Videosorveglianza comunale e privacy: gli adempimenti dei Comuni

Cosa deve fare un Comune per installare le telecamere nel rispetto della privacy: la DPIA obbligatoria, la base giuridica (art. 6 GDPR), le finalità di sicurezza urbana e di polizia, l'informativa, la conservazione, le misure di sicurezza e le sanzioni.

In breve — Un Comune non può installare le telecamere “per la sicurezza” e basta: la videosorveglianza urbana tratta dati personali e va costruita su una serie di adempimenti privacy, a partire dalla valutazione d’impatto (DPIA), che va svolta prima ancora di montare la prima telecamera. Il Comune è titolare del trattamento e ne risponde in prima persona: deve svolgere la DPIA, individuare una base giuridica e finalità precise (sicurezza urbana, polizia stradale, tutela del patrimonio), limitare l’angolo di ripresa, informare i cittadini con cartelli e informativa, conservare le immagini per pochi giorni e proteggerle con misure adeguate. Chi salta questi passaggi espone l’ente a sanzioni fino a 20 milioni di euro e i dirigenti a responsabilità.

1. Le telecamere comunali trattano dati personali

Le città sono piene di telecamere. I Comuni sorvegliano strade, piazze, parcheggi, giardini e incroci, con impianti che riprendono di continuo ciò che accade negli spazi pubblici. Quelle riprese non sono semplici “immagini”: inquadrando il volto di una persona, la targa o il modello di un’auto, i movimenti di chi transita, sono a tutti gli effetti dati personali, perché permettono di identificare — direttamente o indirettamente — una persona.

Ne discende una conseguenza precisa: raccogliere, conservare e consultare quelle immagini è un trattamento di dati personali, soggetto al Regolamento (UE) 2016/679 (GDPR). E il Comune che gestisce l’impianto è il titolare del trattamento: è lui a determinare finalità e mezzi, ed è lui a risponderne, sotto il controllo del Garante. La videosorveglianza urbana, insomma, non è un semplice atto di gestione tecnica: è un’attività che va progettata, documentata e giustificata secondo le regole della protezione dei dati.

2. Cosa rischia il Comune

Conviene partire dalla posta in gioco, perché è alta. Gli errori sulla videosorveglianza non sono formalità: se un impianto è privo di base giuridica, di DPIA o di informativa, o se le immagini vengono usate oltre lo scopo dichiarato, il Garante può ordinare la modifica o lo spegnimento dell’impianto e irrogare sanzioni — che il GDPR fissa fino a 20 milioni di euro — oltre a esporre l’ente e i suoi dirigenti a responsabilità. Sul fronte opposto, ogni cittadino che si ritenga leso può presentare un reclamo al Garante e agire per il risarcimento del danno.

Le sanzioni, del resto, non sono uguali per tutti: il Garante le modula in base alla gravità della violazione. Un impianto completamente privo degli adempimenti — senza DPIA, senza una base giuridica, senza informativa — espone l’ente al rischio più alto, ben diverso da quello di una singola irregolarità formale. E il rischio cresce ulteriormente quando le telecamere sono dotate di funzioni di riconoscimento (per esempio il riconoscimento facciale o della targa): si tratta di trattamenti che incidono in modo molto più profondo sui diritti delle persone e che, per questo, sono soggetti a cautele e limiti ancora più stringenti. Vediamo allora gli adempimenti, nell’ordine in cui il Comune deve affrontarli.

3. Il primo adempimento: la DPIA

Prima ancora di scegliere dove mettere le telecamere, il Comune deve svolgere la valutazione d’impatto sulla protezione dei dati (DPIA), prevista dall’art. 35 del GDPR. Il Regolamento la impone quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, e indica espressamente, tra questi, «la sorveglianza sistematica su larga scala di una zona accessibile al pubblico»: è la definizione stessa della videosorveglianza urbana. Per un Comune, quindi, la DPIA è di fatto obbligatoria — un obbligo ribadito anche dal provvedimento del Garante n. 467/2018 e, per i trattamenti di polizia, dal d.lgs. 51/2018 (la cosiddetta Direttiva Polizia).

La DPIA va svolta prima di installare anche una sola telecamera, e va aggiornata nel tempo: è un processo continuo, da rivedere ogni volta che si aggiungono videocamere o si adottano tecnologie più evolute (per esempio sistemi “intelligenti”). Vi partecipano il titolare, il Responsabile della protezione dei dati (DPO), i responsabili del trattamento e gli amministratori di sistema.

Un impianto messo in funzione senza una DPIA correttamente svolta è esposto a sanzione, con responsabilità dell’ente e dei suoi dirigenti.

4. La base giuridica del trattamento

Un ente pubblico non può trattare dati appellandosi genericamente alla “sicurezza”: gli serve una base giuridica tra quelle previste dall’art. 6 del GDPR. Poiché la videosorveglianza urbana raccoglie dati personali comuni (non categorie particolari), le basi applicabili sono essenzialmente tre:

In alcune ipotesi circoscritte — tipicamente le telecamere all’interno di locali comunali come farmacia, biblioteca o comando di polizia locale — la legittimazione può derivare anche da un accordo sindacale, ai sensi dell’art. 4 dello Statuto dei lavoratori.

Individuare la base giuridica non è un esercizio astratto: ogni Comune è chiamato a declinarla in concreto, ancorandola agli interessi effettivi del proprio territorio — le zone più esposte alla microcriminalità, i beni pubblici da proteggere, i flussi veicolari e pedonali da presidiare. È questa aderenza al contesto locale che rende il trattamento realmente necessario e proporzionato, e non un richiamo di stile.

5. Le finalità: sicurezza urbana e funzioni di polizia

Ogni telecamera deve essere associata a una finalità precisa: non sono ammesse finalità generiche — le formule del tipo “per la vostra sicurezza” — né finalità proprie di altri soggetti, come l’Autorità giudiziaria o le Forze dell’ordine. Le telecamere comunali, in concreto, perseguono queste finalità:

• compiti di polizia stradale, a supporto dell’accertamento e della prevenzione delle violazioni al Codice della Strada (d.lgs. 285/1992), affidati alla polizia locale;
• compiti di polizia giudiziaria, con la raccolta di immagini utili all’accertamento di reati, su richiesta dell’autorità competente;
• compiti ausiliari di pubblica sicurezza, a sostegno dell’ordine pubblico (art. 3 della legge 65/1986);
• tutela della sicurezza urbana, per la vivibilità e la sicurezza degli spazi pubblici;
• tutela del patrimonio comunale, per prevenire e accertare atti vandalici e danneggiamenti.

Un caso a parte è quello in cui il Comune agisce come autorità di contrasto — cioè per la prevenzione e il perseguimento di reati: in quel caso il trattamento non è più retto dal GDPR, ma dalla Direttiva 2016/680 e dal d.lgs. 51/2018. Nella pratica un impianto comunale ricade spesso in entrambi gli ambiti, e va inquadrato con attenzione.

C’è un corollario che vale per tutte le finalità appena elencate: le immagini raccolte per uno scopo non possono essere riutilizzate per finalità diverse da quelle dichiarate. È il principio di limitazione della finalità (art. 5 del GDPR), e confonderlo è uno degli errori che il Garante sanziona più spesso — al punto che vale la pena soffermarcisi.

6. L’ubicazione delle telecamere

Dove si mettono le telecamere è tutt’altro che un dettaglio tecnico: è qui che si misura la proporzionalità del trattamento. La regola è installare e orientare solo lo stretto necessario, valutando il numero delle videocamere, la loro ubicazione, l’angolo di ripresa e le aree inquadrate. Le telecamere vanno collocate dove servono davvero — i luoghi con significativo flusso veicolare o pedonale, le aree soggette a microcriminalità, le zone periferiche o isolate, gli spazi pubblici di rilievo per la comunità — e non per mere finalità di “prestigio” o di apparenza.

Ci sono poi limiti invalicabili: le telecamere non devono inquadrare abitazioni private né spazi privi di un diretto interesse pubblico. Quando, per ragioni tecniche di ripresa, l’angolo visivo comprende inevitabilmente aree private, il Comune deve adottare misure di mascheramento — il cosiddetto privacy masking, l’oscuramento digitale delle porzioni eccedenti — così che i dati raccolti restino adeguati, pertinenti e limitati a quanto necessario.

7. I cartelli e la segnalazione

Una volta posizionate, le telecamere devono essere adeguatamente segnalate: la trasparenza è parte integrante della liceità del trattamento. Il cittadino ha diritto di sapere, prima di entrare nell’area ripresa, di essere videosorvegliato, da chi e per quale finalità. Per questo la segnalazione va collocata prima del campo di ripresa e non può ridursi a un adempimento di facciata: un cartello assente, generico o mal posizionato è già di per sé una violazione.

Sui contenuti esatti del cartello e dell’informativa completa — cosa devono indicare e come vanno strutturati su due livelli — abbiamo una guida dedicata all’informativa per la videosorveglianza.

8. Le misure di sicurezza e i tempi di conservazione

Le immagini vanno protette con misure tecniche e organizzative adeguate. Non è un dettaglio: il Garante ha sanzionato un Comune che impiegava videocamere dotate di schede SD non adeguatamente protette — una soluzione ritenuta non idonea a garantire la sicurezza dei dati registrati. Rientrano tra le misure la registrazione degli accessi degli operatori, la protezione dei supporti e la limitazione di chi può visionare le immagini.

Quanto ai tempi di conservazione, vale il principio di minimizzazione: per la sicurezza urbana l’art. 6, comma 8, del d.l. 11/2009 fissa il limite a sette giorni, salvo speciali esigenze motivate; superato il termine, le immagini vanno cancellate o sovrascritte. Sul fondamento normativo e sui diversi termini abbiamo una tabella di dettaglio nella guida sull’accesso alle immagini delle telecamere comunali.

9. Gli altri adempimenti: regolamento, registro, data breach

Restano gli adempimenti che accompagnano la vita dell’impianto:

• Il regolamento comunale. Il Comune deve dotarsi di un regolamento che definisca in modo chiaro le modalità di utilizzo del sistema: chi può accedere alle immagini, in quali casi e con quali tutele. È lo strumento che disciplina la governance interna dell’impianto e previene gli usi impropri.
• Registro dei trattamenti e DPO. Il trattamento va iscritto nel registro delle attività (art. 30 GDPR) e presuppone la nomina del Responsabile della protezione dei dati (DPO), obbligatorio per le pubbliche amministrazioni.
• Comunicazione delle immagini. Le immagini si comunicano a terzi solo per scopi compatibili con quelli della raccolta; alle forze di polizia e alle autorità di contrasto vanno consegnate in forza di un obbligo di legge (il loro trattamento segue la Direttiva 2016/680).
• Violazione dei dati (data breach). In caso di violazione — accesso non autorizzato, perdita o divulgazione delle immagini — il Comune deve notificarla al Garante senza ingiustificato ritardo, di norma entro 72 ore, secondo le regole della comunicazione di una violazione dei dati.
• L’accesso del cittadino. Il cittadino ha diritto di accedere alle immagini che lo riguardano ai sensi della legge 241/1990 — un diritto che il regolamento comunale non può escludere, ma solo disciplinare nelle modalità.

10. Come ti assiste lo Studio Legale Calzoni

La videosorveglianza comunale è un terreno in cui l’ente rischia su due fronti: la legittimità dell’impianto e la gestione delle richieste dei cittadini. Lo Studio Legale Calzoni, specializzato in diritto amministrativo e in materia di privacy e protezione dei dati, assiste Comuni ed enti pubblici in tutti gli adempimenti — dalla redazione della DPIA all’individuazione della base giuridica e delle finalità, dall’informativa alla conservazione e alle misure di sicurezza — e nella gestione dei rapporti con il Garante; e affianca i cittadini che intendono accedere alle immagini o far valere una violazione della propria privacy. In entrambi i casi l’obiettivo è lo stesso: che la sicurezza urbana non diventi un’occasione di illegittimità.

Domande frequenti

Quali adempimenti privacy deve rispettare un Comune per la videosorveglianza? Svolgere la DPIA prima di installare, individuare una base giuridica (art. 6 GDPR) e finalità precise, predisporre informativa e cartelli, limitare l’angolo di ripresa, conservare le immagini per non più di sette giorni, adottare misure di sicurezza, tenere il registro dei trattamenti e nominare il DPO.

La DPIA è obbligatoria per la videosorveglianza comunale? Sì. La videosorveglianza urbana è un trattamento ad alto rischio — sorveglianza sistematica su larga scala di una zona accessibile al pubblico — e la valutazione d’impatto (art. 35 GDPR) va svolta prima di installare l’impianto. Senza DPIA, l’impianto è esposto a sanzione.

Qual è la base giuridica della videosorveglianza comunale? Una delle basi dell’art. 6 del GDPR: l’obbligo legale (lett. c), il compito di interesse pubblico o l’esercizio di pubblici poteri (lett. e) o il legittimo interesse alla tutela del patrimonio (lett. f). La sicurezza urbana non è la base giuridica, ma la finalità del trattamento.

Per quanto tempo il Comune può conservare le immagini? Fino a sette giorni successivi alla rilevazione, per la finalità di sicurezza urbana (art. 6, comma 8, del d.l. 11/2009), salvo speciali esigenze motivate. Poi le immagini vanno cancellate.

Il Comune può usare le telecamere di sicurezza per fare le multe? No, non automaticamente: le immagini raccolte per la sicurezza urbana non possono essere riutilizzate per accertare violazioni stradali senza una specifica base normativa, per il principio di limitazione della finalità.

Cosa rischia il Comune che non rispetta la privacy nella videosorveglianza? Il Garante può ordinare la modifica o lo spegnimento dell’impianto e irrogare sanzioni fino a 20 milioni di euro, con responsabilità dell’ente e dei suoi dirigenti; i cittadini possono presentare reclamo e chiedere il risarcimento del danno.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.