Installare un impianto di videosorveglianza conforme al GDPR richiede tre adempimenti irrinunciabili: una base giuridica valida (di norma l’interesse legittimo alla sicurezza), una doppia informativa — il cartello di avviso posizionato prima del raggio d’azione delle telecamere e l’informativa estesa disponibile su richiesta — e una conservazione delle immagini limitata nel tempo, di regola 24-48 ore e comunque non oltre 7 giorni salvo motivazioni specifiche. Se le telecamere possono riprendere i lavoratori si aggiunge un quarto vincolo, previsto dall’articolo 4 dello Statuto dei Lavoratori (L. 300/1970): occorre un accordo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro. Ignorare uno solo di questi passaggi espone a sanzioni del Garante.
La disciplina della videosorveglianza non è concentrata in un’unica norma: si ricava dalla combinazione del Regolamento (UE) 2016/679, del Codice Privacy (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018), del provvedimento generale del Garante e delle indicazioni europee. Comprendere come questi livelli si intrecciano è il modo per progettare un impianto che non generi contestazioni.
Il quadro normativo della videosorveglianza
Quattro fonti definiscono le regole applicabili in Italia.
- Il Regolamento (UE) 2016/679 (GDPR). Le riprese identificano le persone e costituiscono quindi trattamento di dati personali, soggetto ai principi di liceità, minimizzazione, limitazione delle finalità e limitazione della conservazione (art. 5).
- Il provvedimento generale del Garante dell’8 aprile 2010. Pur precedente al GDPR, resta il riferimento operativo per la parte compatibile con il Regolamento: definisce i criteri sull’informativa, le durate di conservazione e i casi di trattamento.
- Le FAQ sulla videosorveglianza del Garante. L’Autorità aggiorna un set di risposte pratiche su condominio, esercizi commerciali, luoghi di lavoro e ambito domestico, consultabili sul sito del Garante.
- Le Linee guida EDPB 3/2019 sui dispositivi video. Il Comitato europeo per la protezione dei dati ha chiarito a livello UE la base giuridica, il bilanciamento dell’interesse legittimo e gli obblighi di trasparenza; il testo è disponibile sul sito dell’EDPB.
Da questa cornice discendono gli obblighi concreti che seguono.
La base giuridica: interesse legittimo e sicurezza
Nella maggior parte dei casi la base giuridica della videosorveglianza è l’interesse legittimo del titolare (art. 6, par. 1, lett. f, GDPR): la protezione di persone e beni, la prevenzione di furti e atti vandalici, la sicurezza dei luoghi. L’interesse legittimo non è però un lasciapassare automatico: richiede un test di bilanciamento documentato, in cui il titolare dimostra che la finalità di sicurezza prevale sui diritti degli interessati e che non esistono strumenti meno invasivi. Le telecamere devono inquadrare lo stretto necessario — evitando aree pubbliche estranee, proprietà altrui e spazi in cui l’aspettativa di riservatezza è massima — secondo il principio di minimizzazione. Registrare il ragionamento sul bilanciamento e inserire il trattamento nel registro delle attività di trattamento è il primo presidio di conformità.
La doppia informativa: cartello e informativa estesa
La trasparenza in materia di videosorveglianza si articola su due livelli, coerentemente con il modello a fasi delle Linee guida EDPB 3/2019.
Il primo livello è il cartello di avviso: una segnalazione minima, ben visibile, collocata prima di entrare nel raggio d’azione delle telecamere. Deve indicare che l’area è videosorvegliata, l’identità del titolare (o un riferimento sintetico) e la finalità, oltre a rinviare all’informativa completa. Il Garante mette a disposizione un modello semplificato di cartello, utile soprattutto per gli esercizi commerciali.
Il secondo livello è l’informativa estesa ai sensi dell’art. 13 GDPR, che deve essere facilmente accessibile — ad esempio esposta all’ingresso, disponibile allo sportello o tramite QR code — e contenere tutte le informazioni: titolare, finalità e base giuridica, categorie di destinatari, tempi di conservazione, diritti dell’interessato e dati di contatto del Responsabile della protezione dei dati (RPD) se nominato. Chi deve redigerla può partire da un modello di informativa privacy e adattarlo alle specificità dell’impianto.
Le durate di conservazione delle immagini
Il principio di limitazione della conservazione impone di trattenere le immagini per il tempo strettamente necessario. La regola pratica consolidata dal Garante è la seguente.
| Contesto | Durata ordinaria | Estensione ammessa |
|---|---|---|
| Esercizi commerciali, uffici, condomìni | 24-48 ore | Fino a 7 giorni |
| Attività a rischio elevato (banche, gioiellerie) | Fino a 7 giorni | Oltre 7 giorni solo con motivazione |
| Esigenze investigative o richieste dell’autorità | — | Periodo necessario, documentato |
La cancellazione entro il termine deve essere automatica: l’impianto va configurato in modo che le riprese siano sovrascritte allo scadere del periodo, senza intervento manuale. Conservazioni prolungate oltre i sette giorni richiedono una motivazione specifica — un particolare profilo di rischio, la localizzazione in aree critiche, esigenze legate a indagini — che va documentata e resa dimostrabile in caso di controllo. Il tema si collega direttamente ai limiti di conservazione dei dati previsti in generale dal GDPR.
Il vincolo sui lavoratori: l’art. 4 dello Statuto
Quando le telecamere possono, anche solo potenzialmente, riprendere i lavoratori, alla disciplina privacy si sovrappone quella giuslavoristica. L’articolo 4 dello Statuto dei Lavoratori (Legge 20 maggio 1970, n. 300) vieta il controllo a distanza dell’attività dei dipendenti e consente l’installazione di impianti audiovisivi solo per esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale. In questi casi l’impianto richiede:
- un accordo con le rappresentanze sindacali (RSA o RSU); oppure, in mancanza di accordo,
- l’autorizzazione dell’Ispettorato Nazionale del Lavoro (sede territoriale competente).
Le immagini eventualmente raccolte possono essere utilizzate anche a fini disciplinari solo se il lavoratore è stato adeguatamente informato delle modalità di controllo. Va inoltre osservato il principio generale di esclusione dell’audio: la registrazione sonora è di norma sproporzionata e ammessa solo in casi eccezionali e giustificati, perché comprime in modo severo la riservatezza. La combinazione tra vincolo sindacale e trasparenza rende il contesto lavorativo l’area a più alto rischio di contenzioso.
Quando serve la DPIA e quali sono le sanzioni
La videosorveglianza sistematica di aree accessibili al pubblico, o il monitoraggio su larga scala, rientra tra i trattamenti per i quali il Garante — con l’elenco adottato con provvedimento dell’11 ottobre 2018 — richiede una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’art. 35 GDPR. La DPIA va condotta prima dell’attivazione dell’impianto quando ricorrono indici di rischio elevato: uso di tecnologie innovative (riconoscimento facciale, analisi comportamentale), monitoraggio di aree pubbliche estese, trattamento di categorie particolari di dati. È un passaggio da non sottovalutare: la nostra guida alla DPIA passo per passo illustra come strutturarla.
Domande frequenti
Quanto tempo si possono conservare le immagini della videosorveglianza?
Di norma da 24 a 48 ore, con possibilità di arrivare fino a 7 giorni. Oltre i sette giorni la conservazione è ammessa solo in presenza di esigenze specifiche e documentate — attività a rischio elevato come banche o gioiellerie, richieste dell’autorità giudiziaria, indagini in corso. L’impianto deve cancellare automaticamente le riprese allo scadere del termine, senza intervento manuale.
Serve il consenso delle persone riprese?
No. La base giuridica della videosorveglianza per finalità di sicurezza è di regola l’interesse legittimo del titolare (art. 6, par. 1, lett. f, GDPR), non il consenso, che sarebbe impraticabile per chi transita in un’area sorvegliata. Restano però obbligatori il test di bilanciamento, la doppia informativa e il rispetto della minimizzazione. Nei luoghi di lavoro si aggiunge il vincolo dell’art. 4 dello Statuto dei Lavoratori.
Posso installare telecamere che riprendono i miei dipendenti?
Solo rispettando l’art. 4 dello Statuto dei Lavoratori (L. 300/1970): occorre un accordo con le rappresentanze sindacali o, in mancanza, l’autorizzazione dell’Ispettorato Nazionale del Lavoro, e le finalità devono essere organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio. I lavoratori vanno informati delle modalità di controllo; l’audio è di norma escluso.
La videosorveglianza richiede una DPIA?
Sì, quando il trattamento presenta un rischio elevato: sorveglianza sistematica di aree pubbliche su larga scala, uso di riconoscimento facciale o analisi comportamentale, monitoraggio esteso. Il Garante ha incluso queste ipotesi nell’elenco dei trattamenti soggetti a valutazione d’impatto adottato l’11 ottobre 2018. La DPIA va completata prima di attivare l’impianto.
Conclusione
La videosorveglianza conforme al GDPR non è una questione di tecnologia, ma di documentazione. Chi installa telecamere deve poter dimostrare quattro cose: una base giuridica valida, di norma il legittimo interesse con test di bilanciamento, la doppia informativa a cartello e informativa estesa, una durata di conservazione limitata (24-48 ore, fino a 7 giorni) con cancellazione automatica, e — in presenza di lavoratori — il rispetto dell’art. 4 dello Statuto tramite accordo sindacale o autorizzazione dell’Ispettorato. Aggiungendo, dove necessario, la DPIA e l’esclusione dell’audio, l’impianto regge a un controllo del Garante. La regola pratica è semplice: progettare la conformità prima di montare le telecamere costa una frazione di quanto costa correggerla dopo una segnalazione. Un ambito in cui i conflitti sono frequenti è quello condominiale: si veda la guida alla privacy in condominio.