Videosorveglianza nei Comuni: dal Garante privacy un richiamo su base giuridica, informative e DPIA

Con il provvedimento n. 636 del 23 settembre 2026, il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento di dati personali effettuato da un Comune della Valle d’Aosta mediante il proprio impianto di videosorveglianza. L’Autorità ha ordinato il pagamento di una sanzione e imposto una serie di misure correttive.

Il caso
Il procedimento nasce dal reclamo di una cittadina, secondo cui una telecamera installata dal Comune sulla pubblica via aveva un angolo di visuale tale da riprendere anche la sua abitazione privata.

1. Manca una base giuridica adeguata per le finalità amministrative
Il primo rilievo del Garante riguarda la liceità del trattamento. Per i soggetti pubblici la base giuridica può essere l’adempimento di un obbligo legale o l’esecuzione di un compito di interesse pubblico (art. 6, par. 1, lett. c) ed e), del Regolamento UE 2016/679). Tale base deve essere stabilita da una norma di legge o di regolamento o da atti amministrativi generali (art. 2-ter del Codice privacy). Deve inoltre avere un sufficiente livello di qualità: disciplinare gli elementi essenziali del trattamento ed essere chiara, precisa e prevedibile per gli interessati. Nel caso esaminato, il Comune ha fatto riferimento alle proprie funzioni amministrative generali (artt. 13, 50 e 107 del TUEL), che però non disciplinano l’uso di dispositivi video né i relativi trattamenti di dati e non possono quindi costituire una base giuridica valida per le finalità amministrative perseguite.

2. Minimizzazione dei dati e protezione fin dalla progettazione
La telecamera era impostata in modo da riprendere anche la facciata esterna dell’abitazione della reclamante, con visibilità di balconi, finestre e portefinestre. Per il Garante questa ripresa non può ritenersi necessaria rispetto alle finalità perseguite. Costituisce un’ingerenza sproporzionata nel diritto alla vita privata e familiare e alla protezione dei dati personali, in contrasto con il principio di minimizzazione (art. 5, par. 1, lett. c). Le ragioni tecniche, logistiche e di opportunità addotte dal Comune non sono state prese in considerazione. Il privacy masking attivato dopo il reclamo, tecnicamente percorribile, avrebbe dovuto essere attuato fin dalla prima configurazione e attivazione del sistema, in applicazione del principio di privacy by design e by default² (art. 25). Il Garante richiama in proposito le Linee guida 3/2019 del Comitato europeo per la protezione dei dati, che indicano il mascheramento o l’offuscamento delle zone irrilevanti tra le tecnologie a tutela della privacy da considerare.

3. Informative inadeguate
Nella videosorveglianza l’informativa è stratificata su due livelli: un cartello di avvertimento collocato in modo da essere visibile prima di accedere alla zona videosorvegliata (primo livello) e un’informativa completa, facilmente accessibile e richiamata dal cartello (secondo livello). Il Garante ha rilevato diverse criticità.

Primo livello. Il Comune aveva installato in origine solo quattro cartelli, un numero esiguo rispetto all’area interessata, senza essere in grado di indicarne la data di installazione. I cartelli facevano riferimento a generiche finalità di “sicurezza” e all’ormai abrogato art. 13 del Codice, e sono stati poi rimossi in occasione di lavori o altre esigenze. Solo dopo l’avvio dell’istruttoria sono stati installati pannelli provvisori (oggi 20 cartelli), ma anche questi non risultano pienamente conformi:

• elencano molteplici finalità generiche ed eterogenee senza indicare la base giuridica di ciascuna, inducendo i cittadini a ritenere che qualsiasi condotta rilevante anche solo a fini amministrativi possa essere accertata con i filmati;

• richiamano sommariamente il solo diritto di accesso, indicando come unico canale una PEC non specificata e un “responsabile di videosorveglianza” non meglio identificato;

• prevedono un unico periodo di conservazione di sette giorni per tutte le finalità, mentre tale termine. Tale termine, mutuato dall’art. 6, comma 8, del d.l. n. 11/2009, si applica esclusivamente alla tutela della sicurezza urbana e non necessariamente anche alle finalità di natura amministrativa.

Secondo livello. L’informativa estesa, pubblicata sul sito del Comune, non è risultata disponibile online in modo continuativo per tutto il periodo di attivazione dell’impianto: era consultabile dal novembre 2022 al 20 giugno 2024. Il collegamento ipertestuale non funzionava, circostanza che il Comune ha scoperto solo dopo l’avvio dell’istruttoria. Inoltre, la mancata prova dell’installazione di un numero sufficiente di cartelli con rinvio chiaro all’informativa estesa pregiudica in radice l’efficacia del meccanismo a due livelli.

Nel merito, le due versioni dell’informativa:

• indicano finalità generiche;

• affermano erroneamente che il trattamento possa riguardare anche dati particolari (art. 9);

• prevedono un unico tempo di conservazione di sette giorni;

• menzionano diritti non esercitabili sui filmati (rettifica e portabilità);

• nella prima versione, individuano erroneamente il “responsabile del trattamento” nel Segretario comunale.

Ne deriva la violazione dei principi di liceità, correttezza e trasparenza e degli artt. 12, par. 1, e 13 del Regolamento.

4. La valutazione d’impatto (DPIA) non è valida
La sorveglianza sistematica su larga scala di una zona accessibile al pubblico comporta rischi elevati e richiede una valutazione d’impatto sulla protezione dei dati (art. 35). Il Comune ha prodotto la deliberazione di Giunta n. 52 del 30 luglio 2018, il cui allegato in formato .xls contiene una DPIA riferita alla totalità dei trattamenti dell’Ente. La videosorveglianza vi compare in una sola riga (“videosorveglianza dei locali e/o della viabilità”), con la generica finalità di “sicurezza locali e delle vie”.

Secondo il Garante mancano:

• una descrizione sistematica dei trattamenti e delle finalità (ad esempio numero e caratteristiche tecniche dei dispositivi, sistemi di salvataggio e gestione dei filmati, finalità e base giuridica di ciascun trattamento);

• una valutazione di necessità e proporzionalità (ad esempio telecamere e siti scelti per ciascuna finalità, angolo di visuale, misure per evitare la ripresa di aree private, alternative meno lesive);

• l’indicazione delle misure per affrontare i rischi.

Tali lacune sono definite sintomo di un approccio solo formale all’adempimento. Il documento, nel tempo semplicemente “confermato”, non può qualificarsi come valida valutazione d’impatto.

5. Sanzione e misure correttive

Il Garante ha accertato la violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. c) ed e), e parr. 2 e 3, 12, par. 1, 13, 25 e 35 del Regolamento, nonché dell’art. 2-ter del Codice. Trattandosi di un’unica condotta, si applica l’art. 83, par. 3, del Regolamento, con riferimento alla sanzione prevista dall’art. 83, par. 5 (fino a 20 milioni di euro).

Nella quantificazione, l’Autorità ha considerato che la violazione si è protratta per un esteso arco temporale ma ha carattere colposo, essendo dovuta a errate valutazioni giuridiche dell’Ente, e che non sono stati trattati dati particolari. La gravità è stata ritenuta media. Hanno inoltre pesato la dimensione del Comune (circa 800 abitanti, con risorse organizzative ed economiche limitate), l’assenza di precedenti violazioni e la sufficiente cooperazione offerta, anche con misure per rimediare alla violazione oggetto di reclamo.

La sanzione è stata quindi fissata in 4.000 euro, con possibilità di definire la controversia pagando la metà entro 30 giorni (art. 166, comma 8, del Codice).

Il Garante ha inoltre ingiunto al Comune di:

1. effettuare una ricognizione di tutte le telecamere presenti sul territorio;

2. definire le specifiche finalità amministrative eventualmente perseguite, individuando per ciascuna un’idonea base giuridica;

3. verificare che l’angolo di ripresa di ciascuna telecamera non includa abitazioni private o altri luoghi non d’interesse, adottando se necessario soluzioni di mascheramento o offuscamento;

4. svolgere una valida e completa valutazione d’impatto sui trattamenti effettuati con sistemi di videosorveglianza;

5. riformulare le informative di primo e secondo livello.

Il Comune dovrà comunicare all’Autorità, con riscontro documentato, le iniziative intraprese entro trenta giorni dalla notifica del provvedimento.

Conclusioni
La decisione conferma l’orientamento del Garante secondo cui gli enti locali non possono utilizzare i sistemi di videosorveglianza per finalità amministrative generiche, facendo leva su competenze istituzionali formulate in modo ampio o indeterminato. Per ogni finalità perseguita occorre individuare una specifica base giuridica, nel rispetto dei principi di necessità, proporzionalità, minimizzazione dei dati e trasparenza stabiliti dal GDPR.

Glossario dei termini:

¹ Privacy masking. Tecnica che consente di oscurare o offuscare, già nella configurazione del sistema, le porzioni dell’immagine non rilevanti per le finalità della videosorveglianza (ad esempio un’abitazione privata). Le Linee guida 3/2019 del Comitato europeo per la protezione dei dati la annoverano tra le tecnologie a tutela della privacy, parlando di sistemi che consentono “il mascheramento o l’offuscamento delle zone irrilevanti per la sorveglianza”.

² Privacy by design e by default (art. 25 del Regolamento). Il principio impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate a proteggere i dati già in fase di progettazione del trattamento (by design) e di far sì che, per impostazione predefinita (by default), siano trattati solo i dati necessari per ciascuna specifica finalità. Per la videosorveglianza, le Linee guida 3/2019 chiariscono che tali misure vanno messe in atto non appena si pianifica l’installazione del sistema, prima di iniziare la raccolta e il trattamento dei filmati.

FONTE: GPDP - Garante per la protezione dei dati personali