Videosorveglianza, il privato non può trasformarsi in “controllore” della strada

Registro dei provvedimenti
n. 429 dell’11 giugno 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del 4 aprile 2019, n. 98, in gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. La segnalazione ricevuta e l’avvio del procedimento sanzionatorio

1.1. Con nota del 9 maggio 2025, la Legione Carabinieri Campania-Stazione di Montella (AV) ha trasmesso al Garante il verbale concernente gli accertamenti effettuati il 5 maggio 2025 dal predetto Comando e dal Comando Stazione Carabinieri di Bagnoli Irpino nel quale si dava atto dell’installazione di un sistema di videosorveglianza da parte del XX (di seguito, il “titolare del trattamento”) presso il suo Studio, sito in Cassano Irpino (AV), XX. 

Da tale verbale (e dai fotogrammi allegati) risulta la presenza di tre telecamere funzionanti, posizionate all’esterno dello studio, in grado di riprendere spazi pubblici. Emerge altresì che tale sistema:

– non è segnalato da idonei cartelli informativi;

– è risultato (dalle dichiarazioni del titolare del trattamento raccolte nel verbale) idoneo alla rilevazione non solo delle immagini ma anche del segnale audio, con registrazione pari a ventiquattro ore.

1.2. In considerazione degli elementi così acquisiti e dell’accertamento delle presunte violazioni, con nota trasmessa il 6 ottobre 2025, l’Ufficio ha provveduto a notificare al titolare del trattamento l’atto di avvio del procedimento sanzionatorio ai sensi dell’art. 166, comma 5, del Codice, che qui si intende richiamato, in relazione alla violazione del principio di liceità di cui all’art. 5, par. 1, lett. a) e 6 del Regolamento, del principio di minimizzazione di cui all’art. 5, par. 1, lett. c) e del principio di trasparenza di cui agli artt. 5, par. 1, lett. a) e 13 del Regolamento.

1.3. Il titolare del trattamento ha fatto pervenire scritti difensivi e documenti in relazione al procedimento a suo carico, e ha richiesto, salvo poi rinunciarvi (rif. nota trasmessa il 5 febbraio 2026), di essere audito dall’Autorità.

In particolare, nella memoria del 14 novembre 2025 il titolare del trattamento ha dichiarato:

– che l’installazione delle telecamere si è resa necessaria per finalità di sicurezza, a seguito di atti vandalici che avrebbero danneggiato una scuola nelle vicinanze, del rinvenimento “di un bossolo di arma da fuoco nelle adiacenze dell’ingresso del portone” dello studio e a fronte di una tentata effrazione subita al portone di ingresso;

– “che l’eventuale ripresa di spazi pubblici è cessata immediatamente dopo l’accertamento” da parte dei Carabinieri, essendo stata limitata l’area oggetto delle riprese “alle sole pertinenze dell’immobile”;

– di aver provveduto a posizionare i cartelli informativi, “a disattivare ogni funzionalità audio ed escluderne l’uso per il futuro”, nonché ad adottare misure di sicurezza per la protezione dei dati (con particolare riferimento alle modalità di accesso alle immagini).

2. Il quadro giuridico del trattamento effettuato

2.1. In via generale, si osserva che l’utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell’art. 4, par. 1, n. 2) del Regolamento (UE) 2016/679 (in tal senso v. già la nota del Garante del 17 dicembre 1997, in gpdp.it, doc. web n. 39849; Cass. 2 settembre 2015, n. 17440; Corte di giustizia, 11 dicembre 2014, causa C-212/13, Ryneš, punto 25), nel caso di specie consistenti in immagini e nel segnale audio.

2.2. A ciò si aggiunga che, a mente della giurisprudenza della Corte di giustizia (cfr. sentenza della Quarta Sezione, 11 dicembre 2014, causa C 212/13, Ryneš), il trattamento oggetto di accertamento non può ritenersi ricadere nell’ambito delle attività a carattere esclusivamente personale o domestico (alle quali la disciplina di protezione dei dati personali non troverebbe applicazione, ai sensi dell’art. 2, par. 2 del Regolamento), atteso che le riprese effettuate (audio e video) sono risultate non essere limitate a spazi di propria pertinenza, ma interessavano altresì ambiti ulteriori (in particolare, aree pubbliche).

2.3. Alla luce di tali considerazioni, merita ribadire che i trattamenti effettuati devono svolgersi nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, con particolare riguardo ai principi di liceità, correttezza e trasparenza del trattamento, quest’ultimo ulteriormente declinato, tra l’altro, negli obblighi informativi gravanti sul titolare del trattamento in base all’art. 13 del Regolamento.

2.4. Parimenti possono formare oggetto di trattamento i soli dati pertinenti e non eccedenti in relazione alle finalità che possono essere legittimamente perseguite, previa configurazione del sistema di videosorveglianza in modo da rispettare il principio di minimizzazione dei dati trattati, il che, nel caso di specie, avrebbe richiesto che le riprese fossero limitate ai soli spazi di immediata pertinenza del titolare del trattamento: il che, nel caso di specie, avrebbe richiesto che le riprese fossero limitate ai soli spazi di immediata pertinenza del titolare del trattamento (art. 5, par. 1, lett. c), del Regolamento).

2.5. Quanto rappresentato implica l’obbligo, per il titolare del trattamento, di informare adeguatamente gli interessati, ai sensi degli artt. 5, par. 1, lett. a) e 13 del Regolamento, della presenza delle videocamere mediante l’apposizione di idonei cartelli recanti l’informativa, da collocarsi in modo tale da segnalare il raggio d’azione delle telecamere, con un formato ed un posizionamento tale da essere chiaramente visibili in ogni condizione di illuminazione ambientale. 

Al riguardo, indicazioni puntuali sono state fornite dal Comitato europeo per la protezione dei dati con le Linee guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video del 10 luglio 2019 (di seguito, le “Linee guida n. 3/2019”) e già dal Garante con una pluralità di provvedimenti individuali, resi pubblici nel sito web istituzionale dell’Autorità (gpdp.it) e nelle Relazioni annuali di attività nonché con il provvedimento generale in materia di videosorveglianza adottato da questa Autorità l’8 aprile 2010, con particolare riferimento al punto 3.1 (doc. web n. 1712680).
 
2.6. Con specifico riferimento alle operazioni di trattamento di dati personali – già la sola raccolta, finanche in assenza di memorizzazione (cfr. Cass. 2 settembre 2015, n. 17440) − concernenti immagini e segnale audio effettuate, poste in essere, come nel caso di specie, da parte di un soggetto privato in uno spazio pubblico viene anzitutto in rilievo il principio di liceità (artt. 5, par. 1, lett. a) e 6 del Regolamento). L’attività in parola, consistente nella sistematica osservazione di spazi pubblici (ancorché non correlata alla registrazione delle immagini), infatti, non può essere svolta in autonomia da soggetti privati, trattandosi di attività riservata a soggetti pubblici ai quali, all’interno di un articolato quadro di garanzie, la legge attribuisce compiti in materia di sicurezza pubblica o di accertamento nonché di prevenzione e repressione di reati (v. già al riguardo i provvedimenti generali in materia di videosorveglianza del 29 aprile 2004, punti 2.4, 5.1 e 5.4, doc. web n. 1003482; 8 aprile 2010, punti 2 e 5.1, doc. web n. 1003482). 

La videosorveglianza (limitatamente all’acquisizione di immagini) a tutela di persone e beni individuali può lecitamente svolgersi entro gli ambiti di pertinenza del soggetto privato che, nel proprio legittimo interesse, a tale forma di trattamento intende ricorrere: ad esempio, con riguardo alla tutela del domicilio, in linea di principio (salve comprovate situazioni di rischio effettivo) le riprese devono essere strettamente limitate agli spazi antistanti alle vie di accesso ad esso, senza estendere la videosorveglianza ad aree circostanti, in tutto o in parte di terzi o pubbliche, sì da incidere sulle libertà altrui (cfr., ad es., provv.ti 27 aprile 2023, n. 173, doc. web n. 9896468; 2 marzo 2023, n. 59, doc. web n. 9872567; 18 luglio 2023, n. 319, doc. web n. 9935503). 

Nel caso di specie, invece, il trattamento effettuato mediante il sistema di videosorveglianza è risultato esteso oltre tali ambiti in assenza di idonea base giuridica sulla scorta delle diverse previsioni contenute nell’art. 6 del Regolamento.

3. L’esito dell’istruttoria

3.1. Il trattamento dei dati personali effettuato nel caso di specie dal titolare del trattamento attraverso il sistema di videosorveglianza non si è informato al quadro regolatorio sopra richiamato. 

3.2. Dall’esito degli accertamenti compiuti (di cui al punto 1) e dalla documentazione acquisita in atti (anche fotografica), con specifico riguardo al trattamento in questione, come detto, sostanzialmente diretto a garantire la sicurezza (evocata in tesi difensiva alla stregua di un interesse legittimo del titolare del trattamento ai sensi dell’art. 6, par. 1, lett. f) del Regolamento) deve ritenersi violato il principio di liceità (artt. 5, par. 1, lett. a) e 6 del Regolamento).

3.3. Incontestata è, infatti, la circostanza che il sistema sia risultato idoneo alla rilevazione di immagini e anche audio non solo su angoli visuali di esclusiva pertinenza del titolare medesimo, ma anche in un’area di pubblico transito, non potendosi diversamente intendere dagli scritti difensivi. Negli stessi, infatti, si dà conto delle sopravvenute modifiche delle modalità del trattamento – con variazione delle inquadrature, disattivazione della funzionalità audio, apposizione di informativa – a seguito delle verifiche dei predetti Comandi. 

Il titolare del trattamento dichiara infatti, con attestazione della cui veridicità l’autore risponde ai sensi dell’art. 168 del Codice (“Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”),  che “[l’]assetto attuale […] limita le riprese alle pertinenze, rende la raccolta proporzionata allo scopo di sicurezza, rimuove l’audio e assicura un’informativa multilivello”.

3.4. Cionondimeno, un simile trattamento – rispetto al quale è stata contestata anche l’assenza di idonea informativa atta a segnalare al pubblico la presenza delle tre apparecchiature di ripresa poste, in due spazi distinti, all’esterno dello studio professionale – si è posto in contrasto con quanto stabilito dall’art. 5, par. 1, lett. c), in base al quale i dati trattati devono essere pertinenti − e la possibilità di registrazione del segnale audio, insieme all’ampio angolo di ripresa, non lo sono − e strettamente necessari al perseguimento dei fini stabiliti dal titolare del trattamento. Al riguardo, la tutela della persona e dei beni riferibili al titolare (invocata a fondamento del trattamento stesso a fronte delle circostanze richiamate al punto 1.3), ancorché si tratti di finalità in astratto legittimamente perseguibili, consentono comunque una videosorveglianza degli spazi prossimi alle proprie pertinenze in misura proporzionata e limitatamente a quanto necessario al perseguimento di tale finalità (sul punto cfr. Linee guida n. 3/2019, punto 27; v. altresì, da ultimo, provv. 18 dicembre 2025, n. 758, doc. web n. 10211207; v. anche provv. 27 gennaio 2022, n. 20, doc. web n. 9746047): ciò però, non può, come chiarito, giustificare né la rilevata estensione dell’area ripresa − il verbale riferisce che “l’inquadratura era per la maggior parte su pubblica via” −, né tantomeno l’acquisizione del segnale audio (al riguardo v. già provv. 12 ottobre 2023, n. 477, doc. web n. 9949494, v. anche provv. 11 gennaio 2024, n. 5, doc. web n. 9977020).

3.5. Inoltre, dal verbale risulta che il sistema di videosorveglianza era sprovvisto di idonei cartelli informativi.

Simile condotta, ancorché sia stata resa conforme ai dettami di cui sopra in tempi successivi agli anzidetti accertamenti, contrasta con quanto stabilito dall’art. 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all’interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento, nonché del principio generale di trasparenza del trattamento di cui all’art. 5, par. 1, lett. a) del medesimo Regolamento.
 
4. Illiceità del trattamento

4.1. Alla luce di tali considerazioni, si confermano le valutazioni preliminari dell’Ufficio in ordine ai profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto gli elementi acquisiti nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Ne deriva che la condotta come descritta si è posta, rispetto all’angolo di ripresa e alla natura dei dati trattati, in contrasto con il principio di liceità di cui agli artt. 5, par. 1, lett. a) e 6 del Regolamento e, in considerazione delle finalità fatte valere, con il principio di minimizzazione di cui all’art. 5, par. 1, lett. c) del Regolamento nonché, in ordine all’omessa informativa in relazione al trattamento occasionato dalle riprese, il principio di trasparenza, di cui agli artt. 5, par. 1, lett. a) e 13 del Regolamento. 

4.2.1. La violazione accertata nei termini di cui in motivazione non può essere considerata minore, tenuto conto della natura, della durata e della gravità e della violazione − che ha interessato anche l’audio −, del numero potenzialmente elevato dei soggetti interessati, considerata la dislocazione delle telecamere, nonché della maniera in cui l’autorità di controllo ha preso conoscenza della violazione (v. cons. 148 del Regolamento).

4.2.2. Merita altresì tenere in considerazione taluni elementi emersi nel corso procedimento che risultano indispensabili ai fini della valutazione in concreto dell’entità delle violazioni riscontrate e della lesività della complessiva condotta tenuta dal titolare del trattamento (v. cons. 148 del Regolamento), in particolare del paese di piccole dimensioni nel quale la violazione ha avuto luogo, che, in base a quanto dichiarato, sarebbe stato interessato da vari episodi di criminalità in un arco temporale ristretto.

4.2.3. Inoltre, in capo al titolare del trattamento non risultano precedenti violazioni pertinenti rispetto al contesto qui preso in considerazione (art. 83, par. 2, lett. e), del Regolamento) e il titolare, come risulta dagli atti, ha peraltro già provveduto a conformarsi rispetto a quanto previsto dalla normativa di riferimento.

4.3. Alla luce di quanto rappresentato e dei termini complessivi della vicenda in esame, si ritiene pertanto di adottare un’ordinanza ingiunzione ai sensi dell’art. 58, par. 2, lett. i), del Regolamento per l’applicazione di una sanzione amministrativa pecuniaria in ordine alla violazione delle disposizioni sopra richiamate al punto 4.1.

5. Ordinanza di ingiunzione

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18, l. 24 novembre 1981, n. 689), in relazione al trattamento dei dati personali effettuato dal titolare del trattamento, per mezzo del descritto impianto di videosorveglianza, in assenza dell’informativa di cui all’art. 13 del Regolamento in relazione all’art. 5, par. 1, lett. a) e in violazione dei principi di liceità (di cui agli artt. 5, par. 1, lett. a) e 6 del Regolamento) e di  minimizzazione (di cui all’art. 5, par. 1, lett. c) del Regolamento), nei termini di cui in narrativa.

Con riferimento agli elementi elencati dall’art. 83, par. 2, del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), nel caso di specie sono state tenute in considerazione le circostanze sotto riportate:

a. con riguardo alla natura, gravità e durata della violazione, è stata presa in considerazione la condotta colposa del titolare del trattamento, la responsabilità connessa all’inadempimento degli obblighi in materia di videosorveglianza – peraltro nel tempo oggetto di innumerevoli provvedimenti del Garante (sia di natura individuale, sia contenenti indicazioni di natura generale: cfr., in particolare, i citati provv.ti del 29 aprile 2004 e dell’8 aprile 2010) e di un consolidato orientamento giurisprudenziale (cfr. Cass. civ., Sez. II, 2 settembre 2015, n. 17440; Cass. civ., Sez. II, 5 luglio 2016, n. 13633) −, nonché la circostanza che la condotta illecita, consistente anche nella captazione del segnale audio, ha avuto luogo negli spazi pubblici oggetto dell’attività di videosorveglianza;

b. quali fattori attenuanti, l’assenza di precedenti specifici a carico del titolare del trattamento relativi a violazioni della disciplina in materia di protezione dei dati personali; la cooperazione prestata e la rimodulazione delle aree oggetto di videosorveglianza con disattivazione della raccolta del segnale audio.

In ragione dei suddetti elementi, valutati nel loro complesso, e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.000,00 (mille) per la violazione degli artt. 5, par. 1, lett. a) e 6, art. 5, par. 1, lett. c) e artt. 5, par. 1, lett. a) e 13 del Regolamento.

TUTTO CIÒ PREMESSO, IL GARANTE

dichiara, ai sensi degli artt. 57, par. 1, lett. f) e 83 del Regolamento, l’illiceità del descritto trattamento effettuato dal titolare del trattamento individuato in premessa (al punto 1) con violazione degli artt. 5, par. 1, lett. a) e 6, art. 5, par. 1, lett. c) e artt. 5, par. 1, lett. a) e 13 del Regolamento;

ORDINA

al titolare del trattamento di pagare la somma di euro 1.000,00 (mille) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione; 

INGIUNGE

al medesimo titolare del trattamento:

a. ai sensi degli artt. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 1.000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si rappresenta in proposito che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

DISPONE

– ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante, omessi i dati personali del titolare del trattamento e gli indirizzi di cui al punto 1, tenuto conto della natura delle violazioni, oggetto di reiterati provvedimenti da parte del Garante, nonché in ragione del numero di soggetti coinvolti dal trattamento; 

– ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10, d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 giugno 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori