DPIA videosorveglianza: cos'è, quando è obbligatoria e come si fa

Cos'è la DPIA

La DPIA (Data Protection Impact Assessment) è un documento previsto dall'art. 35 del GDPR che valuta i rischi che un trattamento di dati personali comporta per i diritti e le libertà delle persone fisiche.

In termini pratici: è un'analisi strutturata che descrive il trattamento, ne valuta la necessità e proporzionalità, identifica i rischi e definisce le misure per ridurli. Non è un modulo da compilare in fretta — è un processo che richiede riflessione e documentazione.

Per la videosorveglianza, la DPIA assume particolare rilevanza perché le immagini delle persone sono dati personali a tutti gli effetti, e la registrazione sistematica di comportamenti, movimenti e presenze può avere un impatto significativo sulla privacy di dipendenti, clienti e visitatori.

Quando la DPIA è obbligatoria per la videosorveglianza

Il GDPR non impone la DPIA per tutti gli impianti di videosorveglianza, ma per quelli che presentano rischi elevati. Il Garante Privacy italiano e le linee guida europee (EDPB) hanno chiarito i casi in cui è obbligatoria.

E quando NON è obbligatoria?

Per impianti semplici — una o poche telecamere in un negozio o ufficio, senza tecnologie avanzate, con conservazione breve delle immagini e finalità chiara — la DPIA potrebbe non essere obbligatoria. Ma anche in questi casi, il titolare deve documentare la propria valutazione e dimostrare di aver verificato se la DPIA fosse necessaria.

Cosa deve contenere una DPIA per videosorveglianza

Il GDPR (art. 35, par. 7) indica il contenuto minimo obbligatorio. Per la videosorveglianza, una DPIA completa include:

1. Descrizione sistematica del trattamento

   Quante telecamere, dove sono posizionate, cosa riprendono, chi ha accesso alle immagini, per quanto tempo vengono conservate, quali sistemi tecnici sono usati.
2. Valutazione della necessità e proporzionalità

   Perché è necessaria la videosorveglianza? La finalità non potrebbe essere raggiunta con misure meno invasive? Le aree riprese sono le minime indispensabili?
3. Identificazione e valutazione dei rischi

   Quali rischi comporta il trattamento per i diritti delle persone? Accesso non autorizzato, uso improprio delle immagini, conservazione eccessiva, possibile controllo dei lavoratori.
4. Misure per affrontare i rischi

   Quali misure tecniche e organizzative sono state adottate? Crittografia, limitazione accessi, procedure di cancellazione, formazione del personale, log degli accessi.
5. Conclusione e valutazione residua del rischio

   Dopo le misure adottate, il rischio residuo è accettabile? Se rimane elevato, è necessario consultare preventivamente il Garante prima di avviare il trattamento.

Chi deve redigere la DPIA

La responsabilità della DPIA ricade sul titolare del trattamento — cioè l'azienda o il professionista che gestisce l'impianto. Se è presente un DPO (Data Protection Officer), deve essere consultato durante il processo.

La DPIA può essere redatta internamente oppure con il supporto di un consulente esterno. In entrambi i casi, deve essere documentata per iscritto e aggiornata ogni volta che cambiano le condizioni del trattamento — ad esempio se si aggiungono telecamere, si modifica il software o si cambia la finalità.

Cosa succede se non si fa la DPIA

L'assenza della DPIA quando è obbligatoria è una violazione diretta del GDPR. Le conseguenze possono essere:

• Sanzione amministrativa fino a €10 milioni o il 2% del fatturato mondiale annuo per le violazioni degli obblighi del titolare — tra cui l'obbligo di DPIA
• Ordine di blocco del trattamento da parte del Garante, che può imporre la sospensione dell'impianto fino alla regolarizzazione
• Aggravante in caso di data breach: se si verifica un incidente e manca la DPIA, la sanzione è significativamente più alta
• Impossibilità di utilizzare le immagini in sede giudiziaria o disciplinare

DPIA e AI Act: cosa cambia dal 2024-2026

L'entrata in vigore dell'AI Act europeo ha aggiunto un ulteriore livello di obblighi per i sistemi di videosorveglianza che utilizzano intelligenza artificiale. I sistemi classificati ad alto rischio — come quelli con riconoscimento biometrico, analisi delle emozioni o identificazione in tempo reale — richiedono non solo la DPIA, ma una valutazione di conformità specifica all'AI Act.

Per le telecamere tradizionali senza AI integrata, le regole rimangono quelle del GDPR. Ma chi usa sistemi con analisi intelligente delle immagini deve verificare se rientra nell'ambito dell'AI Act.

In sintesi

La DPIA per la videosorveglianza è obbligatoria quando l'impianto presenta rischi elevati per i diritti delle persone: monitoraggio sistematico, tecnologie avanzate, grandi quantità di dati, luoghi sensibili. Anche quando non è strettamente obbligatoria, documentare la valutazione è sempre una buona pratica. Chi non l'ha redatta quando avrebbe dovuto è esposto a sanzioni significative — e a una posizione molto debole in caso di ispezione o reclamo.