Perché il cartello è obbligatorio
Un'immagine che permette di riconoscere una persona è un dato personale. Chi installa telecamere tratta quindi dati personali e deve informare le persone riprese, come prevede il Regolamento europeo sulla protezione dei dati (GDPR).
Per la videosorveglianza l'informazione si dà su due livelli. Il primo è il cartello: poche righe, leggibili in un attimo. Il secondo è l'informativa completa, consultabile in un altro luogo o online.
Non serve alcuna autorizzazione del Garante per installare un impianto. Spetta all'impresa valutare se le telecamere sono necessarie e proporzionate, e documentare questa valutazione.
Cosa deve indicare il cartello
Le indicazioni arrivano dalle Linee guida del Comitato europeo per la protezione dei dati (EDPB) n. 3/2019 e dalle FAQ del Garante. Il Garante mette a disposizione un modello semplificato da compilare.
| Informazione | Perché serve | Esempio |
|---|---|---|
| Chi è il titolare del trattamento, con i contatti | è il soggetto a cui rivolgersi | Rossi S.r.l., via…, email… |
| Finalità delle riprese | chiarisce a che cosa servono le telecamere | sicurezza delle persone e tutela del patrimonio |
| Contatti del responsabile della protezione dei dati (DPO) | solo se l'impresa lo ha nominato | dpo@… |
| Diritti delle persone riprese | ricorda che si può chiedere accesso e cancellazione | «Può esercitare i diritti previsti dagli artt. 15-22 GDPR» |
| Tempi di conservazione e destinatari, se rilevanti | sono informazioni che la persona non si aspetta | immagini conservate 24 ore |
| Dove trovare l'informativa completa | rinvia al secondo livello | QR code, indirizzo web, cassa o reception |
Il cartello può anche indicare il legittimo interesse perseguito, cioè la ragione per cui l'impresa ritiene necessarie le riprese. Le informazioni vanno scritte in modo ben visibile e leggibile, anche di sera se l'impianto funziona di notte.
Dove va collocato
Il cartello va messo prima di entrare nell'area ripresa, all'incirca all'altezza degli occhi. Chi passa deve poter decidere se entrare o no.
Non è necessario indicare dove si trova esattamente ogni telecamera. Deve però essere chiaro quali zone sono sorvegliate.
Un solo cartello all'ingresso non basta quando le telecamere coprono ambienti diversi, per esempio su piani differenti o in aree con accessi separati. Ogni area distinta richiede la propria segnalazione.
L'informativa completa (secondo livello)
Il cartello deve rinviare a un'informativa con tutti gli elementi previsti dall'art. 13 GDPR: base giuridica, destinatari, tempi di conservazione, diritti, modalità per esercitarli e reclamo al Garante.
L'informativa completa deve essere consultabile senza entrare nell'area ripresa. Le Linee guida EDPB suggeriscono un riferimento digitale, come un QR code o un indirizzo web, ma chiedono che sia disponibile anche su carta. Per un negozio basta un foglio alla cassa e lo stesso testo sul sito.
Per quanto tempo si conservano le immagini
Le immagini si conservano solo per il tempo necessario allo scopo. È l'impresa a fissare il termine, in base al contesto, e a indicarlo nell'informativa.
Secondo le FAQ del Garante, per sicurezza e tutela del patrimonio bastano in genere pochi giorni, con cancellazione automatica. Per un piccolo esercizio commerciale possono bastare 24 ore. Oltre le 72 ore serve una motivazione più solida; la chiusura nel fine settimana può giustificare qualche giorno in più.
Le immagini si possono tenere più a lungo se lo chiede l'autorità giudiziaria o la polizia giudiziaria per un'indagine.
Se le telecamere riprendono i dipendenti
Il cartello non basta quando le telecamere possono riprendere i lavoratori. Lo Statuto dei lavoratori (art. 4 della legge 300/1970) consente l'impianto solo per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio. Prima di accenderlo serve un accordo con le rappresentanze sindacali o, in mancanza, l'autorizzazione dell'Ispettorato del lavoro.
Cosa si rischia
Le violazioni dell'obbligo di informativa rientrano nella fascia più alta delle sanzioni del GDPR, fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Nella pratica il Garante, per le piccole imprese, applica importi molto più bassi, ma ordina anche di mettersi in regola entro un termine.
Un caso recente. Con il provvedimento n. 167 del 12 marzo 2026 il Garante ha sanzionato un ristorante di Padova con 5 telecamere su tre ambienti, su piani diversi. C'era un solo cartello, che non copriva tutte le aree; l'impianto era stato attivato prima dell'autorizzazione dell'Ispettorato; chi guardava le immagini non usava credenziali di accesso. La sanzione è stata di 2.000 euro, con l'ordine di installare cartelli adeguati e proteggere l'accesso alle immagini entro 30 giorni.
Un esempio pratico
Un negozio di abbigliamento con due dipendenti ha 3 telecamere: una sull'ingresso esterno, una in sala vendita e una nel magazzino sul retro. L'impresa:
- affigge un cartello all'esterno, prima dell'ingresso, e un secondo cartello sulla porta del magazzino;
- indica sui cartelli la propria ragione sociale, i contatti, la finalità (sicurezza e tutela del patrimonio), la conservazione di 24 ore (72 ore nei fine settimana) e un QR code;
- mette l'informativa completa sul sito e in un foglio alla cassa;
- orienta la telecamera esterna solo sull'ingresso, senza riprendere il marciapiede oltre lo stretto necessario;
- ottiene l'autorizzazione dell'Ispettorato prima di accendere l'impianto, perché le telecamere inquadrano anche i dipendenti;
- protegge l'accesso alle registrazioni con credenziali personali.
Errori da evitare
- Usare un adesivo con la sola telecamera disegnata. Senza titolare e finalità il cartello non è un'informativa.
- Mettere un solo cartello per aree diverse. Ogni zona con accesso separato va segnalata.
- Lasciare il cartello dell'installatore. Spesso riporta i dati della ditta che ha montato l'impianto, non quelli del titolare.
- Dimenticare l'informativa completa. Il cartello deve dire dove trovarla, e deve esistere davvero.
- Accendere le telecamere prima dell'accordo o dell'autorizzazione. Se l'impianto riprende i dipendenti, l'informativa da sola non basta.
- Lasciare le registrazioni accessibili a chiunque. L'accesso va limitato alle persone autorizzate, con credenziali.
Riferimenti normativi e di prassi
- Regolamento (UE) 2016/679 (GDPR): artt. 5, 12, 13, 32, 35 e 83.
- D.lgs. 30 giugno 2003, n. 196 (Codice privacy): art. 114.
- Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori): art. 4.
- EDPB, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video, adottate il 29 gennaio 2020, parr. 110-119.
- Garante privacy, FAQ sulla videosorveglianza e modello semplificato di cartello.
- Garante privacy, provvedimento n. 167 del 12 marzo 2026, doc. web n. 10240451.
Domande frequenti
Il cartello di videosorveglianza è obbligatorio?
Sì, quando le telecamere riprendono persone identificabili. Il cartello è la forma semplificata dell'informativa prevista dall'art. 13 GDPR e va collocato prima dell'area ripresa. Vale per negozi, uffici, magazzini e parcheggi aziendali, anche se l'impianto registra solo di notte.
Cosa deve esserci scritto sul cartello?
Almeno il titolare del trattamento con i suoi contatti, la finalità delle riprese e il rinvio all'informativa completa. Vanno indicati anche i contatti del DPO, se nominato, i diritti delle persone e le informazioni che potrebbero sorprendere, come i tempi di conservazione o la comunicazione delle immagini a terzi.
Basta un cartello per più telecamere?
Sì, se le telecamere coprono un'unica area con un solo accesso. Se riprendono ambienti diversi, per esempio su piani differenti, ogni area va segnalata con un proprio cartello. Il Garante ha sanzionato nel 2026 un esercizio che aveva un solo cartello per tre ambienti.
Per quanto tempo si possono conservare le registrazioni?
Per il tempo strettamente necessario. Per un piccolo esercizio commerciale le FAQ del Garante indicano 24 ore; oltre le 72 ore serve una motivazione più solida, come la chiusura nel fine settimana. Le immagini richieste dall'autorità giudiziaria possono essere conservate più a lungo.
Serve un'autorizzazione per installare le telecamere?
Dal Garante no. Se però le telecamere possono riprendere i dipendenti, serve un accordo con le rappresentanze sindacali o l'autorizzazione dell'Ispettorato del lavoro, prima di attivare l'impianto. In alcuni casi va fatta anche una valutazione d'impatto sulla protezione dei dati.
Leggi anche
- Data breach: cosa fare nelle prime 72 ore
- Art. 4 Statuto dei lavoratori: telecamere sul posto di lavoro e altri controlli a distanza
Avv. Alessandro Mancinelli – aggiornato al 7 novembre 2026
Le informazioni hanno carattere generale e non sostituiscono una consulenza sul caso specifico.