VEDI ANCHE Newsletter dell'11 settembre 2026

[doc. web n. 10294255]

Provvedimento del 3 settembre 2026

Registro dei provvedimenti
n. 619 del 3 settembre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

L’Autorità ha appreso da notizie di stampa e da alcune segnalazioni che sarebbero state rinvenute delle telecamere di videosorveglianza all’interno di uno spogliatoio, a uso degli utenti, di una piscina gestita dall’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S. - di seguito, l’“Azienda”).

2. L’attività istruttoria.

In riscontro a due richieste d’informazioni formulate ai sensi dell’art. 157 del Codice (v. note del 29 ottobre 2025, prot. n. 0143564 e 13 gennaio 2026, prot. n. 0003526), l’Azienda, con note prot. nn. 19111 del 5 novembre 2025 e 1057 del 19 gennaio 2026, ha dichiarato, in particolare, che:

- “[…] l’episodio fa riferimento al Centro sportivo Trento Nord - frazione Gardolo, in gestione [all’Azienda]. La videosorveglianza in questa struttura, richiamata da apposita segnaletica all’ingresso […], inquadra gli armadietti […] destina[ti] agli utenti in cui gli stessi depositano i propri effetti personali per il tempo necessario allo svolgimento dell’attività sportiva”;

- “non si tratta in alcun modo di controllo dei lavoratori dipendenti […], che sono “toccati” incidentalmente da questo apparato video, ma di utenti fruitori […] della piscina all’aperto”;

- “le cabine per il cambio di vestiti, gli impianti doccia e wc non sono oggetto, in alcun modo, di videoregistrazione”;

- “nei pressi degli armadietti […] non vi sono panche o sedie che possano indurre chi si sveste a sedersi lì e quindi a venire immortalato dall’impianto video”;

- vi è “segnaletica appesa all’ingresso della struttura [… e] i dati vengono conservati per 72 ore”;

- “si tratta di registrazioni che non vengono visionate in contemporanea attraverso l’utilizzo di un monitor periferico e […] il titolare del trattamento […] ha designato due figure incaricate al trattamento dei dati personali del sistema di videosorveglianza […]. Questi due funzionari possono attivarsi al trattamento solo su richiesta dell’Autorità giudiziaria e di pubblica sicurezza”;

- “l’impianto di Trento Nord è stato più volte nel recente passato oggetto di furti di portafogli e cellulari degli utenti, a causa dell’azione di alcuni malviventi che hanno forzato gli armadietti destinati al deposito degli effetti personali dell’utenza alla piscina. Queste negative condotte hanno certamente limitato l’esercizio della pratica sportiva, natatoria in particolare, a causa dell’insicurezza e del conseguente senso di disagio degli utenti”;

- “A.S.I.S. il giorno 13 settembre 2007 ha provveduto, in coerenza con quanto previsto all’art. 4 della l. n. 300/1970, alla stipula con la rappresentanza sindacale aziendale dell’accordo per l’installazione della videosorveglianza nei propri impianti sportivi in gestione”.

Con nota del 16 maggio 2026 (prot. n. 0075624), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato all’Azienda, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver posto in essere un trattamento di dati personali, mediante dispositivi video, in maniera non conforme al principio di liceità, correttezza e trasparenza e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), nonché 2-ter del Codice; per non aver assicurato la necessaria trasparenza del trattamento nei confronti degli interessati (utenti e lavoratori), in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento; per non aver garantito l’osservanza del principio di limitazione della conservazione, in violazione dell’art. 5 del Regolamento. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del 29 maggio 2026 (prot. n. 0009183), l’Azienda ha presentato una memoria difensiva, dichiarando, in particolare, che:

con “provvedimento d’urgenza n. 3 di data 26 maggio 2026 [… l’Azienda ha] assunto alcune misure tecniche e organizzative […] adeguandosi coerentemente alle indicazioni del [Garante] dopo la notifica [della contestazione di violazione amministrativa]”;

in particolare, “è stato immediatamente ordinato ed eseguito, già in data 18 maggio 2026 […] lo spegnimento delle telecamere poste negli spogliatoi dell’impianto sportivo Sovecar Trento Nord (Gardolo) ponendo fine alle registrazioni delle stesse e pianificandone la rimozione”;

“già nel mese di aprile […] sono stati apposti all’ingresso e all’interno di ogni locale in cui è installata la videosorveglianza l’informativa di primo livello […] indicante le finalità di trattamento, l’identità del titolare, le modalità di esercizio dei diritti degli interessati, i contatti del Responsabile della protezione dati personali, il link del sito aziendale dove è disponibile l’informativa completa relativa ai trattamenti di dati personali mediante sistemi di videosorveglianza (informativa di secondo livello), la tempistica di conservazione dei dati acquisiti dal sistema di videosorveglianza”;

“A.S.I.S. ha adempiuto a quanto richiesto rispetto alla fornitura di specifica informativa sul trattamento dei dati personali mediante l’impianto di videosorveglianza dei lavoratori, in particolare notificando agli stessi l’informativa e pubblicandola sul sito istituzionale aziendale”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data 7 luglio 2026 (v. verbale prot. n. 0205336 dell’8 luglio 2026), l’Azienda ha dichiarato, in particolare, che:

“[essa] si è prontamente attivata per disattivare le telecamere di videosorveglianza e cessare il trattamento oggetto di contestazione; […] ha rivisto i tempi di conservazione delle immagini di videosorveglianza (12/24 h); ha aggiornato la cartellonistica presente negli impianti”;

“[essa] ha agito in completa buona fede, al solo fine di tutelare gli utenti, in ragione dei numerosi episodi di furto verificatisi nel tempo”;

“nel periodo aprile/maggio 2026, l’Azienda ha provveduto a installare cartelli informativi sulla videosorveglianza prima dell’ingresso in ciascun locale degli impianti in cui sono attive telecamere di videosorveglianza”;

“nel mese di giugno 2026, l’Azienda ha provveduto a fornire ai lavoratori un’informativa sul trattamento dei dati personali mediante i dispositivi di videosorveglianza”.

3. Esito dell’attività istruttoria.

3.1 La liceità del trattamento.

I soggetti pubblici possono, di regola, trattare dati personali se il trattamento è necessario per adempiere un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (v. artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), e 2 e 3 del Regolamento, e 2-ter del Codice), fermo restando che deve essere garantito, in ogni caso, il rispetto dei principi di protezione dei dati (v. artt. 5, 24 e 25 del Regolamento), tra i quali, in particolare, quelli di “liceità, correttezza e trasparenza” e “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento).

All’esito dell’istruttoria, avviata sulla base di quanto riportato dalla stampa e oggetto di segnalazione, è stato accertato che, sin dal 2007, l’Azienda ha installato e attivato, all’interno degli spogliatoi della piscina dell’impianto sportivo “Trento Nord” in località Gardolo (Trento), alcune telecamere di videosorveglianza, che riprendono gli armadietti nei quali gli utenti possono riporre i propri effetti personali per il tempo necessario a svolgere l’attività sportiva, al fine di prevenire o accertare eventuali furti.

Al riguardo, deve farsi presente che, come da tempo evidenziato dal Garante, “la necessità di garantire […] un livello elevato di tutela dei diritti e delle libertà fondamentali rispetto al trattamento dei dati personali consente la possibilità di utilizzare sistemi di videosorveglianza, purché ciò non determini un´ingerenza ingiustificata nei diritti e nelle libertà fondamentali degli interessati” e a condizione che sia garantito il “rispetto, oltre che della disciplina in materia di protezione dei dati personali, anche delle altre disposizioni dell´ordinamento applicabili, quali ad es. le vigenti norme dell’ordinamento civile e penale in materia di interferenze illecite nella vita privata [e] sul controllo a distanza dei lavoratori” (provv. generale in materia di videosorveglianza dell’8 aprile 2010, in www.gpdp.it, doc. web n. 1712680, sez. 2, par. 4; ma vedi già il precedente provvedimento generale del 29 aprile 2004, in www.gpdp.it, doc. web n. 003482, par. 2.1, ove si richiamavano “le vigenti norme dell´ordinamento civile e penale in materia di interferenze illecite nella vita privata, di tutela della dignità, dell´immagine, del domicilio e degli altri luoghi cui è riconosciuta analoga tutela (toilette, stanze d´albergo, cabine, spogliatoi, ecc.) […nonché] le norme riguardanti la tutela dei lavoratori, con particolare riferimento alla legge 300/1970 (Statuto dei lavoratori)”.

Con particolare riguardo all’impiego di sistemi di videosorveglianza all’interno di locali adibiti a spogliatoio, il Garante ha nel tempo ribadito che si tratta di luoghi, per natura, caratterizzati da una particolare aspettativa di riservatezza e di tutela della intimità e dignità della persona (v., in particolare, provv.ti 10 luglio 2014, n. 357, doc. web n. 3325380 e 4 dicembre 2008, doc. web n. 1576125). Un trattamento di dati personali mediante sistemi di videosorveglianza collocati all’interno di locali adibiti a spogliatoi risulta pertanto, di regola, eccessivamente invasivo e in violazione della riservatezza e della dignità delle persone che utilizzano il locale stesso.

Deve, altresì, considerarsi che l’installazione di telecamere di videosorveglianza nei luoghi di lavoro deve sempre avvenire nel rispetto della disciplina in materia di controllo indiretto dell’attività lavorativa. Come, infatti, costantemente ribadito nei provvedimenti del Garante, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi ove si svolge anche l’attività lavorativa trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 della l. n. 300/1970, espressamente richiamato dall’art. 114 del Codice. Tale disposizione perimetra, infatti, in modo uniforme a livello nazionale, l’ambito del trattamento consentito in ogni contesto lavorativo (pubblico e privato) e costituisce nell’ordinamento interno una disposizione più specifica e di maggiore garanzia di cui all’art. 88 del Regolamento, la cui osservanza è condizione di liceità del trattamento (v. art. 5, par.1, lett. a) e 6, par. 1, lett. c) del Regolamento).

In tale quadro, l’Azienda ha stipulato in data 13 settembre 2007 un accordo sindacale, ai sensi dell’art. 4 della l. n. 300/1970, anche con riguardo al “Centro Sportivo “Trento nord”” e alle “telecamere per controllo spogliatoio maschili [ivi installate, che] inquadrano esclusivamente gli armadietti e accesso vasche (n.6); telecamere per controllo spogliatoio femminile (inquadrano esclusivamente gli armadietti e accesso vasche) (n. 6); telecamera accesso principale spogliatoi (zona atrio) […]”.

In tale contesto, le pur legittime finalità di tutela del patrimonio invocate dall’Azienda, che rientrano tra quelle tassativamente ammesse dall’art. 4 della l. n. 300/1970, non possono comunque giustificare il trattamento dei dati personali degli utenti, sussistendo un’evidente sproporzione tra detta finalità e i diritti e le libertà fondamentali degli interessati (cfr., ancorché in riferimento alla diversa base giuridica del legittimo interesse, Comitato europeo per la protezione dei dati, “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate il 29 gennaio 2020, par. 30).

Stante detta sproporzione dell’impiego della videosorveglianza all’interno dei locali adibiti a spogliatoio, neanche l’accordo sindacale stipulato ai sensi dell’art. 4 della l. 300/1970 poteva legittimare un siffatto trattamento di dati personali, non potendo le parti assumere impegni e disciplinare la materia dei controlli indiretti sull’attività lavorativa in contrasto con i principi di base di protezione dei dati, con particolare riguardo ai canoni di necessità e proporzionalità del trattamento (v. art. 5 del Regolamento; cfr. Corte di giustizia dell’Unione europea, sentenza C‑65/23, K GmbH (Traitement de données personnelles des employés), del 19 dicembre 2024, par. 59; cfr., da ultimo, provv. 29 gennaio 2026, n. 42, doc. web n. 10222864).

Né l’Azienda, ai fini del rispetto dei canoni di necessità e proporzionalità del trattamento, ha adeguatamente comprovato di aver previamente valutato, prima di dare avvio al trattamento, la sussistenza di eventuali soluzioni altrettanto efficaci nel garantire la tutela del patrimonio ma meno invasive per i diritti e le libertà degli interessati, come, ad esempio, l’utilizzo da parte degli utenti di lucchetti personali, che “possono essere efficaci quanto i sistemi di videosorveglianza contro furti e vandalismi”. Il titolare, infatti, deve “valutare caso per caso se tali misure possano essere una soluzione ragionevole”, anche in fase di valutazione di impatto sulla protezione dei dati (cfr. 35, par. 7, lett. b), del Regolamento). A tal riguardo, la valutazione di impatto sulla protezione dei dati svolta dall’Azienda (in atti) si limita, infatti, a prevedere, in maniera apodittica, che “i dati risultano pertinenti e adeguati alle finalità e limitati a quanto necessario”.

Alla luce delle considerazioni che precedono, deve concludersi che il trattamento dei dati personali degli utenti della piscina, all’interno degli spogliatoi, è stato posto in essere dall’Azienda in maniera non conforme al principio di liceità, correttezza e trasparenza e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), nonché 2-ter del Codice.

3.2. La trasparenza nei confronti degli interessati.

Allorquando siano impiegati dispositivi video, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, cit., in particolare par. 3.1; da ultimo, v. la FAQ n. 4 del Garante in materia di videosorveglianza del 3 dicembre 2020, doc. web n. 9496574).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione dei dati. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale, senza alcuna registrazione di dati o trasmissione a soggetti terzi (ibidem, par. 115). La segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Nel caso di specie, l’Azienda ha prodotto in atti copia della “segnaletica appesa all’ingresso della struttura”.

Come evidenziato dal Comitato europeo per la protezione dei dati “le informazioni dovrebbero essere posizionate in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi). Non è necessario rivelare l’ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza […]. L’interessato deve poter stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., par. 113).

Risulta, pertanto, insufficiente, ai fini del raggiungimento del necessario livello di trasparenza del trattamento nei confronti degli interessati, l’installazione di un cartello informativo, contenente l’informativa di primo livello, soltanto all’ingresso della struttura, non consentendo tale soluzione di rendere edotti gli interessati della presenza di telecamere di videosorveglianza in specifiche aree della stessa e specialmente in quelle, come nel caso dei locali adibiti a spogliatoio, in cui è maggiore la legittima aspettativa di riservatezza.

Alla luce delle considerazioni che precedono e tenuto conto che il cartello contenente l’informativa di primo livello non è stato apposto anche all’ingresso dei locali adibiti a spogliatoio, la condotta dell’Azienda si pone in contrasto con il principio di liceità, correttezze e trasparenza e in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

Quanto al trattamento dei dati personali dei lavoratori mediante il medesimo impianto di videosorveglianza, posto in essere sulla base dell’art. 4 della l. n. 300/1970 e dell’art. 114 del Codice, l’Azienda ha dichiarato di aver fornito ai lavoratori una specifica informativa soltanto nel mese di giugno 2026, risultando, pertanto, accertato che, nel periodo antecedente, la stessa ha agito in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

3.3 La limitazione della conservazione.

In base al principio di “limitazione della conservazione”, i dati personali devono essere “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (art. 5, par. 1, lett. e), del Regolamento).

In caso di ricorso alla videosorveglianza per finalità di tutela del patrimonio, “i dati personali dovrebbero essere – nella maggior parte dei casi […] – cancellati dopo alcuni giorni, preferibilmente tramite meccanismi automatici. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., par. 121; v. già il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, par. 3.4, ove, nel contesto del previgente quadro giuridico in materia di protezione dei dati, si evidenziava che “la conservazione deve essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione […]”).

Nel caso di specie, dall’istruttoria è emerso che l’Azienda conservava i filmati di videosorveglianza per settantadue ore. Non risulta, tuttavia, che essa avesse effettuato alcuna valutazione, prima di dar luogo al trattamento, in merito alla necessità di conservare detti filmati per tale arco temporale. La valutazione di impatto sulla protezione dei dati, prodotta in atti, si limita, infatti, a riportare in maniera apodittica che “il periodo di conservazione dei dati è limitato (sulla base delle norme di legge o di regolamento o di atto organizzativo)”.

Deve, pertanto, concludersi che l’Azienda ha agito in violazione dell’art. 5, par. 1, lett. e), del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Azienda, per aver posto in essere un trattamento di dati personali, mediante dispositivi video, in violazione degli artt. 5, par. 1, lett. a) ed e), 6, par. 1, lett. c) ed e), 12, par. 1, e 13 del Regolamento, nonché 2-ter del Codice.

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti - atteso che l’Azienda, nel corso del procedimento, ha dichiarato di aver disattivato e rimosso i dispositivi video che si trovavano negli spogliatoi, nonché di aver adottato misure per assicurare, più in generale, la conformità dei propri sistemi di videosorveglianza alla disciplina in materia di protezione dei dati - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

ancorché le telecamere siano state attivate per un lungo arco temporale all’interno di aree in relazione alle quali sussiste un’elevata aspettativa di riservatezza, come gli spogliatori di una piscina, l’Azienda ha dichiarato che le stesse inquadravano soltanto gli armadietti per il deposito degli effetti personali e non anche le cabine per il cambio di vestiti, gli impianti doccia e i servizi igienici (cfr. art. 83, par. 2, lett. a), del Regolamento);

la violazione ha carattere colposo (cfr. art. 83, par. 2, lett. b), del Regolamento);

il trattamento non è stato espressamente posto in essere ai fini della raccolta e del successivo trattamento di dati personali appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un ente strumentale del Comune di Trento, che ha circa 119.000 abitanti, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

l’Azienda ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, peraltro, disposto la disattivazione delle telecamere installate negli spogliatoi pochi giorni dopo aver ricevuto la contestazione di violazione amministrativa (cfr. art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dall’Azienda (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 8.000 (ottomila) per la violazione degli artt. 5, par. 1, lett. a) ed e), 6, par. 1, lett. c) ed e), 12, par. 1, e 13 del Regolamento, nonché 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che il trattamento è stato posto in essere in luoghi, quali gli spogliatori di una piscina, per natura caratterizzati da una particolare aspettativa di riservatezza e di tutela della intimità e dignità della persona.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dall’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S.) per la violazione degli artt. 5, par. 1, lett. a) ed e), 6, par. 1, lett. c) ed e), 12, par. 1, e 13 del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

ORDINA

all’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S.), in persona del legale rappresentante pro-tempore, con sede legale in Via 4 Novembre, 23/4 - 38121 Trento (TN), C.F. 01591870223, di pagare la somma di euro 8.000 (ottomila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Azienda, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 8.000 (ottomila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 3 settembre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori