1. Una sanzione da 2.000 euro che vale più del suo importo
gavel
Il 12 marzo 2026 il Garante per la protezione dei dati personali ha adottato il Provvedimento n. 167 (doc. web n. 10240451) nei confronti di un esercizio commerciale, sanzionandolo per un impianto di videosorveglianza privo di cartellonistica idonea e di misure di sicurezza tecniche adeguate, con obbligo di conformarsi entro 30 giorni.
L'importo della sanzione, 2.000 euro, è contenuto. Ma il caso è interessante non per la cifra, bensì perché fotografa un errore diffusissimo tra le piccole e medie imprese italiane: trattare le telecamere di sicurezza come una questione puramente tecnica ("le ho installate, funzionano, basta così"), quando in realtà si tratta a tutti gli effetti di un trattamento di dati personali, con regole precise su informativa, autorizzazione e conservazione.
2. Perché le immagini di una telecamera sono dati personali
visibility
Ogni volta che una telecamera riprende un'area dove possono transitare persone identificabili, quel flusso di immagini è un trattamento di dati personali ai sensi del Regolamento (UE) 2016/679 (GDPR). Non serve che le immagini vengano registrate: il Garante ha più volte chiarito che anche la sola visualizzazione live da remoto, ad esempio via smartphone, costituisce trattamento e fa scattare gli obblighi informativi dell'art. 13 GDPR.
Questo vale sia per le riprese dell'ambiente aperto al pubblico (ingresso, sala vendita, area clienti) sia, con un regime più rigoroso, per le riprese che possono coinvolgere i lavoratori durante l'attività.
3. Il doppio binario: GDPR generale e art. 4 dello Statuto dei Lavoratori
balance
Quando le telecamere riprendono anche aree di lavoro, o comunque zone dove operano dipendenti, si aggiunge un secondo livello di tutela: l'art. 4 della L. 300/1970 (Statuto dei Lavoratori), richiamato anche dall'art. 114 del Codice Privacy.
Il Provvedimento n. 167/2026 richiama proprio questo schema: informativa carente ex art. 13 GDPR, assenza di misure di sicurezza tecniche e organizzative ex art. 32 GDPR (accesso alle immagini non protetto da credenziali) e mancato rispetto delle garanzie per i lavoratori ex art. 88 GDPR e art. 114 Codice Privacy.
4. Cosa deve avere in regola un impianto, in pratica
checklist
Gli elementi minimi che il Garante verifica in caso di ispezione o segnalazione:
| Requisito | Cosa comporta |
|---|---|
| Informativa (art. 13 GDPR) | Cartellonistica visibile prima di entrare nell'area ripresa, con indicazione del titolare e delle finalità |
| Procedura autorizzativa (art. 4 St. Lav.) | Accordo sindacale o autorizzazione Ispettorato del Lavoro, prima dell'attivazione, se le riprese possono riguardare i lavoratori |
| Misure di sicurezza (art. 32 GDPR) | Accesso alle immagini protetto da credenziali, tracciabilità degli accessi |
| Conservazione | Tempi limitati e proporzionati alla finalità (di norma 24-48 ore, estendibili fino a 7 giorni solo per esigenze specifiche e motivate) |
| Finalità dichiarata | Le immagini vanno usate solo per lo scopo dichiarato nell'informativa, non per altri controlli |
5. L'angolo che riguarda da vicino i gestori di sale gioco
store
Per chi gestisce una sala giochi o una sala scommesse, il tema si complica su un doppio fronte. Da un lato ci sono le riprese dell'area aperta al pubblico, spesso richieste anche da esigenze di sicurezza e prevenzione; dall'altro, l'intersezione con gli obblighi antiriciclaggio del D.lgs. 231/2007, che possono imporre tempi di conservazione della documentazione diversi da quelli standard della videosorveglianza.
6. Perché conviene intervenire prima di un controllo
schedule
Il Garante non agisce solo su iniziativa propria: la gran parte dei procedimenti in materia di videosorveglianza nasce da segnalazioni di dipendenti, clienti o concorrenti. Un impianto installato anni fa, magari da un tecnico che si è occupato solo dell'aspetto elettronico, può essere rimasto privo di informativa aggiornata o di autorizzazione sindacale senza che nessuno se ne accorga, fino alla prima ispezione o al primo reclamo.
Una verifica periodica dell'impianto (cartellonistica, registro dei trattamenti, procedura autorizzativa, tempi di conservazione) costa molto meno di una sanzione, e soprattutto elimina il rischio che una singola segnalazione trascini con sé un controllo più ampio sull'intera organizzazione aziendale.
7. In sintesi
summarize
Le telecamere di sicurezza non sono un tema solo tecnico: sono un trattamento di dati personali, soggetto a informativa, a un'eventuale autorizzazione sindacale o dell'Ispettorato del Lavoro quando riguardano i lavoratori, e a limiti precisi di conservazione. Il Provvedimento del Garante n. 167/2026 dimostra che anche una piccola impresa può essere sanzionata per un impianto rimasto fuori norma. Verificare oggi la propria posizione è un passo che riduce concretamente l'esposizione.
Se la tua azienda o la tua attività gestisce un impianto di videosorveglianza e non hai mai verificato informativa, autorizzazione e tempi di conservazione, richiedi una consulenza per una mappatura degli obblighi applicabili alla tua situazione.
8. Domande frequenti
Basta il cartello "area videosorvegliata" per essere in regola?
No. Il cartello è solo una parte dell'informativa ex art. 13 GDPR: serve anche indicare il titolare del trattamento e le finalità, oltre a rispettare gli altri obblighi (autorizzazione per le riprese che coinvolgono lavoratori, misure di sicurezza, tempi di conservazione).
Serve sempre l'accordo sindacale per installare telecamere in azienda?
Serve quando l'impianto può comportare, anche indirettamente, il controllo a distanza dei lavoratori. In assenza di rappresentanze sindacali, la strada alternativa è l'autorizzazione dell'Ispettorato Territoriale del Lavoro, richiesta comunque prima dell'attivazione dell'impianto.
Per quanto tempo si possono conservare le immagini registrate?
Il criterio generale è la proporzionalità alla finalità: di norma 24-48 ore. Tempi più lunghi, fino a 7 giorni, sono ammessi solo per esigenze specifiche e motivate, come in contesti ad alto rischio (ad esempio istituti di credito).
Cosa rischia in concreto chi ha un impianto non conforme?
Il Garante può disporre sanzioni pecuniarie, come nel Provvedimento n. 167/2026, oltre a ingiungere la messa in conformità entro un termine (nel caso esaminato, 30 giorni). L'importo della sanzione dipende dalla gravità e dal numero di violazioni riscontrate.
Un gestore di sala giochi ha obblighi diversi rispetto a un negozio qualunque?
Le regole base sono le stesse, ma si aggiunge l'intersezione con gli obblighi antiriciclaggio del D.lgs. 231/2007, che può richiedere tempi di conservazione documentale distinti da quelli della videosorveglianza. Le due finalità vanno tenute separate, con basi giuridiche autonome.