La videosorveglianza è uno strumento fondamentale per la sicurezza di persone e beni, ma non può tradursi in una raccolta indiscriminata di immagini e informazioni. È questo il principio ribadito dall’attività del Garante per la protezione dei dati personali.
Con il provvedimento n. 429 dell’11 giugno 2026, l’Autorità ha esaminato il sistema di videosorveglianza installato da un soggetto privato che, sebbene finalizzato a concrete esigenze di sicurezza, presentava gravi criticità. Il problema non era l’uso delle telecamere in sé, ma le modalità con cui il sistema era stato configurato e utilizzato.
Quando la videosorveglianza supera il limite?
Il Garante ha ricordato che le riprese devono essere coerenti con la finalità perseguita. Non possono estendersi, senza una valida base giuridica, a spazi ulteriori rispetto a quelli strettamente necessari.
Nel caso esaminato, il sistema presentava due grandi irregolarità:
- Acquisiva immagini di una zona destinata al pubblico transito esterna alla proprietà.
- Consentiva la captazione dell’audio ambientale.
L’Autorità ha rilevato la violazione dei principi di liceità, minimizzazione e trasparenza previsti dal GDPR, aggravata dall’assenza iniziale di un’adeguata informativa (il classico cartello). Anche se l’azienda ha poi modificato l’impianto per conformarsi, le violazioni precedenti sono state comunque accertate.
I 5 errori più comuni da evitare in azienda
La videosorveglianza può rappresentare un importante strumento di sicurezza per un’azienda, ma una configurazione non corretta può trasformarla in un trattamento di dati personali sproporzionato.
- Riprendere più del necessario
Una telecamera installata per proteggere l’ingresso dell’azienda non dovrebbe, per questo solo motivo, riprendere integralmente la strada, il marciapiede o aree di proprietà di terzi.La domanda da porsi è: l’area ripresa è realmente necessaria per raggiungere la finalità di sicurezza?
Un’inquadratura eccessivamente ampia può entrare in contrasto con il principio di minimizzazione dei dati. - Attivare funzionalità che non servono
Telecamere e sistemi moderni possono acquisire molte più informazioni di quelle effettivamente necessarie: audio, zoom avanzato, rilevamento di persone, analisi delle immagini e altre funzionalità.
Il fatto che una funzione sia tecnicamente disponibile non significa che debba essere utilizzata.
Ogni funzionalità dovrebbe essere valutata in relazione alla specifica finalità del trattamento. - Pensare che basti mettere il cartello
Il cartello di videosorveglianza è importante, ma non rende automaticamente lecito il trattamento.
L’informativa deve essere correttamente predisposta e deve essere coerente con il sistema effettivamente installato: finalità, titolare, modalità del trattamento e ulteriori informazioni previste dalla normativa devono essere adeguatamente gestite. - Conservare le immagini più a lungo del necessario
Anche la durata della conservazione deve essere collegata alla finalità perseguita.
Conservare le registrazioni per periodi molto lunghi “per sicurezza” non è, di per sé, una motivazione sufficiente.
È necessario individuare un periodo di conservazione adeguato e poterlo motivare sulla base delle esigenze concrete dell’organizzazione. - Installare le telecamere senza una preventiva valutazione privacy
Questo è probabilmente l’errore più frequente: acquistare e installare le telecamere e occuparsi della privacy soltanto successivamente.
Il percorso dovrebbe essere inverso.
Prima dell’installazione è opportuno valutare finalità, aree da riprendere, inquadrature, base giuridica, eventuali funzionalità aggiuntive, tempi di conservazione, soggetti autorizzati all’accesso e misure di sicurezza.
In questo modo la privacy non diventa un adempimento successivo all’acquisto del sistema, ma parte integrante della sua progettazione.
In sintesi
Una videosorveglianza correttamente progettata non è quella che raccoglie più immagini possibile.
È quella che acquisisce le informazioni necessarie per la finalità di sicurezza, limitando il trattamento a quanto effettivamente necessario.
Per questo, prima di installare o modificare un impianto, è utile effettuare una verifica complessiva del sistema e della relativa documentazione.
Il principio di minimizzazione: la domanda corretta da porsi
La videosorveglianza è a tutti gli effetti un trattamento di dati personali e deve rispettare il principio di minimizzazione (art. 5 del GDPR). In termini pratici, un’azienda non deve chiedersi solo: “Dove posso installare una telecamera?”, ma soprattutto:
“Quale area devo effettivamente riprendere per raggiungere la finalità di sicurezza che mi sono prefissato?”
Una telecamera orientata in modo da riprendere esclusivamente l’ingresso di un’azienda presenta un impatto diverso rispetto a una telecamera che registra anche la strada, il marciapiede, le proprietà di terzi o un’area di pubblico passaggio.
Il Garante ricorda infatti che, in linea generale, anche nel caso di videosorveglianza installata da privati per la tutela di persone e beni, le riprese devono rimanere circoscritte agli spazi di pertinenza del titolare, salvo situazioni di rischio effettivo che possano giustificare un’estensione.
Non basta il cartello
La conformità di un sistema di videosorveglianza non dipende soltanto dalla presenza del cartello. Secondo il principio di accountability (responsabilizzazione), prima dell’installazione il titolare deve valutare:
- La finalità: qual è lo scopo esatto dell’impianto?
- Le inquadrature: quali sono le aree realmente necessarie da riprendere?
- I confini: l’obiettivo coinvolge spazi pubblici o proprietà di terzi?
- La tipologia di dati: quali informazioni vengono acquisite (es. solo immagini o anche audio)?
- Le funzionalità: sono attive opzioni ultronee come la registrazione audio o il riconoscimento facciale?
- La base giuridica: su quale presupposto legale si fonda il trattamento?
- I tempi di conservazione: per quanto tempo vengono tenute le immagini prima della cancellazione automatica?
- Le autorizzazioni: chi ha l’accesso esclusivo alle registrazioni?
- La sicurezza: quali misure tecniche proteggono i dati da accessi non autorizzati?
- La trasparenza: quali informazioni vengono fornite ai lavoratori e ai passanti?
Sicurezza e privacy si progettano insieme (Privacy by Design)
Telecamere più tecnologiche o una maggiore capacità di registrazione non significano automaticamente maggiore sicurezza giuridica. Al contrario: più aumenta la capacità del sistema di acquisire informazioni, maggiore deve essere l’attenzione sulla liceità del trattamento.
Prima di installare o modificare un sistema di videosorveglianza, ogni azienda dovrebbe effettuare una verifica sequenziale:
Finalità → Inquadrature → Base giuridica → Minimizzazione → Informativa → Conservazione → Accessi → Sicurezza → Documentazione
Un sistema correttamente progettato non è quello che “riprende tutto ciò che serve”, ma quello che riprende ciò che serve, e soltanto ciò che serve.
La conformità va progettata prima dell’installazione e verificata anche successivamente.
Il provvedimento n. 429/2026 conferma quindi un principio già presente nelle indicazioni del Garante: la videosorveglianza deve essere progettata secondo un criterio di necessità e minimizzazione, evitando che le esigenze di sicurezza diventino il presupposto per una raccolta generalizzata di dati.
Il supporto di CSConsulting
CSConsulting supporta le organizzazioni nella valutazione e nella corretta impostazione dei sistemi di videosorveglianza. Analizziamo le finalità, le inquadrature e i rischi per fornirti gli adempimenti privacy corretti (comprese le informative e l’eventuale accordo sindacale/istanza all’Ispettorato del Lavoro per la tutela dei lavoratori).
L’obiettivo è trasformare la videosorveglianza da semplice impianto tecnologico a sistema governato, documentato e pienamente conforme alla normativa sulla protezione dei dati personali
