La telecamera del Comune che riprende casa tua: perché il Garante ha sanzionato l’ente

Con un provvedimento del 23 settembre 2026 il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato da un Comune attraverso il proprio sistema di videosorveglianza, ha irrogato una sanzione di quattromila euro e ha ingiunto all’ente cinque interventi correttivi. Il procedimento era nato dal reclamo di una cittadina, che lamentava che una telecamera installata sulla pubblica via riprendesse anche la facciata della sua abitazione.

La vicenda sembra minima: un angolo di ripresa troppo ampio in un Comune di poche centinaia di abitanti. Il motivo per cui merita attenzione è un altro: la telecamera puntata sulla casa è la parte più facile da risolvere, e infatti l’ente l’ha risolta in corso di istruttoria. Ciò che ha determinato la sanzione è che il Comune non è stato in grado di indicare, per ciascuna finalità perseguita, una base giuridica valida. È un problema che riguarda la quasi totalità degli impianti comunali installati nell’ultimo quindicennio.

Che cosa è successo

Il sistema era stato realizzato nei primi anni Dieci con un contributo regionale, poi ampliato due volte, con telecamere per la lettura delle targhe nei parcheggi e con il controllo di ulteriori tratti di viabilità. La telecamera contestata inquadrava un parcheggio comunale, l’incrocio antistante e un’area di conferimento rifiuti; nel suo campo visivo rientrava anche la facciata dell’abitazione della reclamante, con balconi e finestre.

Durante l’istruttoria il Comune ha attivato un mascheramento digitale permanente sulla porzione di immagine corrispondente all’abitazione, ha sostituito la cartellonistica e ha ripristinato il collegamento all’informativa pubblicata sul sito, che risultava non funzionante. Interventi tutti successivi al reclamo: l’Autorità ne ha tenuto conto come cooperazione, ma non per escludere la violazione.

Le funzioni dell’ente non sono una base giuridica

Il punto giuridico centrale è questo. Un soggetto pubblico può trattare dati personali, anche con dispositivi video, quando è necessario per adempiere un obbligo legale o per eseguire un compito di interesse pubblico. Ma la norma su cui quel trattamento si fonda deve avere una qualità sufficiente: deve disciplinare gli elementi essenziali del trattamento ed essere prevedibile per chi vi è sottoposto.

Il Comune aveva indicato come base giuridica le disposizioni del testo unico degli enti locali che attribuiscono ai Comuni le funzioni amministrative sul proprio territorio e che definiscono le competenze del Sindaco e della dirigenza. Il Garante osserva che quelle norme attribuiscono funzioni, ma non regolano in alcun modo l’impiego di dispositivi video e i trattamenti di dati che ne derivano. Attribuire una funzione non significa autorizzare qualunque strumento per esercitarla.

Stesso esito per la legge regionale e per la delibera che avevano finanziato l’impianto: disciplinano l’erogazione di contributi per progetti di sicurezza del territorio, non gli elementi essenziali del trattamento.

Il regolamento comunale non colma il vuoto

L’ente aveva invocato anche il proprio regolamento sulla videosorveglianza, qualificandolo come atto amministrativo generale. Il Garante risponde con un principio che conviene tenere a mente: un atto amministrativo generale può contenere la disciplina di dettaglio del trattamento, tenuto conto delle specificità organizzative dell’ente, ma non può introdurre trattamenti che le norme sovraordinate non prevedono. Non sono ammessi livelli differenziati di tutela su base territoriale o per singola amministrazione, tanto meno in materie — come la circolazione stradale e la tutela dell’ambiente — in cui la competenza legislativa è esclusiva dello Stato e il bilanciamento è già stato fatto a livello nazionale.

C’è poi un passaggio che vale la lettura per chi lavora con gli enti locali. Davanti alle contestazioni, il Comune ha spostato la propria tesi difensiva: prima aveva qualificato le finalità della telecamera come «esclusivamente amministrative», poi le ha ricondotte alla sicurezza integrata. Il Garante registra il cambio di posizione e lo tratta come conferma delle difficoltà dell’ente a individuare la base giuridica di ciascun trattamento. Sicurezza urbana, sicurezza integrata e finalità amministrative non sono sinonimi, e la scelta fra esse non si fa a posteriori.

La ripresa dell’abitazione: minimizzazione e protezione fin dalla progettazione

Sulla telecamera puntata verso la casa il Garante è netto. La ripresa di una privata abitazione non è necessaria per finalità amministrative né di sicurezza urbana, costituisce un’ingerenza sproporzionata nella vita privata e contrasta con la ragionevole aspettativa di riservatezza.

Le ragioni tecniche e logistiche addotte dall’ente — la telecamera doveva stare vicino al ripetitore, l’angolo serviva a coprire tutto il parcheggio — non sono state ritenute rilevanti. E qui sta l’argomento più istruttivo: il mascheramento digitale, attivato dopo il reclamo, era tecnicamente possibile fin dall’inizio. Proprio per questo l’intervento tardivo diventa la prova che la protezione dei dati fin dalla progettazione non era stata applicata.

Il Garante aggiunge un’osservazione che molti impianti comunali non hanno mai recepito: se la finalità è conoscere i volumi di traffico ed eventuali blocchi, si possono usare dispositivi che non trattano dati personali, con una risoluzione troppo bassa per riconoscere persone o leggere targhe. Se la finalità si può raggiungere senza dati personali, si deve.

Cartelli e informative: dove quasi tutti sbagliano

La parte sulla trasparenza è quella che chiunque può verificare domani mattina nel proprio Comune. I rilievi sono cinque, e sono tutti ordinari:

• i cartelli erano quattro per l’intero territorio sorvegliato, senza che fosse possibile stabilirne la data di installazione, e nel tempo erano stati rimossi per lavori;
• indicavano finalità generiche di «sicurezza» e rinviavano a una norma del Codice ormai abrogata;
• il cartello provvisorio, installato dopo l’avvio dell’istruttoria, elenca finalità eterogenee senza collegare ciascuna alla propria base giuridica, ingenerando la convinzione che qualunque condotta, anche solo amministrativamente rilevante, possa essere accertata con i filmati;
• indica un unico tempo di conservazione, sette giorni, per tutte le finalità: termine mutuato dalla disciplina della sicurezza urbana e applicato anche a trattamenti che hanno natura diversa;
• menziona il solo diritto di accesso e indica la PEC come unico canale per esercitarlo, il che costituisce una limitazione ingiustificata dei diritti.

L’informativa di secondo livello, pubblicata sul sito, era rimasta irraggiungibile per un collegamento non funzionante e, nelle versioni prodotte, richiamava diritti non esercitabili sui filmati, come rettifica e portabilità, e qualificava il Segretario comunale come responsabile del trattamento. Quando il primo livello è insufficiente, osserva il Garante, salta l’intero meccanismo dell’informativa stratificata.

Una valutazione d’impatto che non è una valutazione d’impatto

Il Comune aveva una DPIA: una riga dedicata alla videosorveglianza dentro un foglio di calcolo allegato a una delibera di giunta del 2018, che copriva tutti i trattamenti dell’ente. Il Garante la giudica inidonea perché priva di descrizione sistematica dei trattamenti, di valutazione della necessità e della proporzionalità e dell’indicazione delle misure previste per affrontare i rischi. La definisce sintomo e risultato di un approccio formale e non sostanziale.

È il rilievo che più spesso ricorre negli enti che hanno fatto la valutazione d’impatto «per adempiere»: il documento esiste, ma non contiene ciò che renderebbe la decisione dimostrabile. Ne avevamo scritto a proposito della videosorveglianza urbana e del vincolo di finalità.

Che cosa il Garante ha ordinato di fare

Oltre alla sanzione, l’ente deve fare cinque cose e documentarle all’Autorità entro trenta giorni:

• una ricognizione di tutte le telecamere presenti sul territorio;
• la definizione delle specifiche finalità amministrative perseguite, con una base giuridica idonea per ciascuna;
• la verifica che nessun angolo di ripresa includa abitazioni private o luoghi non necessari, se del caso con mascheramento;
• una valutazione d’impatto valida e completa;
• la riformulazione delle informative di primo e secondo livello.

È un elenco che vale come traccia di autovalutazione per qualunque amministrazione: se una sola di queste cinque voci oggi non è documentabile, la posizione dell’ente è quella descritta nel provvedimento.

E il cittadino che si trova la telecamera puntata in casa

Il percorso è quello seguito nel caso deciso: si chiede all’ente l’informativa e si presenta un reclamo al Garante. Non serve dimostrare un danno, e il reclamo si propone anche quando l’angolo di ripresa riguarda la facciata, i balconi o le finestre, non solo gli interni. La soluzione tecnica, come dimostra questa vicenda, spesso esiste e costa poco: è il mascheramento della porzione di immagine. È lo stesso schema che si ritrova quando il dato personale lo diffonde l’amministrazione, come nel caso dei nomi pubblicati nelle graduatorie online: il cittadino non deve provare un danno, deve indicare che quel trattamento non era necessario.

Una considerazione finale

La sanzione è contenuta — quattromila euro, con la possibilità di definire pagandone la metà — perché la violazione è stata ritenuta colposa, l’ente è piccolo e ha collaborato. Ma il costo vero per l’amministrazione non è la sanzione: sono le cinque ingiunzioni, che impongono in trenta giorni un lavoro che andava fatto quindici anni fa.

Ed è qui il punto che riguarda tutti gli altri Comuni: nessuno degli errori contestati è esotico. Impianti nati da un finanziamento e cresciuti per ampliamenti successivi, finalità elencate al plurale e mai distinte, un regolamento usato come se fosse una legge, cartelli posati una volta e mai più verificati, una valutazione d’impatto che vive in una riga di foglio elettronico. Chi amministra un impianto di videosorveglianza comunale può leggere questo provvedimento come la lista delle domande che gli verrebbero rivolte domani, se arrivasse un reclamo.

Il presente contributo ha finalità esclusivamente informativa, dà conto del quadro alla data di pubblicazione e non costituisce parere legale sul caso concreto. Il provvedimento richiamato è stato letto nel testo pubblicato dall’Autorità; l’ente destinatario non viene nominato per scelta redazionale.

Fonti: Garante per la protezione dei dati personali, provvedimento 23 settembre 2026, n. 636 (doc. web n. 10304881); regolamento (UE) 2016/679; d.lgs. 30 giugno 2003, n. 196; Comitato europeo per la protezione dei dati, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video; Garante, provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 (doc. web n. 1712680).