Il Garante per la Protezione dei Dati Personali ha adottato, in data 23 ottobre 2025, un importante provvedimento sanzionatorio nei confronti di un comune veneto in relazione a gravi violazioni della normativa sulla protezione dei dati personali nell’ambito dell’installazione e dell’utilizzo di sistemi di videosorveglianza.
Il caso, originato da un reclamo presentato ai sensi dell’art. 77 del Regolamento (UE) 2016/679 (GDPR) da un’ex dipendente comunale, offre significativi spunti di riflessione sulle problematiche connesse all’impiego di dispositivi di videosorveglianza da parte degli enti pubblici, con particolare riferimento al delicato equilibrio tra esigenze di sicurezza urbana e tutela dei diritti fondamentali dei lavoratori.
I fatti all’origine del procedimento
La vicenda trae origine dall’utilizzo, da parte del Comune, di filmati estratti da telecamere di videosorveglianza installate sulla pubblica via per finalità dichiarate di sicurezza urbana, successivamente impiegati nell’ambito di un procedimento disciplinare conclusosi con il licenziamento senza preavviso di una dipendente comunale.
L’attività istruttoria condotta dall’Autorità ha fatto emergere un quadro articolato di violazioni che possono essere ricondotte a due distinte condotte: la prima relativa al trattamento di dati personali mediante telecamere di videosorveglianza collocate sulla pubblica via; la seconda concernente l’impiego di dispositivi video in ambito lavorativo, anche per finalità disciplinari.
Le violazioni relative alla videosorveglianza sulla pubblica via
L’Autorità ha accertato che il Comune si era dotato di un sistema di videosorveglianza composto da diverse telecamere installate sulla pubblica via senza assicurare il rispetto dei requisiti previsti dalla normativa di settore e dal GDPR.
Assenza di idonea base giuridica
Il primo profilo di criticità attiene all’assenza di una valida base giuridica per il trattamento dei dati personali. Il Garante ha rilevato che il Comune, pur avendo stipulato un patto per l’attuazione della sicurezza urbana con la Prefettura di Padova ai sensi dell’art. 5, co. 2, lett. a), del d.l. 20 febbraio 2017, n. 14, lo aveva fatto successivamente all’installazione di due delle telecamere attive, senza peraltro individuare puntualmente le specifiche aree del territorio comunale da sottoporre a videosorveglianza.
Tale circostanza ha comportato l’impossibilità di ricondurre i trattamenti alla disciplina di settore applicabile, in violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), del GDPR, nonché dell’art. 2-ter del Codice Privacy.
Il Garante ha inoltre evidenziato come la finalità di “prevenzione, indagine, accertamento e perseguimento di reati” invocata dal Comune non possa giustificare ex ante l’impiego di telecamere di videosorveglianza, indipendentemente da specifiche attività d’indagine poste in essere dalla Polizia locale sotto la direzione dell’autorità giudiziaria.
Carenze nell’informativa agli interessati
Il secondo profilo critico concerne la violazione del principio di trasparenza sancito dall’art. 5, par. 1, lett. a), del GDPR. L’Autorità ha accertato che il Comune aveva provveduto all’installazione dei cartelli informativi di primo livello solamente nel corso dell’istruttoria e che, comunque, tali cartelli risultavano inadeguati rispetto agli standard richiesti dalle Linee guida 3/2019 del Comitato europeo per la protezione dei dati.
In particolare, i cartelli non riportavano in maniera precisa la denominazione del titolare del trattamento, indicavano una finalità generica (“per fini di sicurezza”), omettevano qualsiasi riferimento ai diritti degli interessati e non contenevano alcun rinvio alle modalità di consultazione dell’informativa completa di secondo livello, in violazione degli artt. 12 e 13 del GDPR.
Omessa valutazione d’impatto sulla protezione dei dati
Il terzo profilo di violazione riguarda l’omessa esecuzione della valutazione d’impatto sulla protezione dei dati (DPIA) prima di dare avvio al trattamento, in violazione dell’art. 35 del GDPR. Tale adempimento risulta sempre obbligatorio in caso di “sorveglianza sistematica su larga scala di una zona accessibile al pubblico” (art. 35, par. 3, lett. c), del GDPR), circostanza che ricorre nel caso di impiego di dispositivi video sulla pubblica via.
Le violazioni connesse al controllo dei lavoratori
Il secondo nucleo di violazioni attiene all’utilizzo improprio delle immagini di videosorveglianza nel contesto del rapporto di lavoro, che ha rappresentato l’aspetto più grave della condotta del Comune.
Utilizzo dei filmati per finalità incompatibili
L’Autorità ha accertato che il Comune, a seguito di segnalazioni presentate da colleghi della reclamante, aveva utilizzato filmati estratti da una telecamera di videosorveglianza installata sulla pubblica via per verificare la fondatezza delle segnalazioni e acquisire elementi a supporto di contestazioni disciplinari, procedendo al raffronto tra i dati relativi all’attestazione delle presenze e le immagini di videosorveglianza.
Tale condotta integra una violazione del principio di limitazione della finalità di cui all’art. 5, par. 1, lett. b), del GDPR, in quanto i filmati sono stati trattati per una finalità (accertamento di condotte rilevanti sul piano disciplinare) incompatibile con quella originaria (tutela della sicurezza urbana).
Violazione delle garanzie previste dallo Statuto dei Lavoratori
Il Garante ha inoltre rilevato che il Comune aveva sottoposto a videosorveglianza un’area della pubblica via che include l’accesso alla sede comunale, dove transitano i lavoratori dell’Ente, senza aver assicurato il rispetto delle garanzie previste dall’art. 4, comma 1, della legge 20 maggio 1970, n. 300 (Statuto dei Lavoratori).
Tale disposizione, che costituisce nell’ordinamento interno una norma più specifica e di maggiore garanzia ai sensi dell’art. 88 del GDPR, subordina l’installazione di impianti audiovisivi dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori al previo accordo con le rappresentanze sindacali o all’autorizzazione dell’Ispettorato Nazionale del Lavoro.
L’assenza di tali garanzie procedimentali ha comportato la violazione degli artt. 5, par. 1, lett. a), 6 e 88 del GDPR, nonché dell’art. 114 del Codice Privacy (in riferimento all’art. 4 della l. 300/1970).
Attività investigative illecite mediante dispositivi video
Un ulteriore profilo di gravità è rappresentato dall’accertamento di attività investigative svolte dal Comune nei confronti della reclamante durante il periodo di malattia, mediante l’incarico conferito a un collaboratore comunale di effettuare riprese video della dipendente mentre pranzava con delle colleghe al di fuori dell’orario di lavoro.
Il Garante ha rilevato come tale condotta integri una grave violazione del divieto sancito dall’art. 8 della l. 300/1970 di “effettuare indagini, anche a mezzo di terzi, su fatti non rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore“, espressamente richiamato dall’art. 113 del Codice Privacy.
L’Autorità ha inoltre evidenziato come il datore di lavoro avrebbe potuto legittimamente avvalersi degli strumenti previsti dall’ordinamento, quali le visite mediche di controllo (c.d. visite fiscali) effettuate dagli uffici ispettivi degli enti previdenziali competenti ai sensi dell’art. 5 della l. 300/1970, senza necessità di ricorrere ad attività investigative invasive della sfera di riservatezza della lavoratrice.
Le sanzioni amministrative pecuniarie irrogate
All’esito dell’istruttoria, il Garante ha irrogato al Comune sanzioni amministrative pecuniarie per complessivi euro 15.000, così articolate:
- euro 5.000 per le violazioni relative al trattamento dei dati personali mediante telecamere di videosorveglianza collocate sulla pubblica via, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13 e 35 del GDPR, nonché dell’art. 2-ter del Codice Privacy;
- euro 10.000 per le violazioni connesse all’impiego di dispositivi video in ambito lavorativo, anche per fini disciplinari, in violazione degli artt. 5, par. 1, lett. a) e b), 6, par. 1, lett. c), 12, par. 1, 13, 35 e 88 del GDPR, nonché degli artt. 113 e 114 del Codice Privacy.
Nella determinazione dell’ammontare delle sanzioni, l’Autorità ha tenuto conto del carattere colposo della violazione, dovuta a errate valutazioni sul piano giuridico, la buona cooperazione offerta nel corso dell’istruttoria, l’assenza di precedenti violazioni pertinenti, le dimensioni ridotte dell’Ente (circa 7.200 abitanti) e le conseguenti limitate risorse organizzative ed economiche.
Per la seconda condotta, la gravità della violazione è stata valutata di livello alto in considerazione delle rilevanti ripercussioni nella sfera personale e lavorativa della reclamante e della forma di controllo invasiva della sfera di riservatezza posta in essere dal Comune.
Conclusioni e implicazioni pratiche
Il provvedimento in esame costituisce un nuovo precedente in materia di videosorveglianza negli enti pubblici e di controlli a distanza dei lavoratori, offrendo significative indicazioni operative per tutti i titolari del trattamento.
In primo luogo, emerge con chiarezza l’impossibilità di utilizzare per finalità diverse (in particolare, per finalità riconducibili alla gestione del rapporto di lavoro) dati personali raccolti mediante sistemi di videosorveglianza installati per finalità di sicurezza urbana, in assenza di autonomi e specifici presupposti di liceità.
In secondo luogo, il provvedimento ribadisce la necessità di assicurare il pieno rispetto delle garanzie procedimentali previste dallo Statuto dei Lavoratori ogniqualvolta l’installazione di dispositivi video, anche se finalizzata primariamente ad altre esigenze (sicurezza urbana, tutela del patrimonio), determini la possibilità di un controllo, ancorché indiretto, sull’attività lavorativa dei dipendenti.
Infine, l’Autorità ha sottolineato l’assoluta illegittimità di qualsiasi forma di indagine o accertamento mediante dispositivi video su fatti attinenti alla sfera privata dei lavoratori e non rilevanti ai fini della valutazione dell’attitudine professionale, ribadendo la necessità di rispettare gli strumenti e le procedure previste dall’ordinamento per la verifica dell’effettiva sussistenza di uno stato di malattia incompatibile con la prestazione lavorativa.
