Garante Privacy: Sanzione GDPR per Foto Cucina Senza Consenso Dipendenti
I Fatti
Un ristorante pubblica sui propri profili social (Instagram, Facebook) e sul sito web una serie di foto e video della cucina, in cui sono chiaramente riconoscibili 4 dipendenti durante la lavorazione. I dipendenti non hanno mai firmato informativa privacy né consenso all'uso della loro immagine. Due dei dipendenti, dopo aver lasciato l'azienda, segnalano il fatto al Garante per la Protezione dei Dati Personali. Le foto erano ancora online a distanza di 14 mesi.
Iter Procedurale
Il Garante avvia istruttoria, richiede documentazione (informative, consensi, registro trattamenti). L'azienda non è in grado di fornire alcun documento privacy strutturato. Il Garante notifica avvio del procedimento sanzionatorio. L'azienda presenta memorie, ma il Garante con provvedimento del 2024 commina sanzione di €12.000 ex art. 83 GDPR.
Sanzione e Decisione
Sanzione GDPR di €12.000 per violazione degli artt. 6 (base giuridica), 13 (informativa), 17 (diritto cancellazione). Ordine di rimozione immediata delle immagini e adozione di procedura privacy strutturata. Pubblicazione del provvedimento sul sito del Garante.
Riferimenti Normativi
- §Reg. UE 2016/679 (GDPR) — art. 6 (base giuridica), art. 13 (informativa), art. 17 (cancellazione), art. 83 (sanzioni)
- §D.Lgs. 196/2003 (Codice Privacy) — come modificato dal D.Lgs. 101/2018
- §Provvedimento Garante 196/2014 — uso immagini lavoratori
- §Statuto dei Lavoratori (L. 300/1970) — art. 4 sui controlli
Lezioni Operative HACCP
- →L'immagine di un dipendente è dato personale: per pubblicarla serve consenso scritto, libero, specifico, revocabile.
- →Anche le foto della cucina ai fini HACCP/marketing richiedono privacy by design.
- →Il consenso firmato deve essere conservato per tutta la durata del trattamento + termini di prescrizione.
- →Quando un dipendente lascia l'azienda ha diritto alla cancellazione delle immagini (oblio).
- →La sanzione GDPR può arrivare a 20 milioni € o 4% del fatturato annuo (art. 83 GDPR).
Come Prevenire Questa Situazione
- ✓Predisporre informativa privacy per i dipendenti, sottoscritta al momento di assunzione.
- ✓Quando si pubblicano foto/video con dipendenti, raccogliere consenso scritto specifico per ogni canale (social, sito, brochure).
- ✓Tenere un registro dei consensi raccolti, con data, finalità, durata.
- ✓Alla cessazione del rapporto di lavoro, valutare la rimozione delle immagini o richiedere conferma del consenso.
- ✓Nominare un Responsabile della Protezione dei Dati (DPO) se richiesto, oppure consultare consulente privacy.
Costo evitabile con un manuale HACCP corretto
Una procedura privacy adeguata (informative, registro trattamenti, modulo consensi) ha costo iniziale di €500-1.500 con consulente. Il caso ha portato a €12.000 di sanzione + costi legali stimati €5.000 + danno reputazionale per pubblicazione provvedimento.
Genera il Manuale HACCP — da 149€ →Domande Frequenti
Posso pubblicare foto della mia cucina con dipendenti riconoscibili?+
Solo previa firma di consenso scritto specifico da parte di ciascun dipendente, con indicazione di canale (social, sito, brochure), durata e diritto di revoca.
Cosa rischio per pubblicazione di foto senza consenso?+
Sanzione GDPR fino al 4% del fatturato annuo o 20 milioni di euro, oltre a richiesta di rimozione, risarcimento civile e responsabilità penale (art. 167 D.Lgs. 196/2003).
Le foto storiche delle vecchie campagne marketing sono OK?+
No. Anche le foto pubblicate prima del GDPR (maggio 2018) devono avere base giuridica adeguata. Se il consenso non è documentabile, vanno rimosse.
Posso usare immagini di repertorio o stock photo?+
Sì, con licenza adeguata (verificare diritti commerciali). Per modelli identificabili serve model release. Spesso più sicuro che fotografare i dipendenti.
Devo nominare un DPO?+
Obbligatorio per soggetti pubblici, per attività di monitoraggio sistematico su larga scala o trattamento di categorie particolari. Per ristoranti standard non obbligatorio, ma raccomandato un consulente privacy.
Quanto tempo posso conservare i CV dei candidati?+
Massimo 24 mesi in genere, salvo consenso del candidato. Vanno custoditi con misure di sicurezza adeguate. Linee guida Garante 2017.
Approfondimenti correlati
Non aspettare una sanzione: parti dalla prevenzione
La maggior parte delle sentenze nasce da un manuale HACCP generico, non aggiornato o applicato male. Con 149€ ottieni un manuale conforme, personalizzato sulla tua attività e sempre aggiornato.
Genera il tuo Manuale HACCP — da 149€ →