Indicazioni del Garante per la privacy e adempimenti per gli enti locali
La corretta gestione di un sistema di videosorveglianza richiede agli enti locali una serie di valutazioni e adempimenti che accompagnano l’intero ciclo di vita dell’impianto, dalla progettazione alla raccolta e conservazione delle immagini, fino al loro eventuale successivo utilizzo. Le Linee guida 3/2019 del Comitato europeo per la protezione dei dati (EDPB) sul trattamento dei dati personali attraverso dispositivi video, adottate nella versione definitiva il 29 gennaio 2020, e le FAQ del Garante per la protezione dei dati personali sulla videosorveglianza costituiscono, a questo riguardo, importanti riferimenti operativi.
Negli ultimi anni il Garante per la protezione dei dati personali è intervenuto più volte sui sistemi di videosorveglianza gestiti dagli enti locali, precisando condizioni e limiti del trattamento delle immagini.
Un primo profilo riguarda la videosorveglianza per finalità di sicurezza urbana. Con il provvedimento del 13 novembre 2025, n. 669, relativo al Comune di Orte, il Garante ha chiarito che il Patto per l’attuazione della sicurezza urbana con la Prefettura non può ridursi a un adempimento meramente formale. La generica individuazione di vaste aree del territorio non è sufficiente: deve essere possibile verificare, in relazione alle aree concretamente interessate, la necessità e la proporzionalità del ricorso alla videosorveglianza. L’Autorità ha inoltre richiamato l’attenzione sulla corretta informazione degli interessati e sulla valutazione d’impatto sulla protezione dei dati, ove necessaria.
Particolarmente significativo è il provvedimento del 14 maggio 2026, n. 341, relativo al Comune di Reggio Calabria. In questo caso il Garante ha ritenuto illecito l’utilizzo di immagini raccolte attraverso un sistema installato per finalità di sicurezza urbana per ricostruire la dinamica di un incidente e contestare una violazione amministrativa del Codice della strada. Il provvedimento applica concretamente il principio di limitazione della finalità: la disponibilità tecnica di una registrazione non ne consente automaticamente l’utilizzo per uno scopo diverso da quello per il quale è stata raccolta. Resta ferma, tuttavia, la possibilità per la Polizia locale di acquisire e utilizzare i filmati nell’esercizio delle proprie funzioni di polizia giudiziaria, qualora emergano condotte penalmente rilevanti. La distinzione conferma ancora una volta la centralità della finalità concreta del trattamento.
Un ulteriore profilo riguarda l’utilizzo delle bodycam da parte della Polizia locale. Con il provvedimento dell’11 giugno 2026, n. 425, relativo al Comune di Brescia, il Garante ha espresso parere non favorevole sulla valutazione d’impatto presentata dall’ente per l’impiego di videocamere operative individuali nell’ambito di attività di polizia giudiziaria. Il caso assume particolare interesse per gli enti locali perché l’Autorità ha richiamato l’attenzione non soltanto sulla finalità perseguita, ma sull’intera filiera tecnologica e organizzativa del trattamento: sicurezza delle registrazioni, gestione delle chiavi crittografiche, utilizzo di infrastrutture cloud, rapporti con responsabili e sub-responsabili del trattamento e possibili accessi o trasferimenti dei dati verso Paesi terzi. L’affidamento a soggetti esterni di componenti tecnologiche del sistema non fa quindi venir meno la responsabilità dell’ente di verificare le condizioni nelle quali i dati vengono trattati.
Nel complesso, i più recenti interventi del Garante evidenziano un principio comune: per gli enti locali la legittimità della videosorveglianza non dipende soltanto dall’esistenza di una finalità istituzionale, ma anche dalla corretta individuazione della base giuridica, dalla necessità e proporzionalità del trattamento, dalla coerenza degli utilizzi successivi con la finalità originaria e dalla concreta configurazione tecnica e organizzativa del sistema.
L’installazione di un sistema di videosorveglianza non richiede una preventiva autorizzazione del Garante. Spetta infatti all’ente, in qualità di titolare del trattamento, valutare la liceità, la necessità e la proporzionalità del sistema e adottare le misure necessarie per garantire il rispetto della disciplina sulla protezione dei dati personali.
Il primo passaggio consiste nella chiara individuazione della finalità perseguita e del relativo fondamento giuridico. L’ente deve inoltre verificare che il ricorso alla videosorveglianza sia effettivamente necessario e proporzionato rispetto all’obiettivo da raggiungere. Il principio di necessità assume particolare rilievo anche rispetto a specifiche funzioni comunali. Le FAQ del Garante precisano, ad esempio, che il ricorso alla videosorveglianza per il controllo di discariche di sostanze pericolose ed ecopiazzole è consentito quando non risulti possibile, o si riveli inefficace, il ricorso a strumenti e sistemi di controllo alternativi e comunque nel rispetto del principio di minimizzazione dei dati.
Particolare attenzione deve essere riservata alla trasparenza nei confronti delle persone riprese. Gli interessati devono essere informati della presenza delle telecamere prima di entrare nell’area videosorvegliata. Secondo il modello delineato dalle Linee guida EDPB, l’informazione può essere articolata su due livelli: un’informativa di primo livello, costituita dalla segnaletica di avvertimento collocata in prossimità dell’area sottoposta a videosorveglianza, e un’informativa di secondo livello, facilmente accessibile, contenente le informazioni complete sul trattamento previste dall’articolo 13 del GDPR.
Un altro aspetto centrale riguarda i tempi di conservazione delle immagini. In via generale, le registrazioni non possono essere conservate più a lungo di quanto necessario rispetto alle finalità per le quali sono state raccolte e spetta al titolare individuare e giustificare il periodo di conservazione. Le Linee guida EDPB evidenziano che, nella maggior parte dei casi, le immagini dovrebbero essere cancellate dopo pochi giorni e che periodi di conservazione superiori alle 72 ore richiedono una motivazione più approfondita. Per gli enti locali occorre tuttavia tenere conto delle eventuali disposizioni speciali che stabiliscono termini specifici. Ad esempio, per i Comuni, l’art. 6, comma 8, del decreto-legge 23 febbraio 2009, n. 11, convertito dalla legge 23 aprile 2009, n. 38 prevede sette giorni per le immagini raccolte in luoghi pubblici o aperti al pubblico per tutela della sicurezza urbana, salvo speciali esigenze di ulteriore conservazione.
L’ente deve inoltre verificare preventivamente se le caratteristiche del trattamento rendano necessaria una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 del GDPR. La valutazione è richiesta quando un trattamento, considerate la natura, l’oggetto, il contesto e le finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. La DPIA, in particolare, è sempre richiesta per la sorveglianza sistematica su larga scala di aree accessibili al pubblico e l’impiego di tecnologie innovative o particolarmente invasive.
Sul piano organizzativo, l’amministrazione deve individuare i soggetti autorizzati ad accedere alle immagini, definendone compiti e livelli di accesso, e adottare misure tecniche e organizzative adeguate a garantire la sicurezza delle registrazioni e a prevenire accessi non autorizzati, perdita, alterazione o diffusione dei dati. Quando la gestione dell’impianto o dei dati coinvolge soggetti esterni, occorre inoltre verificare il ruolo da questi assunto nel trattamento e, ove ne ricorrano i presupposti, procedere alla loro designazione quali responsabili del trattamento.
Gli adempimenti non si esauriscono con l’installazione e l’avvio dell’impianto. L’amministrazione deve verificare nel tempo che finalità, configurazione del sistema, tempi di conservazione, soggetti autorizzati e misure di sicurezza continuino a essere coerenti con il trattamento effettivamente svolto. Anche l’eventuale utilizzo delle immagini per finalità ulteriori rispetto a quelle per le quali sono state raccolte deve essere attentamente valutato alla luce del principio di limitazione della finalità. L’introduzione di nuove funzionalità – come sistemi di analisi automatizzata delle immagini, strumenti biometrici o applicazioni di intelligenza artificiale – richiede, a sua volta, una nuova verifica della finalità e del fondamento giuridico del trattamento, della sua necessità e proporzionalità e dei rischi e delle garanzie connessi alle tecnologie impiegate.
Per gli enti locali, in definitiva, la conformità alla disciplina sulla protezione dei dati non si esaurisce nella legittimità dell’installazione delle telecamere, ma riguarda l’intero ciclo di trattamento delle immagini: dalla decisione su cosa riprendere, dove e per quale finalità, alla configurazione dell’impianto e all’informazione degli interessati, dalla conservazione e protezione delle registrazioni alla disciplina degli accessi e degli eventuali utilizzi successivi.