nel testo pubblicato tramite il sito Certifico. Certifico (15 maggio 2026) ed Edotto (21 aprile 2026) come commenti concordi. Comitato europeo per la protezione dei dati, Linee guida 3/2019 sui dispositivi video, parr. 111-119, versione italiana letta sul sito dell’Edpb. Non sono stati letti articoli del Sole 24 Ore sul tema, né la parte finale delle Linee guida, né il testo dell’articolo 83 del Gdpr su EUR-Lex.
Contenuto a carattere informativo: non sostituisce una consulenza sul singolo caso.
