La videosorveglianza è oggi uno degli strumenti più diffusi per la sicurezza aziendale, ma anche uno dei più sensibili dal punto di vista della privacy. L’uso di telecamere in ambito privato, infatti, implica la raccolta di dati personali e quindi richiede il rispetto delle regole stabilite dal Regolamento (UE) 2016/679 (GDPR).
Nel 2025 il Garante per la protezione dei dati personali è tornato a occuparsi del tema con il provvedimento n. 433 del 17 luglio 2025, ribadendo che l’installazione di telecamere senza cartelli informativi visibili e la ripresa di aree pubbliche costituiscono una violazione grave del GDPR.
Il caso – un’autorimessa napoletana con telecamere puntate anche sulla strada – è diventato un esempio concreto di come la videosorveglianza, se non gestita correttamente, possa trasformarsi da misura di sicurezza in trattamento illecito di dati personali.
Ogni impianto di videosorveglianza comporta la registrazione di immagini che possono identificare persone fisiche. Di conseguenza, rappresenta un vero e proprio trattamento di dati personali ai sensi dell’articolo 4 del GDPR.
Uno dei principi fondamentali del Regolamento è la trasparenza: chi entra in un’area videosorvegliata deve essere informato in modo chiaro e comprensibile.
Per questo motivo, il Garante impone un sistema di informativa a due livelli:
- Cartello sintetico (primo livello) – da posizionare in prossimità della zona ripresa, deve indicare la presenza delle telecamere, la finalità del trattamento (es. sicurezza o tutela del patrimonio) e il riferimento al titolare.
- Informativa estesa (secondo livello) – deve contenere tutti i dettagli previsti dall’art. 13 del GDPR: base giuridica, tempi di conservazione, modalità di esercizio dei diritti e contatti del DPO, se presente.
Il cartello non è un adempimento formale: è ciò che consente alle persone di sapere che stanno entrando in un’area ripresa e di esercitare consapevolmente i propri diritti.
Nel caso di Napoli, la Polizia Locale ha segnalato al Garante che un’autorimessa aveva installato telecamere rivolte anche sulla pubblica via, senza alcuna informativa visibile.
L’Autorità ha accertato che il sistema violava due principi cardine del GDPR:
- la liceità del trattamento, poiché mancava una base giuridica valida;
- la trasparenza, per l’assenza totale di cartelli informativi.
Il Garante ha ritenuto illecito il trattamento dei dati e ha applicato una sanzione amministrativa pecuniaria, disponendo inoltre la pubblicazione del provvedimento sul proprio sito istituzionale.
Un richiamo netto: la videosorveglianza non può invadere lo spazio pubblico né essere realizzata senza adeguata informazione. La sicurezza non giustifica l’inosservanza delle regole.
Altro principio cardine è la proporzionalità: le telecamere devono riprendere solo le aree realmente da proteggere, evitando di inquadrare zone pubbliche o proprietà altrui.
Le immagini devono essere limitate all’obiettivo dichiarato, come la prevenzione dei furti o la tutela del patrimonio.
Solo in casi eccezionali – quando la protezione non può essere garantita diversamente – è ammessa una minima estensione dell’inquadratura a spazi limitrofi, ma con misure tecniche di privacy masking per oscurare le aree non pertinenti.
Nel caso analizzato, invece, le telecamere riprendevano ampi tratti di strada pubblica, superando il perimetro dell’autorimessa: per questo il Garante ha ravvisato un trattamento sproporzionato e privo di base giuridica.
Ogni trattamento di dati deve poggiare su una base giuridica tra quelle previste dall’articolo 6 del GDPR. Nel caso della videosorveglianza privata, le principali sono:
- Legittimo interesse del titolare del trattamento (art. 6, par. 1, lett. f): tutela della sicurezza o del patrimonio aziendale.
- Adempimento di un obbligo legale (es. videosorveglianza in contesti particolari come istituti bancari).
- Consenso dell’interessato, raramente applicabile in contesti pubblici o aperti al pubblico.
Il legittimo interesse deve essere sempre bilanciato con i diritti e le libertà fondamentali delle persone, e tale bilanciamento va documentato nel registro dei trattamenti o nella valutazione d’impatto (DPIA), se necessaria.
Uno degli elementi più innovativi del GDPR è il principio di accountability, cioè la responsabilità documentata.
Il titolare del trattamento non deve solo rispettare la normativa, ma anche dimostrare di averlo fatto.
Nel caso della videosorveglianza, ciò significa:
- predisporre e conservare l’informativa;
- aggiornare il registro dei trattamenti;
- stabilire tempi di conservazione delle immagini (in genere 24-72 ore, salvo eccezioni motivate);
- limitare l’accesso ai filmati a personale autorizzato;
- adottare misure tecniche di sicurezza (crittografia, password, log di accesso).
La mancata prova di tali attività può comportare sanzioni anche se il trattamento è di per sé legittimo.
Le imprese possono riprendere solo aree di loro pertinenza — interni, ingressi, parcheggi privati — ma non spazi pubblici come strade o piazze.
Le riprese “incidentali” sono ammesse solo se inevitabili e con accorgimenti tecnici per escludere i volti o le porzioni non pertinenti.
Questo confine tra sfera privata e pubblica è uno dei più delicati: anche pochi centimetri di area pubblica ripresi senza motivo possono rendere illecito l’intero trattamento.
Le sanzioni per violazione del GDPR possono raggiungere i 20 milioni di euro o il 4% del fatturato mondiale annuo.
Nel caso del 2025, la sanzione è stata accompagnata dalla pubblicazione del provvedimento sul sito del Garante: un impatto non solo economico, ma anche reputazionale.
La mancata conformità può compromettere la fiducia dei clienti, dei dipendenti e dei cittadini, con conseguenze spesso più gravi della multa stessa.
Nei luoghi di lavoro, la videosorveglianza è regolata anche dall’articolo 4 dello Statuto dei Lavoratori.
L’uso di telecamere è consentito solo per esigenze organizzative, produttive o di sicurezza, e previo accordo sindacale o autorizzazione dell’Ispettorato del Lavoro.
Il Garante e l’Ispettorato vigilano attentamente su questo punto: le telecamere non possono essere utilizzate per controllare i lavoratori, né direttamente né indirettamente.
Anche in ambito aziendale, quindi, la trasparenza e la proporzionalità restano requisiti imprescindibili.
Per evitare sanzioni e garantire la conformità, ogni impresa dovrebbe adottare alcune semplici ma fondamentali regole operative:
- Definire chiaramente le finalità del sistema di videosorveglianza.
- Limitare il campo visivo alle aree strettamente necessarie.
- Installare cartelli informativi visibili e conformi ai modelli del Garante.
- Conservare le immagini per un periodo limitato, in genere non superiore a 72 ore.
- Proteggere i dati con misure di sicurezza adeguate.
- Aggiornare il registro dei trattamenti e, se necessario, la valutazione d’impatto.
- Formare il personale che accede ai sistemi o gestisce le immagini.
Queste buone pratiche non solo riducono i rischi di sanzione, ma aumentano la credibilità dell’azienda agli occhi di clienti e autorità.
La videosorveglianza moderna si integra sempre più con sistemi di intelligenza artificiale in grado di analizzare comportamenti o identificare persone. Tuttavia, il Garante e il Comitato europeo per la protezione dei dati (EDPB) raccomandano estrema cautela:
l’uso di tecniche biometriche o di riconoscimento facciale rappresenta un trattamento ad alto rischio e, nella maggior parte dei casi, è vietato senza una base giuridica specifica e adeguate garanzie.
Nel contesto aziendale è consigliabile limitarsi a sistemi tradizionali di registrazione video, orientati esclusivamente alla sicurezza e alla prevenzione di atti illeciti.
Il messaggio del Garante è chiaro: la privacy non è un ostacolo alla sicurezza, ma ne è parte integrante.
Rispettare il GDPR nella gestione della videosorveglianza significa proteggere non solo il patrimonio aziendale, ma anche la fiducia delle persone che frequentano gli spazi dell’impresa.
Ogni cartello informativo ben visibile è un segno di trasparenza e rispetto.
La conformità normativa non è solo una difesa contro le sanzioni, ma un modo per costruire relazioni basate sulla fiducia, sulla correttezza e sulla responsabilità sociale.
Il caso dell’autorimessa di Napoli rappresenta un monito per tutte le imprese: la sicurezza deve convivere con il rispetto della privacy.
Installare telecamere senza cartelli informativi o puntate verso aree pubbliche significa violare i principi fondamentali del GDPR, esponendo l’azienda a sanzioni e danni reputazionali.
Una videosorveglianza conforme, invece, è un segno di maturità e attenzione etica.
Trasparenza, proporzionalità e responsabilità documentata sono i pilastri per garantire una sicurezza che rispetti i diritti delle persone e la credibilità delle imprese nel lungo periodo.
