Videosorveglianza presso l’area di accesso di un Comando di Polizia locale: il Garante Privacy sanziona un Ente locale per illecito trattamento dei dati personali

Gaetano Alborino

1. Videosorveglianza e tutela dei dati personali

Il Garante per la protezione dei dati personali, con provvedimento n. 201 del 10 aprile 2025, ha ordinato all’Unione Montana Appennino Parma Est il pagamento della somma di euro 8.000, a titolo di sanzione amministrativa pecuniaria per la violazione degli articoli 5, par. 1, lett. a), 6, 12, 13, 35 e 88, par. 1, del Regolamento (UE) Generale sulla protezione dei dati personali (G.D.P.R.) n. 2016/679, nonché dell’articolo 114, d.lgs. n. 196/2003 (cd. “Codice Privacy”), in relazione all’articolo 4, comma 1, della legge n. 300/1970 (cd. “Statuto dei lavoratori”), disponendo, altresì, a titolo di sanzione accessoria, la pubblicazione del provvedimento sul sito web.

L’intervento del Garante Privacy era stato sollecitato da un reclamo, ai sensi dell’art. 77 del Regolamento n. 679/2016, con cui un dipendente dell’Ente (operatore di Polizia locale) aveva lamentato – sia in proprio sia in quanto esercente la responsabilità genitoriale su un proprio figlio minore – una violazione della disciplina in materia di protezione dei dati personali, riguardante il trattamento dei dati personali suoi e di suo figlio, mediante una telecamera di videosorveglianza.

In particolare, il reclamante aveva rappresentato che l’entrata pedonale del Comando di Polizia locale era sottoposta a videosorveglianza tramite la presenza di una telecamera esterna, le cui immagini venivano registrate e conservate da parte del titolare del trattamento.

In tale contesto, l’Unione Montana Appennino Parma Est non avrebbe apposto un cartello informativo, contenente l’informativa di primo livello sul trattamento dei dati personali, in prossimità della telecamera di videosorveglianza, né fornito agli interessati un’informativa completa di secondo livello.

Inoltre, non avrebbe redatta una valutazione d’impatto sulla protezione dei dati, ai sensi dell’articolo 35 del Regolamento, prima di iniziare il trattamento.

Avrebbe impiegato detta telecamera, idonea a riprendere anche gli appartenenti al Corpo di Polizia locale nel contesto lavorativo, in violazione dell’articolo 4, legge 20 maggio 1970, n. 300 (“Statuto dei lavoratori”).

Avrebbe, infine, conservato i dati personali contenuti nelle immagini di videosorveglianza più a lungo di quanto necessario per le finalità per le quali sono trattati, senza che ricorressero esigenze particolari tali da giustificare un prolungamento della conservazione.

In riscontro ad una richiesta d’informazioni del Garante, l’Unione dichiarava:

la finalità di trattamento perseguita, nell’ambito dell’azione di sicurezza urbana integrata, era quella della tutela degli immobili di proprietà o in gestione dell’Amministrazione. La base giuridica del trattamento era da ricondursi all’articolo 6, comma 1, lettera e), del [Regolamento;

la telecamera riprendeva esclusivamente l'area di accesso agli uffici e, in campo lungo, l'area di sosta dei veicoli di proprietà e alcuna attività svolta dai lavoratori;

essendo la finalità riconducibile all’ambito della sicurezza urbana integrata di tutela degli immobili di proprietà o in gestione dell’Amministrazione, si era fuori dall’ambito di applicazione dell’articolo 4 della legge n. 300/70. Per tale ragione non era stato stipulato un accordo con le organizzazioni sindacali né richiesta l’autorizzazione all’Ispettorato Territoriale del Lavoro;

sulla base delle disposizioni normative vigenti, il termine massimo di conservazione dei dati era di 7 giorni;

era stato apposto un cartello con l’informativa di 1° livello, in prossimità della telecamera in questione. L’informativa estesa sul trattamento dei dati era disponibile agli interessati sul sito istituzionale dell’Unione, nella sezione Unione – Privacy;

era stata redatta una valutazione d’impatto sulla protezione dei dati.

L’Ente locale presentava una memoria difensiva, dichiarando, in particolare, che:

si era fatta immediatamente parte attiva per concludere il percorso di definizione con le OO.SS. di un accordo relativo alla videosorveglianza, ai sensi dell’articolo 4 della legge n. 300/1970, che veniva anche successivamente sottoscritto;

si era fatta immediatamente parte attiva predisponendo un’informativa di secondo livello aggiornata, approvata con delibera di Giunta e già pubblicata nel sito istituzionale dell’Ente.

era stata, inoltre, predisposta, pubblicata sul sito istituzionale ed inviata a mezzo mail l’informativa per i dipendenti, approvata con delibera di Giunta.

2. Le violazioni al Regolamento (UE) sulla protezione dei dati personali (G.D.P.R.)

Il Garante, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, notificava all’Ente locale l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articoli 58, par. 2, del Regolamento, avente ad oggetto le seguenti violazioni:

per aver posto in essere un trattamento di dati personali dei lavoratori, mediante la telecamera di videosorveglianza in questione, in contrasto con la normativa in materia di protezione dei dati personali e con la disciplina di settore in materia di controlli a distanza, nonché per aver trattato i dati personali del reclamante e del proprio figlio minore, raccolti mediante detta telecamera, nell’ambito di un procedimento disciplinare, in assenza dei necessari presupposti di liceità, in violazione degli articoli 5, par. 1, lett. a) e b), 6, e 88 del Regolamento, nonché dell’articolo 114 del “Codice Privacy”, in riferimento all’articolo 4, della legge 20 maggio 1970, n. 300 (cd. “Statuto dei lavoratori”;

per non aver assicurato la necessaria trasparenza del trattamento nei confronti degli interessati, con conseguente violazione degli articoli 5, par. 1, lett. a), 12 e 13 del Regolamento;

per non aver redatto una valutazione d’impatto per la protezione dei dati personali, in relazione al trattamento dei dati personali dei lavoratori posto in essere mediante la medesima telecamera, in violazione dell’articolo 35 del Regolamento.

Con la medesima nota, il predetto titolare veniva invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (articolo 166, commi 6 e 7, del Codice, nonché articolo 18, comma 1, della l. 24 novembre 1981, n. 689).

3. La liceità del trattamento dei dati personali

I soggetti pubblici possono, di regola, trattare dati personali se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (articolo 6, par. 1, lett. c) ed e) del Regolamento e art. 2-ter del “Codice Privacy”).

Con specifico riferimento all’utilizzo di sistemi di videosorveglianza da parte di soggetti pubblici, già nel “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010, il Garante aveva chiarito che tali soggetti, “in qualità di titolari del trattamento, possono trattare dati personali nel rispetto del principio di finalità, perseguendo scopi determinati, espliciti e legittimi per lo svolgimento delle proprie funzioni istituzionali” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” adottate dal Comitato europeo per la protezione dei dati il 29 gennaio 2020, sez. 3.2).

Ciò stante, quando, come nel caso di specie, le telecamere di videosorveglianza sono idonee a riprendere anche il personale che transita o sosta nei luoghi di lavoro, il trattamento dei dati personali dei lavoratori, da parte del datore di lavoro, può essere effettuato, se è necessario per la gestione del rapporto di lavoro, nel rispetto del quadro giuridico applicabile, definito dalla normativa nazionale ed eurounitaria, da regolamenti o da contratti collettivi (articoli 6, par. 1, lett. c), e 88 del Regolamento).

In tale quadro, il datore di lavoro deve rispettare le norme nazionali che includono misure appropriate e specifiche, a salvaguardia della dignità umana degli interessati, in particolare per quanto riguarda la trasparenza del trattamento e i sistemi di monitoraggio sul posto di lavoro (articoli 6, par. 2, e 88, par. 2, del Regolamento).

Per effetto del rinvio contenuto nel “Codice Privacy” alle preesistenti disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, con particolare riferimento ai possibili controlli da parte del datore di lavoro (articolo 114 “Garanzie in materia di controllo a distanza”), l’osservanza dell’articolo 4, legge 20 maggio 1970, n. 300 (“Statuto dei Lavoratori”) costituisce una condizione di liceità del trattamento (cfr. par. 4.1 del citato “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010; da ultimo, la FAQ n. 9 del Garante in materia di videosorveglianza, del dicembre 2020 e le numerose decisioni del Garante riferite a casi concreti).

L’articolo 4, comma 1, dello “Statuto dei Lavoratori” stabilisce, infatti, che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali […]. In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro o, in alternativa, […] della sede centrale dell'Ispettorato nazionale del lavoro”.

Tali garanzie, previste dallo “Statuto dei Lavoratori” trovano, peraltro, applicazione in qualunque contesto lavorativo pubblico e privato, fatto salvo quanto disposto altrimenti dalle specifiche disposizioni di settore (combinato disposto articolo 37 della legge 300/1970 e articoli 3, 42 e 51, comma 2, del d.lgs. 165/2001; Consiglio di Stato, 12 luglio 1990, n. 708; Consiglio di Stato, Sez. V, 23 gennaio 1995 n. 95, in base alle quali le norme della legge n. 300/1970 si applicano ai dipendenti pubblici nel caso in cui manchi del tutto la disciplina relativa al caso di specie nell’ambito dell’ordinamento interno dell’ente).

Ciò premesso, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, è stato accertato che, a partire dal febbraio 2016, l’Ente locale aveva installato una telecamera di videosorveglianza presso la sede della Polizia locale, che riprendeva esclusivamente l'area di accesso agli uffici e in campo lungo l'area di sosta dei veicoli di proprietà, per finalità “di sicurezza urbana integrata di tutela degli immobili di proprietà o in gestione dell’Amministrazione”.

Al riguardo, il Garante ha ritenuto inconferente il richiamo effettuato dall’Unione all’ambito della “sicurezza urbana integrata” in relazione alla telecamera di videosorveglianza in questione.

La disciplina di settore consente, infatti, ai Comuni di installare sistemi di videosorveglia per la “prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria”, a condizione che sia stipulato un patto per l’attuazione della sicurezza urbana tra Sindaco e Prefettura territorialmente competente (articoli 6, comma 7 e 8, del decreto-legge 23 febbraio 2009, nonché articoli 4 e 5, comma 2, lett. a), del decreto-legge 20 febbraio 2017, n. 14.

La telecamera di videosorveglianza, riprendendo esclusivamente un ingresso esterno alla sede di Polizia locale e parte del parcheggio delle auto di servizio, non poteva ritenersi strumentale alla tutela della sicurezza urbana, non potendo ontologicamente assolvere al compito di prevenire e contrastare gli specifici fenomeni di criminalità diffusa e predatoria, cui fa riferimento la richiamata disciplina di settore, che tipicamente si verificano nella pubblica via (da ultimo, provvedimento 11 aprile 2024, n. 234).

Né poteva rilevare che il patto per l’attuazione della sicurezza urbana stipulato tra il Comune di Langhirano e la Prefettura di Parma (molti anni dopo la data d’installazione di detta telecamera) menzionasse la telecamera in questione, atteso che la stessa non risultava comunque idonea a riprendere la pubblica via ed assolvere alla finalità di tutela di sicurezza urbana.

L’effettiva finalità perseguita, ovvero la “tutela degli immobili di proprietà o in gestione dell’Amministrazione”, impropriamente ricondotta all’ambito della sicurezza urbana, si collocava, invece, nell’alveo dell’articolo 4 della legge n. 300/1970, ai sensi del quale, come evidenziato, “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per la tutela del patrimonio aziendale”, nel rispetto delle procedure e delle garanzie ivi previste.

Tale disposizione trova applicazione in tutti i luoghi e contesti in cui operano o transitano anche lavoratori, circostanza che ricorreva nel caso di specie.

In proposito, il Garante ha, infatti, costantemente ritenuto che anche le aree nelle quali transitano o sostano - talora continuativamente - i dipendenti (ad es. accessi alla struttura e ai garage, zone di carico/scarico merci, ingressi carrai e pedonali), qualora sottoposte a videosorveglianza, sono soggette alla piena applicazione della disciplina in materia di protezione dei dati personali e a quella in materia di controlli a distanza (v., tra gli altri, 30 luglio 2015, n. 455, doc. web n. 4261028; 4 luglio 2013, n. 334, doc. web n. 2577203; 18 aprile 2013, n.199 e 200, doc. web n. 2483269; 9 febbraio 2012, n. 56, doc. web n. 188699; 17 novembre 2011,n. 434, doc. web n. 1859558; 26 febbraio 2009, doc. web n. 1601522).

Come è emerso nel corso dell’istruttoria, l’Ente locale aveva installato e messo in funzione la telecamera di videosorveglianza oggetto di reclamo, fin dall’anno 2016, senza aver previamente esperito le procedure di garanzia di cui all’articolo 4, comma 1, legge n. 300/1970, non avendo la stessa né stipulato un accordo con le rappresentanze sindacali, né ottenuto un’autorizzazione dal competente Ispettorato territoriale del lavoro.

Soltanto a seguito dell’avvio del procedimento relativo al reclamo, l’Ente locale si era, infatti, attivata per la stipula un accordo con le organizzazioni sindacali, poi effettivamente formalizzato.

A tal riguardo, si evidenzia che le esigenze di tutela del patrimonio aziendale non possono di per sé sole, in base al quadro normativo sopra delineato, legittimare il trattamento dei dati personali mediante strumenti dai quali può derivare anche la possibilità di controllo a distanza dei lavoratori, come la telecamera di videosorveglianza in questione, in assenza delle garanzie previste dall’articolo 4, comma 1, legge n. 300/1970, che definisce, per le ragioni sin qui esposte, limiti, condizioni e presupposti del relativo trattamento.

Sul punto, anche la giurisprudenza della Corte europea dei diritti dell’uomo (Application n. 70838/13 del 28.11.2017), ha stabilito che il rispetto della “vita privata” deve essere esteso anche ai luoghi di lavoro pubblici (nel caso di specie, le aule universitarie), evidenziando che la videosorveglianza sul posto di lavoro pubblico può essere giustificata solo nel rispetto delle garanzie previste dalla legge nazionale applicabile, in mancanza delle quali costituisce un'interferenza illecita nella vita privata del dipendente, ai sensi dell'articolo 8, par. 2, della CEDU.

Pertanto, il rispetto del citato articolo 4, comma 1, anche per effetto del rinvio ad esso contenuto nell’articolo 114 del “Codice Privacy”, costituisce condizione di liceità del trattamento dei dati personali (cfr., da ultimo, con riguardo al ricorso alla videosorveglianza sui luoghi di lavoro, provvedimenti 11 aprile 2024, n. 234; 16 novembre 2023, n. 578; 16 settembre 2021, n. 331; 11 marzo 2021, n. 90; 5 marzo 2020, n. 53; 19 settembre 2019, n. 167; a livello europeo, le indicazioni contenute nelle citate “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, spec. par. 11, nonché le precedenti indicazioni del Gruppo di Lavoro Articolo 29 nel “Parere 2/2017 sul trattamento dei dati sul posto di lavoro”, WP 249; in giurisprudenza, Cass. pen., sez. 3, 17 dicembre 2019, n. 50919; Cass. civ., sez. 1, 19 settembre 2016, n. 18302).

In ragione delle considerazioni che precedono, il trattamento dei dati personali, posto in essere mediante la predetta telecamera risulta essere stato effettuato in contrasto con la normativa in materia di protezione dei dati personali e con la disciplina di settore in materia di controlli a distanza, ossia in assenza delle procedure di garanzia richieste dalla legge nazionale applicabile, che ne costituisce la base giuridica (sotto tale profilo, ancorché con riferimento all’impiego di diversi sistemi nel contesto lavorativo, v. provvedimento 1° dicembre 2022, n. 409).

L’impiego di detta telecamera ha, pertanto, comportato il trattamento di dati personali relativi ai lavoratori e ad altri interessati (ad esempio, visitatori, utenti, fornitori, cittadini e altre categorie di interessati), in maniera non conforme al “principio di liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli articoli 5, par. 1, lett. a), 6 e 88, par. 1, del Regolamento, nonché dell’articolo 114 del “Codice Privacy” (in relazione all’articolo 4, comma 1, della legge n. 300/1970).

4. La trasparenza nei confronti degli interessati

Allorquando siano impiegati dispositivi video, il titolare del trattamento, oltre a rendere l’informativa di primo livello, mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono contenere tutti gli elementi obbligatori a norma dell’articolo 13 del Regolamento ed essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale o affissa in un luogo di facile accesso (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 7; “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, in particolare par. 3.1; da ultimo, FAQ n. 4 del Garante in materia di videosorveglianza).

Le informazioni di primo livello (cartello di avvertimento) dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, par. 114).

Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione dei dati. Se tali informazioni non fossero indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale, senza alcuna registrazione di dati o trasmissione a soggetti terzi (ibidem, par. 115).

La segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Nel caso di specie, l’Unione Montana Appennino Parma Est ha dichiarato che era stato apposto un “cartello con l’informativa di 1° livello, in prossimità della telecamera.

Risultava, pertanto, accertato che, nell’intervallo temporale intercorrente tra la data in cui detta telecamera era stata installata e messa in funzione e la data in cui tale cartello era stato poi collocato, l’Ente non aveva fornito agli interessati alcuna informativa di primo livello sul trattamento dei dati.

Quanto al periodo successivo alla sua installazione, il Garante ha osservato che il cartello informativo affisso risultava essere, in ogni caso, inidoneo, in quanto, con riferimento alla finalità perseguita dall’Unione.

Inoltre, anche in riferimento all’informativa completa di secondo livello, il cartello in questione rimandava al sito web istituzionale dell’Unione. Il testo di tale informativa faceva generico riferimento ai trattamenti di dati personali posti in essere dall’Unione per proprie “finalità istituzionali” e non riguardava, pertanto, i trattamenti posti in essere mediante detta telecamera di videosorveglianza per le finalità di sicurezza sul lavoro e tutela del patrimonio di cui all’articolo 4, legge 300/1970, cui si faceva riferimento nell’accordo sindacale concluso.

L’Unione aveva, pertanto, omesso di fornire agli interessati (ad esempio, visitatori, utenti, fornitori, cittadini e altre categorie di interessati) un’idonea informativa estesa, di secondo livello, sul trattamento dei dati personali.

Anche per quanto attiene specificamente al trattamento dei dati personali dei lavoratori mediante il dispositivo video impiegato, l’Unione non aveva comprovato di aver fornito agli stessi una specifica informativa sul trattamento dei dati personali, connesso al perseguimento della finalità di tutela del patrimonio di cui all’articolo 4 della legge n. 300/1970.

Deve, pertanto, concludersi che l’Unione ha agito in maniera non conforme al “principio di liceità, correttezza e trasparenza” e in violazione degli articoli 5, par. 1, lett. a), 12 e 13 del Regolamento.

5. La valutazione d’impatto sulla protezione dei dati personali

In attuazione del principio di “responsabilizzazione”, spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali ai sensi dell’articolo 35 del Regolamento (cfr. cons. 90 del Regolamento).

Nel caso di specie, il trattamento dei dati personali dei lavoratori, in servizio presso la Polizia locale dell’Unione, era stato effettuato, mediante la telecamera di videosorveglianza oggetto di reclamo, anche in assenza di una preliminare valutazione d’impatto sulla protezione dei dati personali.

La copia della valutazione d’impatto sulla protezione dei dati personali faceva, infatti, riferimento al trattamento di dati personali di dati personali, eseguito con i con sistemi di videosorveglianza, ai fini dell’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi del “decreto-legge 14/2017, che ha riconosciuto l’importanza dei sistemi di videosorveglianza come strumento atto a prevenire e contrastare fenomeni di criminalità diffusa e predatoria.

Gli interessati da tali trattamenti sono identificati in tutte le persone fisiche che transitano nelle aree videosorvegliate che riguardano aree di pubblico passaggio.

I dispositivi di videosorveglianza considerati ai fini di tale valutazione d’impatto erano i seguenti:

rete di telecamere fisse dedicate alla sorveglianza del territorio dell’Unione;

rete di telecamere fisse dedicate al riconoscimento delle targhe dei veicoli;

telecamere mobili per vigilanza sui rifiuti e finalità di polizia giudiziaria, tra cui le fototrappole;

telecamere mobili applicabile alle divise degli agenti di Polizia locale (“bodycam”) o sui veicoli di servizio (“dashcam”).

Invero, la valutazione d’impatto per la protezione dei dati personali non aveva preso in specifica considerazione il trattamento dei dati personali dei lavoratori, posto in essere mediante sistemi di videosorveglianza per la tutela del patrimonio aziendale, ai sensi dell’articolo 4, comma 1, della legge n. 300/1970 (“Statuto dei lavoratori”).

Tenuto conto delle indicazioni fornite anche a livello europeo sul punto, tale trattamento comporta rischi specifici per i diritti e le libertà degli interessati nel contesto lavorativo (articolo 35 del Regolamento; provvedimento 16 novembre 2023, n. 578).

Tanto, in considerazione della particolare “vulnerabilità” degli interessati nel contesto lavorativo (cfr. cons. 75 e articolo 88 del Regolamento e le “Linee guida concernenti la valutazione di impatto sulla protezione dei dati, nonché i criteri per stabilire se un trattamento "possa presentare un rischio elevato" ai sensi del Regolamento 2016/679”, WP 248 del 4 aprile 2017, che, tra le categorie di interessati vulnerabili, menzionano espressamente “i dipendenti”) e del fatto che in tale ambito l’impiego di sistemi che comportano il “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” (cfr. criterio n. 3 indicato nelle Linee guida, cit., ma vedi anche criteri 4 e 7), può presentare rischi in termini di un possibile monitoraggio dell’attività dei dipendenti (cfr. articoli 35 e 88, par. 2, del Regolamento; provvedimento 11 ottobre 2018, n. 467, che espressamente menziona i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici, dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”; provvedimento 1° dicembre 2022, n. 409).

La mancata redazione di una valutazione d’impatto in relazione a sistemi di videosorveglianza impiegati nel contesto lavorativo è stata oggetto di recenti provvedimenti anche correttivi e sanzionatori del Garante (provvedimenti 16 novembre 2023, nn. 577 e 578; Newsletter 15 dicembre 2023).

Nel caso di specie, l’Unione Montana Appennino Parma Est aveva, invece, trattato i dati personali dei lavoratori in servizio presso il Comando di Polizia locale, mediante la telecamera di videosorveglianza in questione, in assenza di una preliminare valutazione d’impatto sulla protezione dei dati personali e, pertanto, in violazione dell’articolo 35 del Regolamento.

6. L’adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie

Il Garante Privacy – rilevata l’illiceità del trattamento di dati personali effettuato dall’ Unione Montana Appennino Parma Est, per aver posto in essere un trattamento di dati personali in violazione degli articoli 5, par. 1, lett. a), 6, 12, 13, 35 e 88, par. 1, del Regolamento (UE) Generale sulla protezione dei dati personali (G.D.P.R.) n. 2016/679, nonché dell’articolo 114, d.lgs. n. 196/2003 (cd. “Codice Privacy”), in relazione all’articolo 4, comma 1, della legge n. 300/1970 (cd. “Statuto dei lavoratori”) - ha ordinato all’Ente locale di pagare la somma complessiva di euro 8.000 (ottomila) a titolo di sanzione amministrativa pecuniaria, disponendo, altresì, a titolo di sanzione accessoria, la pubblicazione del provvedimento sul sito web.