Una telecamera installata «per sicurezza» sembra sempre una scelta prudente. Ma se inquadra la strada, i passanti o il negozio di fronte, e magari registra anche l’audio, quella prudenza può trasformarsi in un trattamento illecito di dati personali. Lo ricorda il Garante per la protezione dei dati personali: la sicurezza giustifica l’installazione della telecamera, non un utilizzo indiscriminato di tutto ciò che essa è tecnicamente in grado di riprendere.
A camera installed «for security» always feels like a prudent choice. But if it frames the street, passers-by or the shop across the road, and perhaps records audio too, that prudence can turn into unlawful processing of personal data. The Italian Data Protection Authority puts it plainly: security justifies installing the camera, not the indiscriminate use of everything it is technically able to capture.
Il problema: proteggere l’attività senza sorvegliare gli altri
The problem: protecting the business without policing everyone else
È una situazione frequente per chi gestisce un negozio, uno studio professionale, un magazzino o un capannone. Dopo un furto, un atto vandalico o un tentativo di effrazione, si decide di installare telecamere esterne per proteggere persone e beni. Il problema nasce quando, nel tentativo di «coprire tutto», l’obiettivo finisce per riprendere anche il marciapiede, la carreggiata, gli ingressi di edifici vicini o il continuo passaggio di persone estranee all’attività. Molti impianti consentono inoltre la registrazione dell’audio, oppure vengono installati senza alcuna informativa visibile.
It is a common situation for anyone running a shop, a professional office, a warehouse or an industrial unit. After a theft, an act of vandalism or an attempted break-in, external cameras are installed to protect people and property. The problem arises when, in an effort to «cover everything», the lens ends up filming the pavement, the roadway, the doorways of neighbouring buildings or the constant flow of people who have nothing to do with the business. Many systems also allow audio recording, or are installed without any visible notice.
È diffusa la convinzione che, trattandosi della propria attività o della propria proprietà, sia possibile riprendere liberamente tutto ciò che rientra nell’inquadratura. Non è così. Anche la semplice acquisizione di immagini mediante un sistema di videosorveglianza costituisce trattamento di dati personali ai sensi del GDPR e deve rispettarne integralmente i principi.
There is a widespread belief that, since it is one’s own business or property, one may freely film whatever falls within the frame. That is not the case. Even the mere capture of images through a video surveillance system amounts to processing of personal data under the GDPR and must fully comply with its principles.
Il principio: conta la proporzione, non la potenza della telecamera
The principle: what counts is proportion, not the power of the camera
Con il provvedimento dell’11 giugno 2026 (Registro n. 429/2026) il Garante ribadisce un principio ormai consolidato. La tutela del patrimonio aziendale e della sicurezza delle persone costituisce certamente una finalità legittima, ma non autorizza a estendere la videosorveglianza ad aree pubbliche o a spazi appartenenti a terzi oltre quanto sia strettamente necessario e proporzionato rispetto allo scopo perseguito. L’impianto deve quindi essere progettato secondo il principio di minimizzazione dei dati: le riprese vanno limitate agli spazi di propria pertinenza; le aree pubbliche vanno escluse o ridotte allo stretto indispensabile; ove possibile, vanno usate mascherature digitali per oscurare le zone non rilevanti.
By decision of 11 June 2026 (Register no. 429/2026) the Authority restates a now settled principle. Protecting company assets and people’s safety is certainly a legitimate purpose, but it does not authorise extending surveillance to public areas or to spaces belonging to third parties beyond what is strictly necessary and proportionate to the aim pursued. The system must therefore be designed according to the data minimisation principle: filming must be limited to one’s own appurtenant spaces; public areas must be excluded or reduced to the bare minimum; where possible, digital masking must be used to obscure irrelevant zones.
La circostanza che una telecamera sia tecnicamente capace di riprendere un’ampia porzione di territorio non significa che sia giuridicamente consentito utilizzarla in quel modo. Particolarmente rigorosa è poi la disciplina relativa alla registrazione dell’audio: la captazione delle conversazioni costituisce un trattamento assai più invasivo della semplice ripresa video e, salvo esigenze eccezionali adeguatamente giustificate, risulta normalmente incompatibile con il principio di minimizzazione previsto dal GDPR. Ugualmente importante è il rispetto dell’obbligo di informazione: chiunque possa entrare nell’area videosorvegliata deve essere informato preventivamente, mediante un cartello chiaramente visibile prima di accedere al campo di ripresa, cui deve affiancarsi l’informativa completa prevista dall’art. 13 del GDPR.
The fact that a camera is technically capable of filming a large stretch of territory does not mean it is legally permitted to use it that way. Especially strict are the rules on audio recording: capturing conversations is a far more intrusive form of processing than mere video, and, save for duly justified exceptional needs, is normally incompatible with the GDPR’s minimisation principle. Equally important is compliance with the duty to inform: anyone who may enter the monitored area must be informed in advance, through a clearly visible sign before entering the field of view, together with the full notice required by art. 13 GDPR.
L’aspetto più insidioso: adeguarsi dopo il controllo non elimina la violazione
The most insidious point: adapting after the inspection does not erase the breach
Il provvedimento del Garante contiene un passaggio particolarmente significativo. Nel caso esaminato, il titolare dell’attività aveva installato telecamere che riprendevano prevalentemente una porzione di area pubblica; il sistema era inoltre idoneo a registrare anche l’audio e mancava un’idonea informativa. Successivamente agli accertamenti, il titolare aveva corretto l’impianto: limitando l’angolo di ripresa, disattivando definitivamente l’audio e installando la prescritta cartellonistica informativa.
The Authority’s decision contains a particularly significant passage. In the case examined, the operator had installed cameras that mainly filmed a portion of public area; the system was also capable of recording audio and lacked an adequate notice. Following the inspection, the operator corrected the system: narrowing the field of view, permanently disabling the audio and installing the required warning signs.
Tali interventi, pur valutati favorevolmente dal Garante, non hanno eliminato l’illiceità del trattamento già effettuato. L’Autorità ha ritenuto che la violazione fosse già stata consumata e ha comunque applicato una sanzione amministrativa, sebbene tenendo conto, nella sua quantificazione, dell’assenza di precedenti e della successiva collaborazione del titolare. Il messaggio è chiaro: la conformità dell’impianto deve esistere fin dal momento dell’installazione. Non è sufficiente intervenire soltanto dopo un controllo o dopo una segnalazione, perché le immagini raccolte fino a quel momento costituiscono già un trattamento eventualmente illecito.
Those measures, though viewed favourably by the Authority, did not erase the unlawfulness of the processing already carried out. The Authority held that the breach had already been committed and imposed an administrative fine in any event, while taking into account, in setting the amount, the absence of prior breaches and the operator’s subsequent cooperation. The message is clear: the system’s compliance must exist from the moment of installation. Acting only after an inspection or a complaint is not enough, because the footage gathered up to that point already amounts to potentially unlawful processing.
Come impostare (o rivedere) l’impianto
How to set up (or review) the system
Per imprese, negozi e studi professionali conviene verificare che l’impianto rispetti alcune regole essenziali: (1) orientare le telecamere solo verso ingressi, aree di pertinenza, parcheggi privati e beni da proteggere, evitando che la ripresa riguardi prevalentemente la pubblica via o immobili di terzi; (2) usare, ove necessario, mascherature digitali per oscurare le aree che non devono essere riprese; (3) mantenere disattivata la registrazione audio, salvo casi eccezionali adeguatamente giustificati; (4) installare il cartello informativo prima dell’ingresso nell’area videosorvegliata e predisporre l’informativa completa prevista dal GDPR; (5) limitare il tempo di conservazione delle immagini e l’accesso alle registrazioni ai soli soggetti autorizzati; (6) documentare fin dalla progettazione le ragioni che giustificano il posizionamento di ciascuna telecamera, così da poter dimostrare il rispetto dei principi di necessità, proporzionalità e minimizzazione in caso di reclamo o ispezione.
For businesses, shops and professional offices it is worth checking that the system meets a few essential rules: (1) aim the cameras only at entrances, appurtenant areas, private car parks and the assets to be protected, avoiding footage that mainly covers the public road or third parties’ buildings; (2) use, where needed, digital masking to obscure areas that must not be filmed; (3) keep audio recording switched off, save for duly justified exceptional cases; (4) install the warning sign before entry into the monitored area and prepare the full notice required by the GDPR; (5) limit the retention period of footage and access to recordings to authorised persons only; (6) document from the design stage the reasons justifying the position of each camera, so as to be able to prove compliance with the principles of necessity, proportionality and minimisation in the event of a complaint or inspection.
Attenzione anche ai lavoratori
Watch out for employees, too
Quando le telecamere possono anche soltanto indirettamente consentire il controllo dell’attività dei dipendenti, oltre alla disciplina privacy trova applicazione anche l’art. 4 dello Statuto dei lavoratori, con i relativi presupposti di legittimità (accordo sindacale o autorizzazione dell’Ispettorato nazionale del lavoro, nei casi previsti dalla legge). La conformità al GDPR, da sola, non è quindi sufficiente.
Where the cameras may, even only indirectly, allow monitoring of employees’ activity, alongside data protection rules art. 4 of the Workers’ Statute also applies, with its conditions of legitimacy (a trade-union agreement or authorisation from the National Labour Inspectorate, in the cases provided by law). Compliance with the GDPR, on its own, is therefore not enough.
Riferimenti: Regolamento (UE) 2016/679 (GDPR), artt. 5, 6 e 13; Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video; Garante per la protezione dei dati personali, provvedimento dell’11 giugno 2026, Registro n. 429/2026 (doc. web n. 10269684); art. 4 dello Statuto dei lavoratori (l. 300/1970). Il presente contributo ha finalità esclusivamente informative e non sostituisce la consulenza legale riferita al caso concreto.
References: Regulation (EU) 2016/679 (GDPR), arts. 5, 6 and 13; EDPB Guidelines no. 3/2019 on processing of personal data through video devices; Italian Data Protection Authority, decision of 11 June 2026, Register no. 429/2026 (web doc. no. 10269684); art. 4 of the Workers’ Statute (Law 300/1970). This note is for information purposes only and does not replace legal advice on the specific case.