Videosorveglianza e GDPR: perché un impianto “a norma” non basta

La maggior parte delle sanzioni del Garante sulla videosorveglianza non nasce da telecamere “illegali”, ma da scelte progettuali e documentali sbagliate. Un impianto tecnicamente perfetto può comunque non reggere a un controllo.

Cosa sanziona davvero il Garante?

Quasi mai le telecamere in sé. Nel nostro Osservatorio Sanzioni le violazioni ricorrenti sono altre: informativa assente o inadeguata, riprese che escono dai confini consentiti, uso delle immagini per controllare i lavoratori, conservazione oltre il necessario.

Sono errori di metodo, non di hardware. Il provvedimento non arriva perché l’impianto “funziona male”, ma perché nessuno ha definito, prima dell’installazione, chi tratta i dati, con quale base giuridica, per quanto tempo e con quali garanzie.

Cosa rende un impianto difendibile?

Non esiste una check-list universale, ma esistono criteri di validità che un impianto deve poter dimostrare:

• Informativa a due livelli: cartello sintetico sul posto e informativa estesa reperibile, coerenti tra loro.
• Coni di ripresa proporzionati: le telecamere inquadrano solo ciò che serve, senza invadere spazi di terzi o aree pubbliche.
• DPIA quando serve: per sistemi estesi, intelligenti o in contesti delicati, la valutazione d’impatto va fatta e documentata prima.
• Conservazione definita e automatica: un tempo di retention motivato, applicato dal sistema, non lasciato alla buona volontà.
• Autorizzazione INL prima dell’accensione, quando sono presenti lavoratori: l’ordine dei passaggi non è un dettaglio burocratico.

Perché il fai-da-te, qui, non regge

Il punto non è “saper montare una telecamera”. È saper rispondere, in modo documentato, alle domande che un’autorità pone dopo un esposto. Quando la risposta arriva a impianto già installato, spesso è troppo tardi: le immagini possono diventare inutilizzabili e la sanzione riguarda proprio la mancanza di quelle garanzie a monte.

È la ragione per cui, in FENIVA, la conformità entra nel progetto dall’inizio e la segue un Data Protection Auditor certificato interno all’azienda, non un consulente chiamato all’ultimo.