Videosorveglianza e privacy: come metterla in regola

Aggiornato al 9 settembre 2026

Su cosa si fonda il trattamento

Il consenso non è la base giuridica della videosorveglianza, e chi lo chiede sta sbagliando strumento: un cliente che entra in un negozio non è in condizione di prestare un consenso libero, e un dipendente ancora meno.

Per un'impresa privata la base è di norma il legittimo interesse previsto dall'art. 6 par. 1 lett. f: sicurezza delle persone, protezione del patrimonio, prevenzione di atti illeciti. Il legittimo interesse però non si afferma, si dimostra: va svolto e conservato un bilanciamento che spieghi perché l'esigenza dell'azienda prevale sui diritti di chi viene ripreso, e perché non esistono misure meno invasive ugualmente efficaci.

Per un ente pubblico la base è l'esecuzione di un compito di interesse pubblico ai sensi della lett. e, che deve trovare fondamento in una norma. Cambia anche il modo di documentarlo: non un bilanciamento, ma il riferimento alla funzione esercitata.

Se ci sono dipendenti: l'articolo 4

È il punto più delicato dell'intera materia, e vive fuori dal GDPR. L'art. 4 della legge 300 del 1970, nella formulazione vigente, stabilisce che gli impianti audiovisivi dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere installati solo per esigenze organizzative e produttive, per la sicurezza del lavoro o per la tutela del patrimonio aziendale, e comunque previo accordo con le rappresentanze sindacali oppure, in mancanza, previa autorizzazione dell'Ispettorato del lavoro.

Due precisazioni che fanno la differenza nella pratica. La prima: conta la possibilità di controllo, non l'intenzione. Una telecamera puntata sulla cassa o sul magazzino consente di osservare chi ci lavora, anche se lo scopo dichiarato è il furto esterno. La seconda: senza quell'accordo o quell'autorizzazione le immagini sono inutilizzabili nei confronti del lavoratore, e la violazione ha conseguenze proprie, distinte da quelle previste dal GDPR.

L'informativa a due livelli

Il modello ormai consolidato prevede due passaggi, e servono entrambi.

• Il primo livello è il cartello, collocato prima di entrare nell'area ripresa e visibile anche di notte se l'impianto è attivo di notte. Deve indicare almeno che l'area è videosorvegliata, chi è il titolare, le finalità, se le immagini sono registrate e dove reperire l'informativa completa.
• Il secondo livello è l'informativa estesa dell'art. 13, che contiene tutto il resto: base giuridica, tempi di conservazione, destinatari, diritti dell'interessato, dati di contatto del titolare e dell'eventuale responsabile della protezione dei dati. Va resa effettivamente reperibile: alla reception, sul sito, tramite un codice da inquadrare.

Il cartello da solo non basta, e l'informativa completa lasciata in un raccoglitore che nessuno consulta non è «resa».

Per quanto si conservano le immagini

Non esiste un termine fisso valido per tutti: vale il principio di limitazione della conservazione, per cui le immagini vanno cancellate quando non servono più alla finalità per cui sono state raccolte. Nella pratica l'orientamento consolidato è che poche ore o pochi giorni siano sufficienti nella grande maggioranza dei contesti, il tempo di accorgersi di un evento e di segnalarlo.

Termini più lunghi sono possibili ma vanno motivati per iscritto, guardando alla natura dell'attività: un cantiere o un impianto che resta chiuso nel fine settimana ha esigenze diverse da un negozio presidiato ogni giorno. Il punto pratico è un altro e viene spesso trascurato: il termine dichiarato nell'informativa deve coincidere con quello effettivamente configurato nel sistema. Dichiarare 48 ore e avere un registratore impostato su trenta giorni è una contraddizione che si rileva in cinque minuti.

Quando serve la valutazione d'impatto

L'art. 35 par. 3 lett. c la richiede espressamente per la sorveglianza sistematica su larga scala di zone accessibili al pubblico. Fuori da quel caso la valutazione va fatta quando ricorrono altri indicatori di rischio elevato, e in materia di videosorveglianza i più ricorrenti sono questi.

Anche quando la valutazione formale non è dovuta, resta l'obbligo di documentare le scelte: numero e posizione delle telecamere, aree inquadrate, finalità, tempi. È il minimo che consente di rispondere a una contestazione. Sul metodo trovi il dettaglio nella pagina valutazione d'impatto.

Che cosa non si può riprendere

• Luoghi che ledono la dignità: spogliatoi, servizi igienici, aree di riposo e mense sono esclusi, e non c'è finalità che li giustifichi.
• Suolo pubblico oltre il necessario. Un privato può riprendere l'area di propria pertinenza e la stretta fascia di accesso; inquadrare la strada, il marciapiede o l'ingresso del vicino eccede la finalità. La telecamera va orientata, e dove non basta si mascherano digitalmente le porzioni non pertinenti.
• Aree non pertinenti alla finalità dichiarata. Se la ragione è proteggere il magazzino, la telecamera sulla sala riunioni non ha copertura.
• Audio, salvo casi eccezionali e specificamente motivati: la registrazione delle conversazioni è molto più invasiva dell'immagine e raramente supera il test di proporzionalità.

Sulle telecamere finte una precisazione: non trattano dati personali, quindi il GDPR non si applica. In presenza di lavoratori resta però il tema dell'art. 4, perché l'effetto di controllo percepito è quello che la norma considera.

Chi guarda le immagini, e il manutentore

L'accesso alle immagini va limitato a chi ne ha effettiva necessità, con designazione scritta delle persone autorizzate e istruzioni su che cosa possono fare. È un adempimento breve che manca quasi ovunque, e la sua assenza rende impossibile dimostrare qualsiasi controllo sugli accessi.

Il punto più sottovalutato riguarda il manutentore. L'installatore che accede da remoto al sistema, per assistenza o aggiornamenti, tratta dati personali per conto del titolare: va nominato responsabile ai sensi dell'art. 28, con un contratto che precisi che cosa può fare, se e quando può visualizzare le immagini e come vengono tracciati i suoi accessi. Un impianto con accesso remoto attivo e nessuna nomina è una situazione comune e difficile da difendere.

Telecamere intelligenti e AI Act

Sempre più impianti arrivano con funzioni di analisi video attive per impostazione predefinita: conteggio delle persone, rilevamento di comportamenti, riconoscimento di volti o di targhe. Sono funzioni che cambiano la natura del trattamento, e il fatto che siano incluse nel prodotto non le rende automaticamente lecite.

Sul piano dell'AI Act alcune applicazioni di identificazione biometrica ricadono fra le pratiche vietate dell'art. 5, e in particolare il riconoscimento delle emozioni sul luogo di lavoro è vietato dal 2 febbraio 2025. Altre rientrano fra i sistemi ad alto rischio, con obblighi che si applicano dal 2 dicembre 2027 per l'Allegato III. La verifica va fatta prima dell'installazione: disattivare una funzione dopo che è entrata in servizio è possibile, ma il trattamento già svolto resta.

Come intervengo

1. Ricognizione dell'impiantoNumero e posizione delle telecamere, aree effettivamente inquadrate, funzioni attive, tempi impostati nel registratore, chi ha accesso e da dove. Si guarda il sistema, non lo schema di progetto.
2. Base giuridica e bilanciamentoAnalisi documentata del legittimo interesse per i privati o della norma attributiva per gli enti, con verifica delle alternative meno invasive.
3. Fronte lavoratoriVerifica dell'obbligo ex art. 4 dello Statuto e supporto per l'accordo sindacale o per l'istanza all'Ispettorato territoriale del lavoro.
4. DocumentazioneCartelli conformi, informativa estesa, registro dei trattamenti, designazione degli autorizzati, nomina del manutentore ex art. 28 e, dove dovuta, valutazione d'impatto.
5. Allineamento e verificaControllo che quanto dichiarato coincida con quanto configurato, e istruzioni operative su come gestire le richieste degli interessati e quelle dell'autorità giudiziaria.

La videosorveglianza rientra nell'incarico di DPO esterno e nella consulenza GDPR completa. Per gli enti pubblici, dove il tema si intreccia con la polizia locale e gli impianti cittadini, la pagina di riferimento è DPO per Comuni; nelle strutture socio-assistenziali il quadro è nella pagina GDPR per RSA e case di riposo.

Domande frequenti

Scritto da Dott. Pietro Cravero, titolare di Studio Cravero e DPO certificato IDcert, Master universitario di II livello in trattamento dei dati personali presso l'Università degli Studi Roma Tre. Studio con sede a Sassari, incarichi svolti in tutta Italia prevalentemente da remoto.