Dal caso di un supermercato interessanti indicazioni anche per le telecamere pubbliche.
Di Gianluca Sivieri
Non è sempre solo la Pubblica Amministrazione a trincerarsi dietro a modelli e “carte bollate”, a volte anche nel settore privato la burocrazia frena l’esercizio dei diritti delle persone. Un recente provvedimento del Garante ribadisce che i diritti in materia di protezione dei dati personali devono essere garantiti nel modo più ampio possibile e le scelte organizzative devono essere ispirate a favorire il loro esercizio e non a disincentivarlo o ridurlo.
Il concetto, già più volte ribadito, desta sempre qualche perplessità e, tradizionalmente, qualche resistenza nel settore pubblico, ma ancora una volta il Garante chiarisce: spetta al titolare adottare tutte le soluzioni atte ad assicurare l’esercizio dei diritti dell’interessato.
Gianluca Sivieri
Il caso “Lidl”
Con il provvedimento n. 356 del 14 maggio 2026, il Garante ha sanzionato la nota società leader nella GDO, a causa della gestione scorretta di un’istanza di accesso ai dati (art. 15 GDPR) e di limitazione del trattamento (art. 18, par. 1, lett. c) GDPR) relativa a immagini di videosorveglianza riprese presso un punto vendita.
I fatti, come ricostruiti nel provvedimento, in estrema sintesi: un cliente coinvolto in un diverbio con alcuni dipendenti – dal quale è scaturito anche l’intervento delle Forze dell’ordine – ha inviato tre distinte comunicazioni via PEC, tutte contenenti gli elementi identificativi essenziali (punto vendita, data, fascia oraria, descrizione dei fatti), chiedendo di esercitare sia l’accesso alle immagini, sia la loro conservazione in vista di possibili iniziative a propria tutela. La società, anziché dare seguito alle richieste, subordina il riscontro alla compilazione di un modulo standard e, nel frattempo, lascia che le immagini vengano cancellate automaticamente, come previsto dal trattamento stesso. Alcuni giorni dopo, la stessa società comunica l’esito all’interessato – tra l’altro tramite raccomandata anziché PEC – solo dopo che il dato non era più recuperabile.
Le violazioni e la sanzione
Il Garante individua un concorso di violazioni tra loro concatenate, tutte riconducibili a un’unica condotta sostanziale, rilevante ai fini del calcolo sanzionatorio previsto dall’art. 83 del GDPR:
- mancata conservazione dei dati nonostante l’espressa richiesta di limitazione, che avrebbe dovuto sospendere il ciclo ordinario di cancellazione (art. 18, par. 1, lett. c);
- condizionamento indebito dell’esercizio del diritto di accesso alla compilazione di una modulistica non prevista dalla disciplina, a fronte di richieste già di per sé sufficientemente circostanziate da consentire l’individuazione delle immagini (artt. 12, par. 2 e 15, par. 1);
- violazione del principio di correttezza per l’irreversibilità dell’effetto pregiudizievole prodotto dalla cancellazione, che ha precluso in via definitiva la soddisfazione della pretesa dell’interessato (art. 5, par. 1, lett. a);
- utilizzo di un canale di riscontro (raccomandata) diverso da quello prescelto dall’interessato (PEC), in assenza di una sua diversa indicazione (art. 12, par. 3, ultimo periodo).
Vi è però un punto di metodo rilevante: il Garante richiama le Linee guida EDPB 1/2022 sul diritto di accesso, per ribadire che il GDPR non impone alcun requisito di forma alla richiesta dell’interessato e che l’eventuale modulistica predisposta dal titolare ha natura di mera facilitazione, ma non di condizione di ammissibilità. La modulistica, si legge nel provvedimento, da strumento di agevolazione è divenuto un ostacolo non previsto dalla norma.
Sul piano organizzativo, pesa anche la mancata interlocuzione tempestiva con il DPO, che le procedure interne della società stessa prevedono in due passaggi distinti della gestione delle istanze: previsione rimasta lettera morta nel caso concreto.
Nonostante la gravità “complessivamente bassa” attribuita alla condotta, in ragione del coinvolgimento di un unico interessato e l’assenza di precedenti specifici, il Garante ha applicato comunque la sanzione accessoria della pubblicazione sul proprio sito, facendo pesare l’irreparabilità dell’effetto pregiudizievole prodotto dalla cancellazione: le immagini, una volta perse, non sono più recuperabili in vista di un’eventuale azione giudiziaria dell’interessato.
Al di là di ogni considerazione, dalla “pubblicazione” del provvedimento, si può trarre il beneficio di poter fare ulteriori riflessioni sul tema e affinare le modalità operative nella gestione dei “diritti privacy”.
La vicenda al confronto con la “videosorveglianza urbana”
Chi si occupa di videosorveglianza in ambito pubblico – penso in particolare alle frequenti richieste di cittadini di poter accedere ai filmati delle telecamere comunali a seguito di incidenti stradali o altri fatti – riconoscerà in questo provvedimento alcuni temi familiari, ma affrontati da un’angolazione diversa.
Vale la pena isolare i punti di contatto e quelli di reale divergenza, perché la sovrapposizione lessicale (“accesso ai dati di videosorveglianza”) nasconde due questioni giuridicamente distinte.
Quando a bussare è l’interessato: accesso, limitazione e L. 241/90 a confronto
Il provvedimento n. 356/2026 riguarda, in fondo, un’ipotesi apparentemente semplice: un interessato chiede copia delle immagini di videosorveglianza che lo ritraggono e, in subordine o in parallelo, ne chiede la conservazione oltre i tempi ordinari di cancellazione. Due diritti, quelli previsti dall’art. 15 e dall’art. 18 del GDPR, che il titolare privato deve gestire senza alcuna sovrastruttura procedimentale ulteriore. È proprio questa linearità a rendere il confronto con la videosorveglianza urbana istruttivo, perché nel momento in cui il titolare è un Comune la stessa istanza – stesso interessato, stessa finalità, magari le stesse modalità di richiesta – si presta a incardinarsi anche sul binario della L. 241/90.
Le affinità. Sul piano sostanziale i due diritti convergono: l’interessato che chiede le immagini di un sinistro in cui è coinvolto persegue, tanto con l’art. 15 quanto con un’eventuale istanza di accesso documentale, lo stesso obiettivo pratico: procurarsi una “prova”. In entrambi i casi il titolare è tenuto a un esercizio di minimizzazione nei confronti dei terzi eventualmente ripresi (oscuramento, mascheramento selettivo) e, sempre in entrambi i casi, la richiesta si scontra con la finestra di conservazione, tipicamente brevissima, delle registrazioni: da qui la centralità pratica dell’art. 18, lett. c) – la limitazione richiesta “per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria” – che nella prassi funziona da strumento di congelamento urgente del dato, propedeutico a qualsiasi successiva istanza più strutturata, GDPR o 241/90 che sia, nonché alle conseguenti e necessarie valutazioni del titolare.
Le divergenze: ed è qui che la sovrapposizione con l’ente locale smette di essere solo teorica. L’art. 15 è un diritto pressoché incondizionato: basta la qualità di interessato, non è richiesta motivazione, il termine di riscontro è di un mese, il rimedio in caso di inerzia o diniego è il reclamo al Garante o il ricorso al giudice ordinario.
L’accesso previsto dalla L. 241/90, all’opposto, presuppone la titolarità di un “interesse diretto, concreto e attuale, corrispondente a una situazione giuridicamente tutelata e collegata al documento”: benché la “motivazione” sottesa potrebbe essere la medesima, si tratta di un onere motivazionale che l’art. 15 semplicemente non conosce.
Ne discende un paradosso solo apparente, che vale la pena esplicitare per chi opera negli enti locali: quando il destinatario dell’istanza è un Comune anziché un privato, il canale GDPR è spesso più favorevole all’interessato di quello amministrativo, perché lo libera dall’onere di argomentare l’interesse qualificato. La conseguenza operativa è che l’ente non può trattare secondo la Legge 241/90 – con i suoi tempi, la sua motivazione, il suo foro amministrativo – un’istanza che l’interessato, magari senza saperlo, ha già titolo a ottenere per la via più snella dell’art. 15: il principio di sostanza sulla forma impone di riqualificare la richiesta secondo il regime più idoneo, non quello nominalmente invocato.
Diverso, e complementare, è l’oggetto quando l’interessato ha bisogno di più di quanto l’art. 15 gli consenta: quest’ultimo infatti copre solo i propri dati, cioè le sequenze in cui il richiedente è riconoscibile. Se l’interesse difensivo richiede l’accesso a porzioni di filmato in cui compaiono anche terzi – l’altro conducente, un testimone, ad esempio – è la L. 241/90, con il bilanciamento rafforzato dell’accesso “difensivo” (art. 24, comma 7), a offrire una base giuridica più ampia, sebbene più onerosa da attivare e sindacabile solo davanti al TAR.
I due impianti, in altre parole, non si escludono: si incastrano lungo l’asse dell’ampiezza dell’accesso, con l’art. 18 a fare da cerniera temporale tra l’uno e l’altro.
Ricadute operative: una governance a doppio binario
Insomma il provvedimento, letto nella sua sostanza, punisce la gestione disordinata delle istanze di esercizio dei “diritti privacy”.
I tre profili che l’Autorità valorizza – minimizzazione, tempestività, correttezza – non sono separate voci di conformità da spuntare, ma tre facce della stessa questione organizzativa: cosa succede, materialmente, dal momento in cui un interessato “bussa alla porta” del titolare a quello in cui riceve una risposta.
La minimizzazione va presidiata a monte, non inventata al momento della richiesta: un titolare – privato o Comune che sia – che non ha già una procedura per isolare e esportare la sola porzione di filmato pertinente, con l’oscuramento dei terzi predisposto come passaggio tecnico standard e non come improvvisazione caso per caso, è strutturalmente esposto a un duplice rischio: negare per eccesso di prudenza ciò che sarebbe dovuto, oppure concedere per fretta più di quanto consentito.
La tempestività, a sua volta, si scontra con un vincolo che la “videosorveglianza urbana” condivide con quella privata, ma amplificato per via dei tempi amministrativi: se la finestra di conservazione ordinaria è di pochi giorni, un procedimento istruttorio tarato sui trenta giorni (almeno) della L. 241/90 rischia strutturalmente di arrivare a immagini già cancellate. Da qui l’utilità pratica di una procedura interna che, alla prima istanza – purché compatibile con l’art. 18, par. 1, lett. c) – attivi immediatamente una limitazione cautelativa del trattamento, disgiunta dalla valutazione di merito sulla fondatezza dell’istanza di accesso, così da preservare la possibilità di un riscontro effettivo senza dover anticipare la qualificazione giuridica definitiva della domanda.
La correttezza, infine, è il punto in cui i due impianti normativi tornano a parlarsi: significa non costringere l’interessato a peripezie burocratiche e non scaricare sull’istante l’onere di riqualificare da solo la propria domanda tra art. 15, art. 18 e L. 241/90.
Per gli enti locali questo si traduce in un’esigenza concreta di governance, che garantisca all’interessato il concreto esercizio dei diritti e agli operatori istruzioni precise su come gestire le richieste: un punto di ricezione unico delle istanze relative alle immagini di videosorveglianza – che sappia anche dialogare con il DPO – capace di smistare correttamente la richiesta verso il regime più favorevole e più rapido per l’interessato, senza che quest’ultimo debba scontare l’incertezza qualificatoria come costo procedurale.
Una procedura chiara e definita non è un adempimento aggiuntivo: è, semmai, la condizione perché l’ente possa rispondere nei tempi imposti dal dato stesso che, a differenza dei fascicoli amministrativi, non aspetta. E, soprattutto, è lo strumento necessario al personale incaricato per rispondere in modo corretto e senza preoccupazioni.
