Videosorveglianza urbana e sfera domestica: il provvedimento del Garante sul Comune di Arvier — base giuridica, angoli di ripresa e limiti del “privacy masking” sopravvenuto

Abstract

Con il provvedimento n. 636 del 23 settembre 2026 il Garante per la protezione dei dati personali ha sanzionato con quattromila euro il Comune di Arvier, ente valdostano di circa ottocento abitanti, per una pluralità di irregolarità nella gestione dell’impianto di videosorveglianza urbana: assenza di una base giuridica puntuale rispetto alle molteplici finalità perseguite, inquadratura di finestre, balconi e portefinestre di un’abitazione privata, informativa resa con cartellonistica generica, valutazione d’impatto insufficiente. L’atto si colloca nel solco degli articoli 5, 6, 12, 13, 25 e 35 del Regolamento (UE) 2016/679 e delle Linee guida EDPB 3/2019 sul trattamento di dati personali attraverso dispositivi video. Si sostiene in questa sede che il nucleo dell’orientamento non risieda nella misura pecuniaria — contenuta — bensì nella qualificazione del “privacy masking” applicato solo a istruttoria avviata come rimedio tardivo, inidoneo a sanare la violazione dell’obbligo di protezione dei dati fin dalla progettazione. Ne discendono indicazioni operative immediate per ogni titolare, pubblico o privato, che gestisca impianti stratificati nel tempo.

Premessa

In premessa va detto che la videosorveglianza urbana rappresenta, nella casistica del Garante, uno degli ambiti a più alta ricorrenza di provvedimenti correttivi e sanzionatori, e ciò per ragioni strutturali prima ancora che per negligenza dei singoli enti. Trattasi, per l’appunto, di sistemi che nascono spesso in epoca anteriore all’applicazione del Regolamento (UE) 2016/679 — nel caso di specie, secondo quanto riportato dalla fonte, l’impianto risale al biennio 2011-2012 — e che vengono successivamente ampliati per aggiunte incrementali, telecamera dopo telecamera, finalità dopo finalità, senza che a ciascun ampliamento corrisponda una rivalutazione complessiva dell’architettura di conformità.

Il perimetro dell’analisi che segue è dunque duplice. Da un lato si esamina il provvedimento n. 636 del 23 settembre 2026 nei suoi profili di diritto positivo: quale base giuridica sorregge il trattamento videosorvegliante di un ente locale, quali obblighi informativi gravano sul titolare che opera in spazi pubblici aperti, quando la valutazione d’impatto è dovuta e quale contenuto minimo deve avere. Dall’altro lato si estraggono dal caso concreto le implicazioni di sistema per una platea più ampia di quella dei soli comuni: l’inquadratura che eccede il necessario, il rimedio tecnico adottato in corso di istruttoria, la stratificazione documentale di impianti ereditati sono problemi che si presentano identici nel condominio, nello stabilimento industriale, nella struttura sanitaria, nella rete commerciale distribuita sul territorio.

L’ancoraggio normativo è quello ordinario. Rilevano in primo luogo i principi dell’articolo 5 del Regolamento, con particolare riguardo alla liceità, alla limitazione della finalità, alla minimizzazione e alla responsabilizzazione; l’articolo 6, paragrafo 1, lettera e), e paragrafo 3, per la base giuridica del trattamento necessario all’esecuzione di un compito di interesse pubblico; gli articoli 12 e 13 per la trasparenza; l’articolo 25 per la protezione dei dati fin dalla progettazione e per impostazione predefinita; l’articolo 35 per la valutazione d’impatto. Sul piano interno vengono in considerazione il decreto legislativo 196/2003 come novellato dal decreto legislativo 101/2018 e, per i profili di sicurezza urbana, il decreto-legge 14/2017 convertito dalla legge 48/2017. Sul piano interpretativo il riferimento obbligato restano le Linee guida 3/2019 dell’European Data Protection Board sul trattamento dei dati personali attraverso dispositivi video, oltre al provvedimento generale del Garante in materia di videosorveglianza dell’8 aprile 2010, tuttora utile quanto all’impianto metodologico pur nelle parti superate dal sopravvenuto Regolamento.

I fatti accertati e la struttura del provvedimento

il procedimento origina dal reclamo di una cittadina che lamentava la presenza di una telecamera comunale il cui angolo di ripresa includeva la propria abitazione. L’istruttoria dell’Autorità, muovendo da una contestazione puntuale e circoscritta, si è poi estesa all’intero assetto del sistema, secondo una dinamica ricorrente: il reclamo individuale funge da innesco, ma l’accertamento investe l’organizzazione del trattamento nel suo complesso.

Dagli accertamenti è emerso che l’impianto, attivo dal 2011-2012 e successivamente ampliato, veniva utilizzato per una pluralità di finalità eterogenee — controllo della viabilità e dei parcheggi, lettura delle targhe, tutela ambientale, protezione civile — senza che il Comune avesse individuato una chiara e adeguata base giuridica. Una delle telecamere riprendeva la facciata dell’abitazione della reclamante, comprese finestre, balconi e portefinestre. Tale ripresa è stata ritenuta dall’Autorità non necessaria rispetto alle finalità dichiarate e produttiva di un’ingerenza sproporzionata nella sfera privata.

Rileva in modo particolare, ai fini dell’analisi, un passaggio ulteriore: il Comune, dopo l’avvio dell’istruttoria, ha adottato una soluzione tecnica di “privacy masking” per oscurare la porzione di immagine relativa all’abitazione. L’Autorità ha ritenuto tale accorgimento insufficiente, osservando che esso avrebbe dovuto essere previsto e applicato fin dalla progettazione e dalla prima configurazione del sistema.

Ulteriori criticità sono state rilevate sul versante della trasparenza: i cartelli informativi posizionati sul territorio facevano riferimento in maniera generica a finalità di “sicurezza”, senza fornire le informazioni previste dal Regolamento. Insufficiente è stata giudicata anche la valutazione d’impatto redatta dall’ente.

La risposta sanzionatoria si è attestata su quattromila euro, accompagnata da un articolato complesso di misure correttive: ricognizione di tutte le telecamere presenti sul territorio, individuazione precisa delle finalità e delle rispettive basi giuridiche, verifica e correzione degli angoli di ripresa con esclusione delle abitazioni private e adozione, ove necessario, di sistemi di mascheramento o oscuramento, elaborazione di una completa valutazione d’impatto, aggiornamento e riformulazione delle informative ai cittadini.

Appare chiaro allo scrivente che il baricentro del provvedimento non sia la misura pecuniaria — contenuta, e coerente con la dimensione demografica e finanziaria di un ente di ottocento abitanti — bensì proprio il programma di rimedi imposto, che equivale nella sostanza a una rifondazione dell’intero impianto documentale e tecnico del sistema.

Il quadro normativo di riferimento

La disciplina europea: principi, base giuridica, progettazione

Il punto di partenza è la qualificazione della videosorveglianza come trattamento di dati personali. La nozione non è intuitiva per tutti gli operatori e merita di essere ricostruita per gradi. L’articolo 4, punto 1, del Regolamento definisce “dato personale” qualsiasi informazione riguardante una persona fisica identificata o identificabile. L’immagine di un individuo ripresa da una telecamera, quando consenta — anche indirettamente, anche mediante il ricorso a informazioni ulteriori ragionevolmente disponibili — di risalire alla sua identità, integra pienamente la nozione. In sostanza, non occorre che il volto sia nitido o che il soggetto sia già noto: è sufficiente che l’identificazione sia possibile con mezzi ragionevoli. In termini più pragmatici, una telecamera puntata su una strada di un comune di ottocento abitanti identifica di fatto chiunque vi transiti, perché la comunità è tale che il riconoscimento è immediato anche a partire da elementi minimi — l’andatura, l’abbigliamento ricorrente, il veicolo.

Vi è un ulteriore passaggio. L’inquadratura di finestre e balconi di un’abitazione non riprende soltanto persone: riprende abitudini di vita, orari di presenza e di assenza, frequentazioni, talvolta elementi da cui si desumono convinzioni o condizioni di salute. Il Considerando 51 del Regolamento ricorda che i dati che per loro natura sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali meritano una specifica protezione. Si ritiene che la ripresa continuativa di una soglia domestica, pur non essendo di per sé trattamento di categorie particolari ai sensi dell’articolo 9, si collochi in una zona di confine in cui il rischio di acquisizione incidentale di informazioni sensibili è tutt’altro che remoto.

Quanto alla base giuridica, il trattamento effettuato da un ente locale nell’esercizio di funzioni istituzionali si fonda tipicamente sull’articolo 6, paragrafo 1, lettera e), del Regolamento: il trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare. Qui però occorre massima precisione, perché la lettera e) non è una clausola in bianco. Il paragrafo 3 del medesimo articolo 6 stabilisce che la base del trattamento deve essere stabilita dal diritto dell’Unione o dal diritto dello Stato membro cui il titolare è soggetto. In sostanza, l’ente non può limitarsi a dichiarare di perseguire un interesse pubblico: deve indicare la norma — di rango legislativo o regolamentare, secondo le specificazioni dell’ordinamento interno — che gli attribuisce quel compito e che rende il trattamento necessario al suo assolvimento. In termini più pragmatici ancora: se la finalità è il controllo della viabilità, la base giuridica sarà rinvenibile nelle disposizioni del codice della strada e nelle attribuzioni comunali in materia; se la finalità è la tutela ambientale rispetto all’abbandono di rifiuti, la base sarà altra; se la finalità è la protezione civile, altra ancora. Ciascuna finalità reclama la propria base, la propria valutazione di necessità, la propria disciplina di conservazione.

È precisamente questo l’errore metodologico che il provvedimento sembra avere censurato. L’impianto comunale perseguiva quattro o più finalità eterogenee con un unico apparato indifferenziato, senza che a ciascuna corrispondesse una distinta architettura di legittimazione. Si ritiene che tale approccio — definibile come “finalità cumulativa indistinta” — costituisca una violazione non solo dell’articolo 6 ma anche, e forse prima ancora, del principio di limitazione della finalità di cui all’articolo 5, paragrafo 1, lettera b), che impone la raccolta per finalità determinate, esplicite e legittime.

Il principio di minimizzazione, sancito dall’articolo 5, paragrafo 1, lettera c), impone poi che i dati siano adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità. Nella videosorveglianza la minimizzazione ha una dimensione squisitamente geometrica: si traduce nell’angolo di ripresa. Una telecamera installata per sorvegliare un parcheggio e che inquadra anche la facciata di un’abitazione tratta, per quella porzione di campo visivo, dati eccedenti rispetto alla finalità. Non si tratta di un difetto estetico o di un fastidio soggettivo del vicino: si tratta, tecnicamente, di un trattamento privo di base di necessità e dunque illecito nella sua estensione ultronea.

L’articolo 25 introduce gli obblighi di protezione dei dati fin dalla progettazione e per impostazione predefinita. La disposizione richiede al titolare di mettere in atto misure tecniche e organizzative adeguate “sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso”. Il riferimento temporale non è accessorio. In sostanza, il legislatore europeo ha inteso spostare il momento della conformità a monte, nella fase di progettazione, proprio per evitare che la protezione dei dati si riduca a una correzione successiva all’emersione del problema. In termini più pragmatici: l’angolo di ripresa va deciso prima di fissare la staffa al muro, non dopo il reclamo del cittadino.

Le Linee guida EDPB 3/2019

Le Linee guida 3/2019 dell’European Data Protection Board costituiscono il riferimento interpretativo armonizzato in materia di dispositivi video. Per quanto di stretto interesse in questa sede, esse affrontano con particolare attenzione il tema delle riprese che eccedono il perimetro di pertinenza del titolare, raccomandando l’orientamento delle telecamere verso l’area effettivamente da proteggere e, dove ciò non sia tecnicamente possibile, il ricorso a strumenti di mascheramento delle porzioni di immagine non pertinenti.

Le medesime Linee guida dedicano ampio spazio alla trasparenza, articolando l’informativa in due livelli: un primo livello costituito dal cartello collocato in prossimità dell’area sorvegliata, che deve contenere le informazioni più rilevanti — l’esistenza della sorveglianza, l’identità del titolare, le finalità, i diritti dell’interessato, i contatti — e l’indicazione di dove reperire il secondo livello; un secondo livello costituito dall’informativa completa ai sensi dell’articolo 13, resa disponibile per mezzo agevolmente accessibile, tipicamente un sito web, un documento consultabile presso uno sportello, un codice a barre bidimensionale.

Il modello a due livelli risolve un problema pratico evidente: il cartello non può contenere l’intera informativa, perché sarebbe illeggibile; ma non può nemmeno ridursi a un pittogramma con la scritta “area videosorvegliata”, perché in tal caso non assolverebbe alcuna funzione informativa. Nel caso del Comune di Arvier, secondo quanto riportato, i cartelli recavano un riferimento generico a finalità di “sicurezza”: si ritiene che tale formulazione sia problematica sotto un duplice profilo. In primo luogo “sicurezza” è un’etichetta che non individua alcuna finalità determinata ed esplicita nel senso dell’articolo 5, paragrafo 1, lettera b), potendo ricomprendere tutto e il contrario di tutto. In secondo luogo, e soprattutto, essa non corrispondeva nemmeno alle finalità effettivamente dichiarate dall’ente in sede istruttoria — viabilità, parcheggi, lettura targhe, ambiente, protezione civile — generando così una divaricazione fra il trattamento dichiarato all’Autorità e quello rappresentato agli interessati.

Il quadro nazionale e la sicurezza urbana

Sul piano interno, il decreto legislativo 196/2003, come profondamente novellato dal decreto legislativo 101/2018, conserva la funzione di raccordo con il Regolamento e, per quanto qui rileva, disciplina all’articolo 2-ter le condizioni del trattamento effettuato per l’esecuzione di un compito di interesse pubblico da parte di soggetti pubblici, richiedendo che la base normativa sia costituita da una norma di legge o, nei casi previsti, di regolamento.

Vi è poi la disciplina specifica della sicurezza urbana. Il decreto-legge 14/2017, convertito con modificazioni dalla legge 48/2017, ha delineato un quadro di cooperazione fra Stato ed enti locali in materia di sicurezza integrata e sicurezza urbana, prevedendo anche forme di sostegno all’installazione di sistemi di videosorveglianza da parte dei comuni. Si ritiene opportuno segnalare, però, che l’esistenza di tale quadro non esime l’ente dall’individuazione puntuale della base giuridica per ciascuna finalità concretamente perseguita. In sostanza, il finanziamento pubblico di un impianto non costituisce di per sé base giuridica del trattamento: sono piani distinti, e la loro confusione rappresenta — secondo il parere di chi scrive — uno degli equivoci più diffusi nella prassi amministrativa locale.

Occorre inoltre ricordare che, ove la videosorveglianza comunale sia utilizzata per finalità di prevenzione, indagine, accertamento e perseguimento di reati, viene in rilievo non il Regolamento ma la disciplina di cui al decreto legislativo 51/2018, di attuazione della Direttiva (UE) 2016/680. La distinzione ha conseguenze rilevanti in termini di regime applicabile, di diritti esercitabili e di modalità di esercizio. Nella prassi gli impianti comunali sono frequentemente “misti”, nel senso che le medesime riprese possono essere destinate tanto a finalità amministrative quanto, su richiesta dell’autorità giudiziaria o di polizia, a finalità investigative. Non si ha evidenza, dalla fonte disponibile, che il provvedimento in esame abbia affrontato specificamente tale profilo; si ritiene nondimeno che la questione del regime applicabile debba essere risolta espressamente nella documentazione del titolare, perché da essa discendono differenze operative concrete.

L’analisi dei profili accertati

La base giuridica frammentata e la tentazione della finalità onnicomprensiva

La prima e più strutturale delle criticità accertate attiene, come visto, alla mancata individuazione di una base giuridica chiara e adeguata rispetto alle molteplici finalità perseguite. Merita soffermarsi su questo punto, perché esso rappresenta il difetto più frequente negli impianti di videosorveglianza pubblica e, mutatis mutandis, anche in molti impianti privati.

La dinamica è nota a chiunque abbia svolto attività di audit su sistemi stratificati. L’impianto nasce con una finalità determinata — poniamo, il controllo di un parcheggio soggetto ad atti vandalici. Negli anni successivi l’amministrazione, disponendo già dell’infrastruttura, vi aggiunge funzioni ulteriori: la lettura delle targhe per il controllo della copertura assicurativa, il monitoraggio di un’area ecologica per contrastare l’abbandono di rifiuti, l’osservazione di un corso d’acqua a fini di protezione civile. Ciascuna aggiunta, isolatamente considerata, appare ragionevole e sorretta da un interesse pubblico reale. Il problema è che l’aggregazione di finalità eterogenee su un medesimo apparato produce effetti che nessuna delle finalità singole giustificherebbe: tempi di conservazione allineati verso l’alto, accessi consentiti a una pluralità di uffici, assenza di segmentazione logica fra flussi destinati a scopi differenti.

Si ritiene che il metodo corretto sia quello della ricostruzione analitica per finalità. Per ciascun obiettivo perseguito occorre individuare la norma attributiva del compito, verificare la necessità del trattamento video rispetto a quel compito — e dunque l’assenza di misure meno invasive parimenti efficaci —, determinare il tempo di conservazione proporzionato, definire i soggetti autorizzati all’accesso e le condizioni di tale accesso. Dove le finalità divergano significativamente, la buona prassi suggerisce la segmentazione: telecamere o flussi distinti, con configurazioni e autorizzazioni differenziate.

La difficoltà operativa è evidente, soprattutto per enti di piccole dimensioni privi di strutture tecniche dedicate. Appare chiaro allo scrivente che un comune di ottocento abitanti non disponga delle risorse di una città metropolitana; e tuttavia il Regolamento non gradua gli obblighi in funzione della dimensione del titolare, se non nei limiti del criterio di adeguatezza al rischio. La dimensione rileva, semmai, nella commisurazione della sanzione — e in effetti si osserva che l’importo irrogato è stato assai contenuto — ma non nell’an della violazione.

L’angolo di ripresa: la minimizzazione come problema geometrico

Il secondo profilo attiene all’inquadratura di finestre, balconi e portefinestre dell’abitazione della reclamante. Il Garante ha ritenuto tale ripresa non necessaria per il perseguimento delle finalità dichiarate e costitutiva di un’ingerenza sproporzionata nella sfera privata.

La valutazione si muove lungo il consueto schema del test di proporzionalità, articolato in idoneità, necessità e proporzionalità in senso stretto. Il trattamento deve essere idoneo a raggiungere la finalità; deve essere necessario, nel senso che non devono esistere alternative meno invasive ugualmente efficaci; deve infine superare un bilanciamento fra il sacrificio imposto ai diritti dell’interessato e il beneficio conseguito. Nel caso di specie la ripresa della facciata abitativa non superava già il secondo gradino: nessuna delle finalità dichiarate — viabilità, parcheggi, targhe, ambiente, protezione civile — richiede l’inquadratura di una finestra o di un balcone.

Vi è di più. L’ingerenza nella sfera domestica non è un’ingerenza come le altre. Il domicilio gode di una tutela rafforzata nell’ordinamento costituzionale interno — l’articolo 14 della Costituzione — e in quello convenzionale, l’articolo 8 della Convenzione europea dei diritti dell’uomo, che protegge il rispetto della vita privata e familiare, del domicilio e della corrispondenza. La giurisprudenza di Strasburgo ha ripetutamente affermato che la sorveglianza sistematica di uno spazio privato da parte di un’autorità pubblica richiede una base legale particolarmente qualificata e un controllo stringente di proporzionalità. Si ritiene che tale cornice, pur non espressamente richiamata nella sintesi disponibile del provvedimento, costituisca lo sfondo assiologico della decisione.

Un aspetto che merita attenzione, e che spesso sfugge, riguarda la percezione dell’interessato. Anche a voler ipotizzare che le immagini della facciata non venissero mai visionate, la sola consapevolezza di essere potenzialmente ripresi mentre si affacciano alla propria finestra produce nei residenti un effetto di condizionamento comportamentale. La dottrina lo definisce “chilling effect”. In termini più concreti: il cittadino evita di uscire sul balcone in determinate condizioni, modifica le proprie abitudini, percepisce la propria casa come uno spazio non più integralmente sottratto allo sguardo pubblico. Questo effetto si produce a prescindere dall’effettiva visione delle immagini, e costituisce di per sé un pregiudizio rilevante ai fini del bilanciamento.

Il “privacy masking” tardivo e la portata dell’articolo 25

Il profilo di maggiore interesse sistematico è, a parere di chi scrive, il trattamento riservato dall’Autorità al mascheramento adottato in corso di istruttoria.

Conviene definire la nozione. Il “privacy masking” — talvolta reso in italiano come mascheramento o oscuramento selettivo — è una funzione disponibile sulla gran parte delle telecamere di rete di fascia professionale, che consente di definire una o più aree del campo visivo le cui immagini non vengono acquisite oppure vengono rese illeggibili mediante sovrapposizione di una campitura opaca o di un effetto di sfocatura. In sostanza, è lo strumento che permette di conciliare un’inquadratura tecnicamente necessaria con l’esclusione di porzioni di scena irrilevanti o eccedenti. In termini più pragmatici: la telecamera che sorveglia il parcheggio ma che, per ragioni di posizionamento, non può evitare di comprendere nel proprio cono visivo la facciata del palazzo retrostante, può essere configurata in modo che quella facciata risulti permanentemente oscurata.

Si tratta, dunque, dello strumento tipico di attuazione dell’articolo 25 nel contesto della videosorveglianza. Ed è proprio per questo che la sua adozione tardiva assume un significato particolare. L’Autorità, secondo quanto riportato, ha ritenuto il mascheramento insufficiente osservando che esso avrebbe dovuto essere previsto e applicato fin dalla progettazione e dalla prima configurazione del sistema.

L’affermazione merita di essere letta con precisione per evitare fraintendimenti. Non si sostiene che il mascheramento sopravvenuto sia inutile: esso evidentemente elimina il trattamento illecito pro futuro, ed è anzi una delle misure che l’ente è stato poi ordinato di adottare sistematicamente. Si sostiene, piuttosto, che esso non sana la violazione già consumata e non vale a escludere la responsabilità per il periodo in cui il trattamento eccedente ha avuto luogo. In sostanza, l’articolo 25 non è una norma programmatica che si considera rispettata quando, prima o poi, le misure vengono adottate: è un obbligo con una scansione temporale precisa, il cui inadempimento si perfeziona nel momento in cui il trattamento prende avvio senza le cautele richieste.

Vi è un corollario di rilievo pratico. Nella prassi difensiva è frequente che il titolare, ricevuta una richiesta di informazioni dall’Autorità, proceda rapidamente alla rimozione della criticità e rappresenti poi l’avvenuta regolarizzazione come circostanza esimente. La collaborazione con l’Autorità e le misure adottate per attenuare il danno rilevano effettivamente ai sensi dell’articolo 83, paragrafo 2, lettere c) e f), del Regolamento, ma come criteri di commisurazione della sanzione, non come cause di esclusione della violazione. Si ritiene che il provvedimento in esame confermi con chiarezza tale impostazione, e che l’importo contenuto della sanzione rifletta proprio il peso attenuante della condotta successiva.

Sul piano della prova, inoltre, l’adozione del mascheramento soltanto a istruttoria avviata costituisce un indizio non trascurabile della fattibilità tecnica della misura. In sostanza, se l’ente ha potuto configurare l’oscuramento in pochi giorni dopo il reclamo, ciò dimostra che nulla ne impediva l’adozione al momento dell’installazione. Viene così meno, per implicita autoconfutazione, l’eventuale argomento dell’impossibilità tecnica.

Trasparenza: il cartello che non informa

Il quarto profilo attiene all’informativa. I cartelli apposti sul territorio, secondo quanto riportato, richiamavano genericamente finalità di “sicurezza” senza fornire le informazioni previste dal Regolamento.

Gli articoli 12 e 13 del Regolamento costruiscono un obbligo informativo articolato. L’articolo 12, paragrafo 1, richiede che le informazioni siano fornite “in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”. L’articolo 13 elenca i contenuti: identità e dati di contatto del titolare e, ove designato, del responsabile della protezione dei dati; finalità e base giuridica; eventuali destinatari; periodo di conservazione; diritti dell’interessato, incluso il diritto di proporre reclamo all’autorità di controllo.

Un cartello che si limiti a segnalare la presenza di telecamere per generiche ragioni di “sicurezza” non soddisfa alcuno di tali requisiti sostanziali, se non la mera segnalazione dell’esistenza del trattamento. Si ritiene peraltro che la genericità dell’indicazione della finalità sia un vizio autonomo e particolarmente grave, perché incide anche sulla possibilità per l’interessato di valutare la legittimità del trattamento e di esercitare consapevolmente i propri diritti. In termini più concreti: il cittadino che legga “area videosorvegliata per motivi di sicurezza” non è posto in condizione di sapere se le sue immagini vengano conservate per tre giorni o per sei mesi, se la sua targa venga letta e confrontata con banche dati, se le riprese vengano comunicate ad altri soggetti.

La soluzione, già indicata dalle Linee guida EDPB 3/2019, è il modello a due livelli di cui si è detto. Si suggerisce, per il primo livello, un cartello che indichi con chiarezza il titolare, le finalità effettive espresse in termini comprensibili, il riferimento al responsabile della protezione dei dati e le coordinate per accedere all’informativa estesa; per il secondo livello, un’informativa completa pubblicata sul sito istituzionale in sezione stabile e facilmente rintracciabile, eventualmente richiamata da un codice a barre bidimensionale apposto sul cartello stesso. Si osserva, incidentalmente, che il ricorso al solo codice bidimensionale presenta limiti di accessibilità per fasce di popolazione non dotate di dispositivi idonei o non avvezze al loro utilizzo: si ritiene pertanto preferibile affiancarvi sempre un riferimento testuale, quale l’indirizzo della pagina web e l’indicazione di un ufficio presso cui l’informativa è consultabile in forma cartacea.

La valutazione d’impatto insufficiente

Il quinto profilo attiene alla DPIA, giudicata insufficiente dall’Autorità.

L’articolo 35, paragrafo 1, del Regolamento impone la valutazione d’impatto quando un tipo di trattamento, considerati natura, oggetto, contesto e finalità, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche. Il paragrafo 3, lettera c), menziona espressamente, fra i casi in cui la valutazione è richiesta, “la sorveglianza sistematica su larga scala di una zona accessibile al pubblico”. La videosorveglianza urbana rientra pacificamente in tale ipotesi, salvo valutare caso per caso il requisito della larga scala — che tuttavia, nell’interpretazione corrente, non si misura solo in termini di numero assoluto di interessati ma anche in relazione all’estensione territoriale e alla durata del monitoraggio.

Il contenuto minimo è indicato dal paragrafo 7: una descrizione sistematica dei trattamenti previsti e delle finalità, compreso ove applicabile l’interesse legittimo perseguito; una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità; una valutazione dei rischi per i diritti e le libertà degli interessati; le misure previste per affrontare i rischi, incluse garanzie, misure di sicurezza e meccanismi per garantire la protezione dei dati e dimostrare la conformità.

Nella prassi, si osserva una tendenza diffusa a trattare la DPIA come un adempimento documentale da assolvere mediante compilazione di modelli preconfezionati, con esiti sostanzialmente predeterminati e rischio residuo sistematicamente qualificato come accettabile. Si ritiene che tale approccio snaturi la funzione dell’istituto. La valutazione d’impatto è, nella logica del Regolamento, lo strumento attraverso cui il titolare dimostra di aver effettivamente ponderato le alternative e di aver scelto la configurazione meno invasiva fra quelle idonee. Il cuore dell’esercizio non è la tabella dei rischi, ma la sezione sulla necessità e proporzionalità: è lì che si deve dare conto, ad esempio, del perché la telecamera sia stata orientata in quel modo, del perché il periodo di conservazione sia stato fissato in quel numero di giorni, del perché non siano state ritenute sufficienti misure alternative quali l’illuminazione pubblica, la segnaletica dissuasiva o il presidio periodico.

Nel caso di specie, se la DPIA fosse stata condotta secondo tale metodo, il tema dell’inquadratura dell’abitazione sarebbe con ogni probabilità emerso in sede di analisi, e il mascheramento sarebbe stato adottato ab origine. Appare chiaro allo scrivente che vi sia un nesso diretto fra l’insufficienza della valutazione d’impatto e tutte le altre violazioni accertate: la DPIA mal condotta non è una violazione formale aggiuntiva, è la causa prossima delle violazioni sostanziali.

Profili critici e questioni aperte

Alcune considerazioni critiche si impongono, formulate in termini dubitativi come la materia richiede.

Una prima questione riguarda la sostenibilità degli obblighi per gli enti di ridotte dimensioni. Il Regolamento adotta un approccio basato sul rischio e non sulla dimensione del titolare, e ciò risponde a una logica condivisibile: il cittadino di un comune di ottocento abitanti non merita una tutela inferiore a quella del residente in una metropoli, anzi, la minore dimensione della comunità accresce la riconoscibilità e dunque l’impatto della sorveglianza. E tuttavia si osserva che la capacità amministrativa dei piccoli comuni è oggettivamente limitata, che il responsabile della protezione dei dati è spesso condiviso fra più enti con monte ore ridotto, che le competenze tecniche sulla configurazione degli apparati risiedono interamente presso il fornitore. Si ritiene che un intervento di soft law — modelli di DPIA settoriale, schemi di informativa, liste di controllo sulla configurazione degli impianti, elaborati dall’Autorità o da ANCI in raccordo con essa — produrrebbe effetti di conformità superiori a quelli ottenibili per via sanzionatoria.

Una seconda questione attiene al ruolo del fornitore. Nella gran parte dei casi l’ente acquista un impianto “chiavi in mano” e il posizionamento fisico delle telecamere, la determinazione degli angoli di ripresa, la configurazione dei parametri di conservazione sono operati dall’installatore. Si pone allora il problema della qualificazione giuridica di tale soggetto: responsabile del trattamento ai sensi dell’articolo 28 del Regolamento, ove effettui manutenzione con accesso alle immagini, oppure mero fornitore di beni, ove la sua attività si esaurisca nella consegna e installazione. La distinzione è rilevante, ma non sposta la responsabilità del titolare, che resta integra ai sensi dell’articolo 24. Si suggerisce nondimeno di tradurre le prescrizioni di protezione dei dati in requisiti contrattuali e capitolari vincolanti, con previsione di verifiche di conformità in sede di collaudo: la documentazione fotografica dei campi visivi effettivi, allegata al verbale di collaudo, costituisce a parere di chi scrive uno degli strumenti probatori più efficaci e meno costosi.

Una terza questione concerne i sistemi di lettura delle targhe. La fonte riferisce che fra le funzioni dell’impianto comunale vi era anche tale lettura. Si osserva che il riconoscimento automatico delle targhe presenta un grado di invasività significativamente superiore alla videosorveglianza ordinaria, perché produce dati strutturati, facilmente ricercabili e incrociabili, idonei a ricostruire gli spostamenti di un veicolo e, indirettamente, del suo utilizzatore abituale. Si ritiene che tali sistemi richiedano una base giuridica specifica e una valutazione d’impatto autonoma, non assorbibile in quella generale dell’impianto.

Una quarta questione, di taglio più generale, riguarda l’efficacia deterrente di sanzioni di importo contenuto irrogate a enti pubblici. L’importo di quattromila euro grava, in definitiva, sulla finanza dell’ente e quindi sulla collettività amministrata. Si ritiene che l’effetto conformativo del provvedimento risieda assai più nelle misure correttive ordinate — che impongono un impegno organizzativo reale e verificabile — che nella sanzione pecuniaria. Il che suggerisce, forse, una riflessione sull’opportunità di valorizzare ulteriormente, nei confronti dei soggetti pubblici, lo strumento dell’ingiunzione corredata da obblighi di rendicontazione, piuttosto che quello afflittivo in senso stretto.

Una quinta e ultima questione riguarda la dimensione temporale della conformità. Impianti installati nel 2011-2012 rispondevano a un quadro normativo diverso, segnato dal provvedimento generale del Garante dell’8 aprile 2010 e dal Codice nella versione anteriore alla novella del 2018. Si pone allora il problema di come gestire l’adeguamento del patrimonio infrastrutturale preesistente. Si ritiene che il Regolamento non consenta alcuna forma di grandfathering: l’obbligo di conformità è attuale e riferito al trattamento in corso, non alla data di installazione dell’apparato. In termini più pragmatici, non esiste un diritto quesito alla configurazione originaria.

Adempimenti per DPO e organizzazioni

Dalla vicenda si traggono indicazioni operative che eccedono ampiamente il perimetro degli enti locali e interessano ogni titolare che gestisca impianti video, pubblico o privato che sia.

Il primo adempimento è la ricognizione censuaria dell’intero parco installato. Si tratta di un’attività apparentemente banale e invece spesso omessa: occorre un inventario che, per ciascuna telecamera, registri l’identificativo univoco, l’ubicazione fisica, la data di installazione, il modello e le caratteristiche tecniche rilevanti — risoluzione, presenza di zoom motorizzato, capacità di brandeggio, funzioni di analisi video —, la finalità cui è destinata, il campo visivo effettivo. Si ritiene che l’esperienza di audit mostri con regolarità una divergenza fra il censimento documentale e la realtà di campo: telecamere installate e mai registrate, apparati dismessi ma ancora presenti negli elenchi, dispositivi riorientati nel tempo senza aggiornamento della documentazione. Per questa ragione la ricognizione deve essere condotta sul posto e non a tavolino.

Ne discende, come corollario immediato, la verifica del campo visivo reale di ciascun apparato. L’unica metodologia affidabile consiste nell’acquisire, dal sistema di gestione video, uno screenshot della ripresa effettiva di ogni telecamera, nelle diverse posizioni assumibili ove si tratti di apparati brandeggiabili, e nell’archiviare tali immagini come allegato documentale datato. Si suggerisce di ripetere tale verifica con cadenza periodica, perché gli angoli di ripresa si modificano nel tempo per effetto di agenti atmosferici, interventi manutentivi, urti accidentali. Per gli apparati dotati di brandeggio e zoom la questione si complica, poiché il campo visivo è variabile per definizione: in tali casi la misura appropriata è la limitazione per configurazione dei limiti di escursione e dei livelli di ingrandimento, con mascheramento dinamico delle aree escluse.

Segue la ricostruzione analitica della base giuridica per singola finalità. L’esercizio richiede di abbandonare la logica dell’impianto unitario e di ragionare per flussi: per ciascuna finalità si individua la norma attributiva del compito o, per i titolari privati, la base di legittimo interesse adeguatamente documentata nel relativo bilanciamento; si verifica la necessità del mezzo video; si determinano conseguentemente il tempo di conservazione, i soggetti autorizzati e le condizioni di accesso. Dove le finalità divergano, si procede alla segmentazione tecnica e autorizzativa dei flussi, perché l’accorpamento indiscriminato produce un livellamento verso l’alto dei parametri di invasività.

Parallelamente va affrontata la configurazione dei mascheramenti come misura di default e non come rimedio. Ogni porzione di campo visivo che ricada su proprietà di terzi, su aperture abitative, su spazi non pertinenti alla finalità dichiarata va oscurata in configurazione, con documentazione della configurazione stessa e verifica periodica della sua persistenza — poiché un aggiornamento di firmware o una sostituzione di apparato possono azzerare le impostazioni. Si suggerisce di prevedere espressamente nelle procedure di manutenzione l’obbligo di ripristino e verifica dei mascheramenti dopo ogni intervento tecnico, con registrazione dell’esito.

Sul versante documentale, occorre procedere alla redazione o revisione sostanziale della valutazione d’impatto, concentrando lo sforzo analitico sulla sezione dedicata a necessità e proporzionalità e non sulla matrice dei rischi. Si ritiene che la DPIA debba dare conto, con riferimento a ciascuna telecamera o a ciascun gruppo omogeneo di telecamere, delle alternative considerate e delle ragioni della scelta, nonché delle misure specificamente adottate per contenere l’impatto. La consultazione del responsabile della protezione dei dati, prescritta dall’articolo 35, paragrafo 2, deve risultare documentata e il suo parere va conservato, anche quando il titolare se ne discosti: in tale ultimo caso si suggerisce di motivare per iscritto lo scostamento, elemento che rileva ai fini della conformità documentabile in sede di verifica.

Quanto alla trasparenza, va impostato il modello informativo a due livelli, verificando sul campo che ogni area sorvegliata sia effettivamente coperta da cartellonistica collocata prima dell’ingresso nel raggio di ripresa, leggibile nelle condizioni di luce ordinarie e in uno stato di conservazione adeguato. L’informativa estesa deve essere pubblicata in sezione stabile del sito e deve corrispondere — questa è la verifica di coerenza spesso trascurata — a quanto rappresentato nel registro delle attività di trattamento e nella valutazione d’impatto. La divergenza fra questi tre documenti è, nell’esperienza di audit, uno dei reperti più frequenti e più facilmente rilevabili da un’autorità di controllo.

Va poi curata la disciplina dell’accesso alle immagini, mediante designazione formale degli autorizzati ai sensi dell’articolo 29 del Regolamento e dell’articolo 2-quaterdecies del Codice, istruzioni scritte, credenziali individuali e non condivise, registrazione degli accessi e delle estrazioni. Si suggerisce di prevedere una procedura formalizzata per la gestione delle richieste di accesso provenienti dall’autorità giudiziaria o dalle forze di polizia, con registro delle consegne e indicazione della norma invocata, poiché tali richieste costituiscono il momento in cui più frequentemente si producono comunicazioni non tracciate.

Occorre inoltre presidiare la gestione dei diritti degli interessati, predisponendo una procedura che consenta di evadere nei termini dell’articolo 12, paragrafo 3, le richieste di accesso alle immagini, tenendo conto della necessità di tutelare i diritti dei terzi eventualmente ripresi — il che impone capacità tecniche di oscuramento selettivo in fase di estrazione — e della brevità dei tempi di conservazione, che rende opportuna una procedura di congelamento immediato del materiale all’atto della ricezione dell’istanza.

Sul piano contrattuale, si suggerisce di tradurre tutte le prescrizioni in requisiti capitolari e contrattuali verso i fornitori, con clausole che impongano la configurazione conforme, il mantenimento dei mascheramenti dopo gli interventi, la non modificabilità degli angoli di ripresa senza autorizzazione scritta del titolare, e con previsione di un collaudo documentato sotto il profilo della protezione dei dati. Dove il fornitore acceda alle immagini per manutenzione, la nomina a responsabile ai sensi dell’articolo 28 è dovuta, con il corredo di istruzioni, misure di sicurezza e disciplina dei subresponsabili.

Infine, e con riferimento specifico alla funzione del responsabile della protezione dei dati, si suggerisce di inserire la videosorveglianza nel piano annuale di verifica con periodicità almeno annuale e con metodologia di riscontro sul campo, non limitata all’esame documentale. L’esperienza applicativa mostra che la conformità degli impianti video è intrinsecamente deperibile: gli angoli si spostano, le configurazioni si perdono, i cartelli si deteriorano, le telecamere si aggiungono. Un presidio solo documentale non intercetta nessuno di questi fenomeni.

Conclusioni

Il provvedimento n. 636 del 23 settembre 2026 non introduce principi nuovi. Il suo valore risiede altrove: nella ricostruzione, a partire da un reclamo individuale su una singola telecamera, di un quadro di non conformità sistemica, e nell’affermazione netta che l’adozione tardiva di una misura tecnica — pur astrattamente idonea — non sana la violazione dell’obbligo di protezione dei dati fin dalla progettazione.

Restano aperte alcune questioni che meriteranno attenzione nelle prossime pronunce. La prima riguarda il regime applicabile agli impianti comunali a destinazione mista, laddove le medesime riprese servano tanto finalità amministrative quanto finalità di prevenzione e accertamento dei reati, con conseguente sovrapposizione fra Regolamento (UE) 2016/679 e decreto legislativo 51/2018: si ritiene che una presa di posizione organica dell’Autorità su questo snodo sarebbe di notevole utilità per gli operatori.

La seconda concerne i sistemi di lettura automatica delle targhe, la cui diffusione nei contesti urbani appare crescente e la cui disciplina specifica non risulta, allo stato, oggetto di linee guida dedicate aggiornate al quadro vigente. Il tema si lega, prospetticamente, all’applicazione del Regolamento (UE) 2024/1689 sull’intelligenza artificiale, nella misura in cui le funzioni di analisi video evolvano verso il riconoscimento di comportamenti, la classificazione di soggetti o l’identificazione biometrica, con l’attivazione dei regimi di divieto o di alto rischio ivi previsti [Nota redazionale: verificare, alla data di pubblicazione, lo stato di applicazione scaglionata delle disposizioni del Regolamento (UE) 2024/1689 richiamate.]. Si osserva che molti impianti di nuova generazione includono già funzioni di analisi che potrebbero ricadere in tale perimetro, spesso senza che il titolare ne abbia piena consapevolezza.

La terza questione attiene alla capacità amministrativa. Si ritiene che il tema della conformità dei piccoli enti non si risolva sul piano sanzionatorio e che un investimento in strumenti di supporto standardizzati produrrebbe risultati superiori, specie se accompagnato da un rafforzamento effettivo della funzione del responsabile della protezione dei dati nelle gestioni associate.

Per quanto di stretto interesse in questa sede, la lezione metodologica è che la conformità di un impianto di videosorveglianza non è uno stato documentale ma una condizione tecnica verificabile sul campo, e che la distanza fra i due piani — fra ciò che è scritto nella DPIA e ciò che la telecamera effettivamente inquadra — è esattamente lo spazio in cui si collocano le violazioni accertate.

Riferimenti normativi

• Regolamento (UE) 2016/679 (GDPR)
• Regolamento (UE) 2024/1689 (AI Act)
• Direttiva (UE) 2016/680
• Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU)
• Costituzione della Repubblica italiana
• decreto legislativo 196/2003
• decreto legislativo 101/2018
• decreto legislativo 51/2018
• decreto-legge 14/2017, convertito con modificazioni dalla legge 48/2017
• Garante per la protezione dei dati personali, provvedimento n. 636 del 23 settembre 2026
• Garante per la protezione dei dati personali, provvedimento generale in materia di videosorveglianza dell’8 aprile 2010
• European Data Protection Board, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video