Dal Provvedimento n. 636 del 23 settembre 2026 alla linea ormai consolidata dell’Autorità su sicurezza urbana, finalità amministrative, lettura targhe, trasparenza e D.P.I.A.: cosa possono fare i Comuni, cosa devono rivedere e quali novità si affacciano con l’A.I. Act
Con il Provvedimento n. 636 del 23 settembre 2026 il Garante per la protezione dei dati personali ha sanzionato il Comune di Arvier (AO) per l’utilizzo del proprio impianto di videosorveglianza, chiudendo il cerchio di una serie di decisioni che, nell’ultimo anno, hanno ridisegnato il perimetro entro cui gli Enti Locali possono legittimamente impiegare le telecamere sul territorio[1].
Il messaggio di fondo è netto: non esiste una “videosorveglianza comunale” genericamente intesa, ma tanti trattamenti quante sono le finalità perseguite.
Il caso: una telecamera sul parcheggio e cinque violazioni
Il procedimento trae origine dal reclamo di una cittadina, la cui abitazione (facciata, balconi, finestre e portefinestre) rientrava nell’angolo di ripresa di una telecamera comunale posizionata per controllare un parcheggio pubblico, un incrocio e un’area di conferimento dei rifiuti. L’impianto (con cinque telecamere di lettura targhe nei parcheggi) era dichiaratamente utilizzato per una pluralità di finalità eterogenee: gestione della viabilità e della sosta, tutela del patrimonio comunale, tutela ambientale e protezione civile, oltre alla sicurezza urbana. Solo dopo l’avvio dell’istruttoria il Comune ha attivato un sistema di privacy masking digitale sulla porzione di immobile interessata, installato cartelli provvisori e ripristinato il collegamento, non funzionante, all’informativa di secondo livello.
All’esito dell’istruttoria il Garante ha accertato la violazione degli artt. 5 § 1 lett. a) e c), 6 § 1 lett. c) ed e) e §§ 2 e 3, 12 § 1, 13, 25 e 35 del Reg. (UE) n. 2016/679, anche “General Data Protection Regulation – G.D.P.R.”[2], nonché dell’art. 2-ter del D.lgs. n. 196/2003, cd. “Codice Privacy”[3], ingiungendo all’Ente, oltre al pagamento della sanzione, di: (i) effettuare una ricognizione di tutte le telecamere presenti sul territorio; (ii) definire le specifiche finalità amministrative perseguite, rinvenendo per ciascuna un’idonea base giuridica; (iii) correggere gli angoli di ripresa, escludendo abitazioni private e luoghi non pertinenti, anche con soluzioni di mascheramento od offuscamento; (iv) svolgere una D.P.I.A. valida e completa; (v) riformulare le informative di primo e secondo livello, dando riscontro documentato all’Autorità entro trenta giorni dalla notifica.
Finalità amministrative: T.U.E.L., Regolamento comunale e norme regionali non sono base giuridica
Il Garante ha escluso i requisiti di liceità del trattamento, nei termini di chiarezza, precisione e prevedibilità, possano essere soddisfatti dagli artt. 13, 50 e 107 del D.lgs. n. 267/2000, cd. “Testo Unico degli Enti Locali” o “T.U.E.L.”[4], che si limitano ad attribuire funzioni amministrative all’Ente e a disciplinare le competenze del Sindaco e della dirigenza, senza regolare in alcun modo l’impiego di dispositivi video; dalle leggi e delibere regionali di finanziamento (nel caso di specie l’art. 11-bis della L.R. Valle d’Aosta n. 11/2005 e la D.G.R. n. 707/2011), che disciplinano lo stanziamento di fondi per progetti di investimento in tecnologie per la sicurezza, ma non gli elementi essenziali del trattamento; dal Regolamento comunale per la disciplina della videosorveglianza, il quale, anche ammessane la natura di atto amministrativo generale, può contenere la disciplina di dettaglio, ma non introdurre trattamenti non previsti da norme sovraordinate. Non sono infatti consentiti «livelli differenziati di tutela della protezione dei dati personali, né su base territoriale né a livello di singola amministrazione», specie in materie riservate alla potestà legislativa esclusiva dello Stato, come la circolazione stradale (art. 117 c. 2 lett. h) Cost.) e la tutela dell’ambiente (art. 117 c. 2 lett. s) Cost.)[5].
Neppure la nozione di “sicurezza integrata” di cui agli artt. 1 e 2 del D.L. n. 14/2017[6] può costituire base giuridica autonoma: le relative Linee generali disciplinano esclusivamente l’impiego in comune dei sistemi di sicurezza tecnologica tra Forze di polizia e Polizia Locale, mentre la legittimazione del singolo trattamento va rinvenuta nella disciplina di settore che attribuisce la competenza e regola i trattamenti eseguibili. La finanziabilità di un impianto, la sua previsione in un regolamento o in una delibera di Giunta e la sua riconducibilità alle funzioni generali del Comune non equivalgono alla liceità del trattamento. Lo stesso vale per i contributi statali erogati sulla base dei patti per l’attuazione della sicurezza urbana, da ultimo con il Decreto interministeriale del 22 aprile 2026[7], che legittimano, previa stipula del patto con la Prefettura, il trattamento per la sola finalità di sicurezza urbana e non quello per finalità amministrative.
Sicurezza urbana e finalità amministrative: due binari che non si incrociano
La decisione si salda con un orientamento ormai consolidato. Le telecamere che riprendono ad ampio raggio e su base continuativa la pubblica via possono essere impiegate dai Comuni ai soli fini di prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria, ai sensi dell’art. 6 c. 7 del D.L. n. 11/2009 e degli artt. 4 e 5 c. 2 lett. a) del D.L. n. 14/2017, previa stipula del patto per l’attuazione della sicurezza urbana con la Prefettura territorialmente competente[8]. Ogni ulteriore utilizzo, anche di natura amministrativa, richiede una base giuridica che lo preveda e lo disciplini espressamente. In questa direzione si collocano molteplici provvedimenti dell’Autorità Garante toccando dalla lettura automatizzata delle targhe per studio di flussi turistici senza base giuridica al principio di ragionevole aspettativa della finalità d’utilizzo del filmato acquisito per videosorveglianza urbana, per arrivare al rispetto del principio di attinenza: lo sviamento di finalità di un immagine acquisita con la videosorveglianza non è permesso né lecito senza idonea base giuridica e corretta gestione degli adempimenti in materia di protezione dei dati personali[9].
Per i Comuni ne derivano due corollari operativi. Il primo: le immagini raccolte per la sicurezza urbana non possono essere “riciclate” per accertare illeciti amministrativi (al Codice della Strada, ai regolamenti comunali, in materia di rifiuti), salvo che la condotta assuma rilevanza penale o che una specifica disposizione di legge lo consenta. Il secondo: le finalità amministrative devono essere perseguite con dispositivi dedicati e conformi alla disciplina di settore (ad esempio dispositivi omologati o approvati ai sensi del C.d.S.), espressamente indicati come tali nel regolamento, nella D.P.I.A. e nell’informativa. Per le generiche esigenze di monitoraggio del traffico, inoltre, il Garante ricorda che è possibile, e doveroso, ricorrere a riprese che non consentano il riconoscimento delle persone o la lettura delle targhe, come già indicato dal Provvedimento generale sulla videosorveglianza dell’8 aprile 2010[10].
Ambiente e rifiuti: il Decreto “Terra dei Fuochi” sotto la lente del Garante
Particolarmente delicato è il tema delle telecamere installate per il controllo dei conferimenti dei rifiuti. L’Autorità nel caso di Arvier ha espressamente richiamato il D.L. n. 116/2025, cd. “Terra dei Fuochi“, conv. con L. n. 147/2025, che ha novellato l’art. 255 del D.lgs. n. 152/2006 e l’art. 201 del C.d.S., prevedendo, tra l’altro, che l’accertamento di alcune violazioni amministrative in materia di abbandono dei rifiuti possa avvenire senza contestazione immediata attraverso le immagini riprese dagli impianti di videosorveglianza (art. 255 c. 1-ter T.U.A.)[11]. Il Garante ha però rilevato che su tali disposizioni non è stato richiesto il parere previsto dall’art. 57 § 1 lett. c) G.D.P.R., riservandosi ogni valutazione sulla loro compatibilità con il quadro giuridico eurounitario e nazionale in materia di protezione dei dati. È un monito che invita gli Enti a utilizzare con cautela le nuove facoltà.
Minimizzazione e privacy by design: il mascheramento si progetta, non si rimedia
Sul piano tecnico il Garante ha ritenuto irrilevanti le ragioni logistiche addotte dal Comune (posizionamento obbligato in corrispondenza di un ripetitore, limitata possibilità di angolare la ripresa): la ripresa della facciata di un’abitazione privata costituisce un’ingerenza sproporzionata nel diritto al rispetto della vita privata e familiare (art. 8 C.E.D.U. e artt. 7, 8 e 52 della Carta dei diritti fondamentali dell’U.E.) e viola il principio di minimizzazione. Soprattutto, il ricorso al privacy masking solo dopo il reclamo non sana la violazione dell’art. 25 G.D.P.R.: secondo le Linee Guida E.D.P.B. 3/2019 e 4/2019 le misure di mascheramento od offuscamento delle zone irrilevanti per la sorveglianza devono essere valutate e implementate non appena pianificata l’installazione, prima di iniziare la raccolta dei filmati[12].
In termini operativi, la scelta del sito di installazione, dell’ottica (fissa o brandeggiabile, con o senza zoom), della risoluzione e delle zone di mascheramento deve essere documentata nel progetto esecutivo e nella D.P.I.A., e verificata in sede di collaudo con fotogrammi dell’inquadratura effettiva di ciascuna telecamera, da conservare agli atti a dimostrazione dell’accountability dell’Ente.
Trasparenza: cartelli e informativa di secondo livello sotto esame
Il provvedimento offre un vero e proprio catalogo degli errori da evitare nell’informativa “stratificata” richiesta dagli artt. 12 e 13 G.D.P.R.; infatti, sono stati censurati: il numero di cartelli esiguo rispetto alle aree videosorvegliate; un riferimento a generiche finalità di “sicurezza” ed un elenco eterogeneo di finalità, incompatibile con il principio di ragionevole aspettativa e di liceità del trattamento; il rinvio ad una normativa abrogata (l’art. 13 del Codice Privacy); l’indicazione del solo canale P.E.C. per l’esercizio dei diritti, canale che di per sé è limitante nelle modalità di accesso ai diritti garantiti dal G.D.P.R. Infine, era indicato un unico tempo di conservazione per tutte le finalità (7 giorni trasversali ripresi dall’art. 6 c. 8 del D.L. n. 11/2009) con un informativa di secondo livello non reperibile e disponibile tramite il collegamento sulla cartellonistica, con errori relativi alla corretta ricostruzione dei ruoli e del trattamento.
Si tratta di rilievi che ricorrono anche nei casi Orte e Tuscania (cartelli assenti, mancata indicazione della base giuridica e dei dati di contatto del R.P.D., elenco incompleto dei diritti) e nel Provvedimento n. 619 del 3 settembre 2026 nei confronti dell’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (A.S.I.S.), sanzionata per le telecamere negli spogliatoi di una piscina, ove è stata contestata anche una conservazione di 72 ore non supportata da una specifica valutazione di necessità[13]. Il termine di conservazione, in altre parole, non è un dato da “copiare” dai modelli, ma l’esito motivato di una valutazione condotta per ciascuna finalità.
La D.P.I.A.: non basta una riga in un foglio di calcolo
Il Comune aveva dichiarato di aver adottato la valutazione d’impatto con delibera di Giunta del 30 luglio 2018, sotto forma di un allegato in formato .xls che dedicava alla videosorveglianza una singola riga, con la generica finalità di “sicurezza locali e delle vie“. Per il Garante tale documento è inidoneo a soddisfare l’art. 35 G.D.P.R.: mancano la descrizione sistematica dei trattamenti (numero e caratteristiche dei dispositivi, sistemi di salvataggio e gestione dei filmati, finalità e base giuridica di ciascun trattamento), la valutazione di necessità e proporzionalità (numero e siti delle telecamere in relazione a ciascuna finalità, angoli di visuale, misure per evitare la ripresa di aree private, alternative meno invasive) e l’indicazione delle misure per affrontare i rischi (art. 35 § 7 lett. a), b) e d) G.D.P.R.). Non solo: l’obbligo di D.P.I.A. per gli impianti preesistenti decorreva già dal 25 maggio 2018, e la mera “conferma” negli anni di un documento inadeguato è sintomo di un approccio «solo formale ma non sostanziale»[14].
La sorveglianza sistematica su larga scala di una zona accessibile al pubblico impone sempre la valutazione d’impatto (art. 35 § 3 lett. c) G.D.P.R.), come ribadito nei casi Mazara del Vallo e Tuscania e, al di fuori dell’ambito comunale, nel Provvedimento n. 620 del 3 settembre 2026 nei confronti dell’Istituto Nazionale di Ricerca Metrologica (I.N.Ri.M.), sanzionato per aver attivato, anche solo a fini di test, telecamere in numero e posizioni difformi dall’accordo sindacale stipulato ai sensi dell’art. 4 della L. n. 300/1970, senza informativa né D.P.I.A.[15]. Infine, occorre ricordare come il Parere del D.P.O. (art. 35 § 2 G.D.P.R.) è un passaggio obbligato che non sostituisce la valutazione del Titolare, ma la può guidare verso una corretta individuazione delle aree di intervento prioritarie [16]. Quando l’impianto è impiegato dalla Polizia Locale per finalità di prevenzione, indagine, accertamento e perseguimento di reati, la valutazione si svolge ai sensi dell’art. 23 del D.lgs. n. 51/2018 e può richiedere la consultazione preventiva dell’Autorità, in particolar modo nel caso di utilizzi di body cam, droni o dash cam[17].
Accesso alle immagini e loro comunicazione: le ulteriori indicazioni dell’Autorità
Alcune decisioni recenti offrono, infine, indicazioni utili sulla gestione delle richieste degli interessati. Nel caso Tuscania il Garante ha censurato il diniego di accesso motivato con la mancata indicazione dei presupposti di fatto e dell'”interesse specifico” richiesti dal regolamento comunale: il diritto di accesso ex art. 15 G.D.P.R. non deve essere motivato e non può essere compresso da fonti regolamentari. Nel Provvedimento n. 356 del 14 maggio 2026, adottato nei confronti di una società della grande distribuzione, l’Autorità ha poi valorizzato l’istanza di limitazione del trattamento ex art. 18 § 1 lett. c) G.D.P.R., volta a impedire la cancellazione automatica delle immagini in vista della tutela giudiziale, richiamando le Linee Guida E.D.P.B. 1/2022 sul diritto di accesso: se i dati sono estratti entro il periodo di conservazione, il titolare può continuare a trattarli per il tempo necessario a dare riscontro alla richiesta[18]. Il principio, comunque, vigente ed affermato è che ogni estrazione e comunicazione di immagini deve passare per canali formalizzati che rispondano al principio di “accountability” di cui all’art. 5 § 2 G.D.P.R.[19].
Cosa cambia per gli Enti Locali: la check-list dopo Arvier
Le misure ingiunte al Comune di Arvier possono essere lette come un vero e proprio modello di audit per qualsiasi Ente che disponga di un impianto di videosorveglianza. In sintesi, è opportuno procedere a:
- censimento dei dispositivi: elenco aggiornato di tutte le telecamere (di contesto, di lettura targhe, fototrappole, body cam e dash cam, eventuali droni), con ubicazione, caratteristiche tecniche, funzionalità di analisi video, soggetto gestore e finalità attribuita a ciascun dispositivo;
- matrice finalità/base giuridica: per ogni finalità, la norma di settore che la legittima (D.L. n. 11/2009 e D.L. n. 14/2017 con patto per la sicurezza urbana; C.d.S. con dispositivi omologati o approvati; art. 255 c. 1-ter T.U.A., con le cautele sopra indicate; D.lgs. n. 51/2018 per la Polizia Locale in funzione di polizia giudiziaria), escludendo le finalità prive di copertura e senza fare affidamento su T.U.E.L., regolamento comunale o atti di finanziamento;
- revisione del Regolamento comunale, quale strumento di dettaglio e organizzazione (ruoli, designazioni, accessi, conservazione, diritti) e non come fonte autonoma di nuovi trattamenti;
- verifica delle inquadrature e mascheramento: fotogramma per ciascuna telecamera, esclusione di abitazioni, finestre, ingressi e aree private, mascheramento statico configurato per impostazione predefinita;
- D.P.I.A. per impianto e per finalità, conforme all’art. 35 § 7 G.D.P.R. (o all’art. 23 del D.lgs. n. 51/2018), con parere del R.P.D., revisione periodica e aggiornamento a ogni ampliamento o nuova funzionalità;
- cartellonistica e informativa: cartelli in numero adeguato e collocati prima del raggio di ripresa, finalità distinte con la relativa base giuridica, tempi di conservazione differenziati, canali plurimi per l’esercizio dei diritti, rinvio a un’informativa di secondo livello stabilmente raggiungibile (anche tramite QR code);
- ruoli privacy: nomine ex art. 28 G.D.P.R. di installatori, manutentori, gestori del servizio di igiene urbana e fornitori di piattaforme, eventuali accordi di contitolarità con le Forze di polizia, designazioni ex art. 2-quaterdecies del Codice Privacy e nomina degli amministratori di sistema;
- tutela dei lavoratori: rispetto dell’art. 4 della L. n. 300/1970 quando le riprese possono interessare il personale, con informativa specifica preventiva;
- gestione delle richieste: procedure per accesso, limitazione e “congelamento” delle immagini, registro degli accessi e delle estrazioni, coordinamento con le regole del codice di procedura penale e della L. n. 241/1990.
Cenni sull’Intelligenza Artificiale: videoanalisi, biometria e nuove regole
Il tema della videosorveglianza si intreccia sempre più con quello dell’intelligenza artificiale: lettura automatizzata delle targhe, classificazione dei veicoli, rilevamento di “comportamenti anomali” e ricerca per attributi (colore, marca, abbigliamento). Il caso Levanto, in cui le telecamere consentivano anche ricerche sul colore, sulla dimensione e sulla marca dei veicoli, mostra come la logica del caso Arvier si applichi a fortiori a tali strumenti: ogni funzionalità di analisi costituisce un trattamento ulteriore, che necessita di una propria base giuridica, di una specifica valutazione d’impatto e di un’adeguata trasparenza.
Sul piano europeo, il Reg. (UE) 2024/1689, cd. “A.I. Act”, vieta già dal 2 febbraio 2025 l’uso di sistemi di identificazione biometrica remota “in tempo reale” in spazi accessibili al pubblico a fini di attività di contrasto, salve le ristrette eccezioni dell’art. 5 § 1 lett. h); i sistemi di identificazione biometrica remota sono, inoltre, classificati ad alto rischio (Allegato III, punto 1). Il Reg. (UE) 2026/1744, cd. “Omnibus digitale sull’IA“, pubblicato in G.U.U.E. il 24 luglio 2026, ha differito al 2 dicembre 2027 l’applicazione degli obblighi per i sistemi ad alto rischio dell’Allegato III e ha riformulato l’art. 4 in materia di alfabetizzazione, ora declinato come obbligo per fornitori e deployer di adottare misure a sostegno delle competenze del personale[20]. Il differimento non riguarda i divieti dell’art. 5, mentre per i sistemi generativi immessi sul mercato prima del 2 agosto 2026 gli obblighi di marcatura dell’art. 50 § 2 decorrono dal 2 dicembre 2026.
In ambito nazionale, l’art. 9 c. 9 del D.L. n. 139/2021 mantiene sospese l’installazione e l’utilizzazione, da parte di autorità pubbliche e soggetti privati, di impianti di videosorveglianza con sistemi di riconoscimento facciale in luoghi pubblici o aperti al pubblico, fino all’entrata in vigore di una disciplina legislativa della materia e comunque, nel testo vigente, non oltre il 31 dicembre 2027[21]. La L. n. 132/2025 impone alle pubbliche amministrazioni un utilizzo dell’IA «in funzione strumentale e di supporto all’attività provvedimentale», ferma la responsabilità della persona (art. 14), mentre il D.lgs. 7 ottobre 2026, n. 179, pubblicato nella G.U. n. 234 dell’8 ottobre 2026, ha definito il sistema nazionale di vigilanza (A.C.N. quale autorità di vigilanza del mercato e punto di contatto unico, Ag.I.D. quale autorità di notifica, il Garante per i sistemi ad alto rischio impiegati, tra l’altro, nelle attività di contrasto) e il relativo apparato sanzionatorio[22].
Per i Comuni la conseguenza pratica è duplice. In sede di acquisto, rinnovo o ampliamento degli impianti occorre censire le funzionalità di IA effettivamente presenti, mantenerle disattivate per impostazione predefinita finché non ne siano verificate base giuridica e compatibilità con l’A.I. Act, acquisire dal fornitore la documentazione tecnica e le istruzioni d’uso e precludere contrattualmente l’utilizzo delle immagini per l’addestramento dei modelli. In sede di D.P.I.A., la valutazione va integrata con i rischi propri dei sistemi algoritmici (errori di classificazione, bias, effettività della sorveglianza umana) e, per i sistemi ad alto rischio, coordinata con la valutazione d’impatto sui diritti fondamentali (“Fundamental Rights Impact Assessment” o F.R.I.A.) prevista dall’art. 27 dell’A.I. Act per gli organismi di diritto pubblico che agiscono come deployer. La governance dell’IA negli Enti Locali non può che innestarsi sugli stessi presìdi di accountability che il Garante, con il caso Arvier, chiede di rendere effettivi.
In conclusione, il Provvedimento n. 636/2026 chiede agli Enti Locali di passare da una compliance “per atti” a una compliance “per trattamenti”: non basta disporre di un regolamento, di un patto, di una delibera di finanziamento o di un foglio di calcolo intitolato D.P.I.A.; occorre poter dimostrare, telecamera per telecamera e finalità per finalità, perché quel dato viene raccolto, su quale base giuridica, per quanto tempo, con quali cautele e con quali informazioni agli interessati.
A cura di Dott. Eucalipto Edoardo
[1] Cfr. Garante per la Protezione dei Dati Personali (G.P.D.P.), Provvedimento del 23 settembre 2026, Registro dei provvedimenti n. 636, doc. web n. 10304881, in www.gpdp.it; v. anche Newsletter del Garante n. 553 dell’8 ottobre 2026, “Sanzionato il Comune di Arvier, no a telecamere che riprendono aree private“, doc. web n. 10305399, in www.gpdp.it.
[2] Cfr. Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)“, in eur-lex.europa.eu.
[3] Cfr. Decreto Legislativo “Codice in materia di protezione dei dati personali“, n. 196 del 30 giugno 2003, come modificato dal D.lgs. n. 101 del 10 agosto 2018, in www.normattiva.it.
[4] Cfr. Decreto Legislativo “Testo unico delle leggi sull’ordinamento degli enti locali“, n. 267 del 18 agosto 2000, in www.normattiva.it.
[5] Il Garante richiama in tal senso il proprio Provvedimento dell’11 aprile 2024, n. 235, doc. web n. 10019523, in www.gpdp.it, e la Newsletter del 6 giugno 2024, doc. web n. 10022928, in www.gpdp.it; quanto alla giurisprudenza costituzionale, il provvedimento richiama, tra le altre, Corte Cost., sentt. n. 69/2023 e n. 428/2004 in materia di circolazione stradale e sentt. nn. 70/2011, 373/2010, 341/2010 e 307/2003 in materia di tutela dell’ambiente.
[6] Cfr. Decreto-Legge “Disposizioni urgenti in materia di sicurezza delle città“, n. 14 del 20 febbraio 2017, conv. con mod. dalla L. n. 48 del 18 aprile 2017, in www.normattiva.it; le “Linee generali per la promozione della sicurezza integrata” sono state adottate con accordo in sede di Conferenza Unificata del 24 gennaio 2018.
[7] Cfr. Decreto del Ministro dell’Interno di concerto con il Ministro dell’Economia e delle Finanze del 22 aprile 2026, in G.U. Serie Generale n. 120 del 26 maggio 2026, in www.gazzettaufficiale.it; per lo schema di patto tipo allegato si veda, ad esempio, la pubblicazione della Prefettura di Vibo Valentia, in prefettura.interno.gov.it.
[8] Cfr. art. 6 c. 7 e 8 del Decreto-Legge “Misure urgenti in materia di sicurezza pubblica e di contrasto alla violenza sessuale, nonché in tema di atti persecutori“, n. 11 del 23 febbraio 2009, conv. con mod. dalla L. n. 38 del 23 aprile 2009, in www.normattiva.it; sul punto G.P.D.P., Provvedimento del 13 novembre 2025, n. 669, doc. web n. 10198694 (Comune di Orte), in www.gpdp.it, che richiama a sua volta i provv.ti 10 aprile 2025, n. 201, doc. web n. 10139433; 20 giugno 2024, n. 374, doc. web n. 10028498; 11 gennaio 2024, n. 5, doc. web n. 9977020.
[9] Cfr. G.P.D.P., Provvedimento del 19 dicembre 2024, n. 805, doc. web n. 10107263, in www.gpdp.it; Provvedimento del 4 dicembre 2025, n. 730, doc. web n. 10213467, in www.gpdp.it; Provvedimento del 4 dicembre 2025, n. 743, doc. web n. 10221993, in www.gpdp.it; Provvedimento del 12 febbraio 2026, n. 102, doc. web n. 10227910, in www.gpdp.it; Provvedimento del 14 maggio 2026, n. 341, doc. web n. 10259305, in www.gpdp.it, e relativa Newsletter n. 548 del 17 giugno 2026, “Telecamere di sicurezza urbana, Garante: usi ulteriori solo se previsti dalla legge“, in www.gpdp.it.
[10] Cfr. G.P.D.P., “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010, in G.U. n. 99 del 29 aprile 2010, doc. web n. 1712680, § 2 lett. b), in www.gpdp.it: i sistemi vanno configurati «in modo da non utilizzare dati relativi a persone identificabili quando le finalità del trattamento possono essere realizzate impiegando solo dati anonimi».
[11] Cfr. Decreto-Legge “Disposizioni urgenti per il contrasto alle attività illecite in materia di rifiuti, per la bonifica dell’area denominata Terra dei fuochi e per l’istituzione del Dipartimento per il Sud, nonché in materia di assistenza alla popolazione colpita da eventi calamitosi“, n. 116 dell’8 agosto 2025, conv. con mod. dalla L. n. 147 del 3 ottobre 2025, in www.normattiva.it; art. 255 c. 1-ter del D.lgs. n. 152/2006, nel testo vigente: «L’accertamento delle violazioni di cui ai commi 1.2 e 1-bis può avvenire senza contestazione immediata attraverso le immagini riprese dagli impianti di videosorveglianza posti fuori o all’interno dei centri abitati», in www.normattiva.it. Sul tema si rinvia alla nostra Newsletter “Videosorveglianza, Polizia Locale e Ambiente: compliance privacy con i cambiamenti incompiuti per gli Enti Locali con il Decreto-legge n. 116 del 08 Agosto 2025 cd. Terra dei Fuochi” dell’8 settembre 2025.
[12] Cfr. E.D.P.B., Linee guida 3/2019, cit., §§ 126 e 129; E.D.P.B., “Linee guida 4/2019 sull’articolo 25 – Protezione dei dati fin dalla progettazione e per impostazione predefinita“, Versione 2.0, adottate il 20 ottobre 2020, spec. sez. 3.5.
[13] Cfr. G.P.D.P., Provvedimento del 3 settembre 2026, n. 619, doc. web n. 10294255, in www.gpdp.it, e Newsletter n. 551 dell’11 settembre 2026, “Telecamere negli spogliatoi di una piscina, Garante sanziona ASIS Trento“, in www.gpdp.it.
[14] Cfr. Gruppo di lavoro Articolo 29, “Linee guida in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento possa presentare un rischio elevato ai fini del regolamento (UE) 2016/679“, WP 248 rev.01, del 4 ottobre 2017, fatte proprie dall’E.D.P.B. con l’Endorsement 1/2018 del 25 maggio 2018.
[15] Cfr. G.P.D.P., Provvedimento del 3 settembre 2026, n. 620, doc. web n. 10297167, in www.gpdp.it; art. 4 della Legge “Norme sulla tutela della libertà e dignità dei lavoratori, della libertà sindacale e dell’attività sindacale nei luoghi di lavoro e norme sul collocamento“, n. 300 del 20 maggio 1970, in www.normattiva.it.
[16] Cfr. Newsletter del Garante n. 552 del 30 settembre 2026, “Il ruolo del RPD al centro del nuovo episodio del podcast del Garante Privacy“, doc. web n. 10300466, in www.gpdp.it.
[17] Cfr. G.P.D.P., Provvedimento del 4 dicembre 2025, n. 743, doc. web n. 10221993, cit., e Newsletter n. 543 del 20 febbraio 2026, in www.gpdp.it; artt. 23 e 24 del Decreto Legislativo n. 51 del 18 maggio 2018, attuativo della Dir. (UE) 2016/680, in www.normattiva.it.
[18] Cfr. G.P.D.P., Provvedimento del 14 maggio 2026, n. 356, doc. web n. 10268800, in www.gpdp.it, che richiama il punto 38 delle Linee guida E.D.P.B. 1/2022 sul diritto di accesso.
[19] Cfr. G.P.D.P., Provvedimento del 29 gennaio 2026, n. 42, doc. web n. 10222864, in www.gpdp.it, che ha accertato la violazione degli artt. 5 § 1 lett. a) e b), 6, 12 § 1, 13, 35 e 88 G.D.P.R., nonché degli artt. 2-ter e 114 del Codice Privacy.
[20] Cfr. Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, del 13 giugno 2024, “che stabilisce regole armonizzate sull’intelligenza artificiale“, in eur-lex.europa.eu; Regolamento (UE) 2026/1744 del Parlamento europeo e del Consiglio, dell’8 luglio 2026, “che modifica i regolamenti (UE) 2024/1689, (UE) 2018/1139 e (UE) 2023/1230 per quanto riguarda la semplificazione dell’attuazione di regole armonizzate sull’intelligenza artificiale (Omnibus digitale sull’IA)“, in G.U.U.E. L del 24 luglio 2026, in eur-lex.europa.eu.
[21] Cfr. art. 9 c. 9 del Decreto-Legge n. 139 dell’8 ottobre 2021, conv. con mod. dalla L. n. 205 del 3 dicembre 2021, nel testo vigente consultato in www.normattiva.it.
[22] Cfr. Legge “Disposizioni e deleghe al Governo in materia di intelligenza artificiale“, n. 132 del 23 settembre 2025, in www.normattiva.it; Decreto Legislativo n. 179 del 7 ottobre 2026, “Adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 […] in materia di poteri delle Autorità nazionali e di utilizzo dell’intelligenza artificiale nella formazione“, in G.U. Serie Generale n. 234 dell’8 ottobre 2026, in www.gazzettaufficiale.it.
