Videosorveglianza in cloud: cosa cambia per il GDPR e cosa deve sapere l'installatore

Privacy Videosorveglianza · Aggiornato giugno 2026

Videosorveglianza in cloud: cosa cambia per il GDPR e cosa deve sapere l'installatore

I sistemi di videosorveglianza in cloud e con accesso remoto da app sono sempre più diffusi. Sono comodi, scalabili e spesso più economici da installare. Ma dal punto di vista del GDPR cambiano alcune cose rispetto a un sistema locale — e l'installatore che propone queste soluzioni deve sapere cosa comportano per il cliente.

Cosa si intende per videosorveglianza in cloud

Un sistema di videosorveglianza tradizionale registra le immagini in locale — su un DVR o NVR fisicamente presente nel sito del cliente. Il cliente controlla tutto: dove sono i dati, chi vi accede, per quanto tempo vengono conservati.

Un sistema in cloud funziona diversamente: le immagini vengono trasmesse a server remoti gestiti dal produttore o da un fornitore terzo. Il cliente accede alle registrazioni tramite app o portale web. La comodità è reale — ma porta con sé una complessità normativa che nella videosorveglianza locale non esiste.

Sistema locale (DVR/NVR)

Registrazione in loco

Immagini salvate sul dispositivo del cliente
Nessun trasferimento dati a terzi
Accesso controllato dal cliente
Struttura normativa più semplice
Manutenzione fisica necessaria

Sistema cloud / accesso remoto

Registrazione su server remoti

Immagini su server del fornitore
Trasferimento dati a soggetto terzo
Accesso tramite app o portale web
Catena di responsabilità GDPR più complessa
Aggiornamenti automatici, nessun hardware locale

Il problema delle responsabilità GDPR

Quando le immagini escono dal sito del cliente e vanno su server di terzi, si crea una catena di soggetti che trattano dati personali. Il GDPR richiede che questa catena sia chiaramente definita per iscritto — e che ogni soggetto sappia esattamente quale ruolo ha.

Titolare del trattamento

Il cliente finale (azienda, negozio, condominio)

È sempre il cliente finale il titolare del trattamento — cioè chi decide finalità e modalità della videosorveglianza. Non cambia con il cloud.

Responsabile del trattamento

Il fornitore del servizio cloud

L'azienda che gestisce i server dove vengono archiviate le immagini deve essere nominata responsabile del trattamento con un contratto scritto (DPA — Data Processing Agreement). Senza questo contratto il trattamento non è conforme al GDPR.

Sub-responsabile (eventuale)

L'installatore con accesso remoto al sistema

Se l'installatore mantiene accesso al sistema per manutenzione o assistenza — anche solo per visualizzare le immagini in caso di problemi — diventa a sua volta un soggetto che tratta i dati del cliente. Anche questo rapporto deve essere regolato per iscritto.

Le domande che un installatore deve fare prima di proporre una soluzione cloud

Dove sono fisicamente i server del fornitore? Se sono fuori dall'UE (es. USA, Asia), si applicano regole aggiuntive per il trasferimento internazionale di dati. Serve una base giuridica specifica — clausole contrattuali standard o meccanismi equivalenti.

Il fornitore cloud mette a disposizione un DPA? I grandi fornitori (Axis, Milestone, Hanwha, Google Nest, ecc.) hanno documenti standard. I piccoli spesso no. Senza DPA il cliente non può usare il servizio in modo conforme al GDPR.

Per quanto tempo il fornitore conserva le immagini? Alcuni servizi cloud mantengono le registrazioni per 30, 60 o 90 giorni per default. Questo è quasi sempre sproporzionato — il cliente deve poter configurare tempi di conservazione conformi al Garante.

Chi oltre al cliente può accedere alle immagini? Molti fornitori cloud si riservano il diritto di accedere ai dati per manutenzione, debug o analisi. Questo deve essere documentato e comunicato al cliente.

Cosa succede ai dati se il cliente smette di pagare o il fornitore chiude? Il cliente ha diritto alla portabilità e alla cancellazione dei propri dati. Deve essere chiaro come avviene la restituzione o la distruzione delle immagini.

L'accesso remoto dell'installatore: un punto spesso ignorato

Molti installatori mantengono accesso remoto agli impianti dei clienti per comodità — per fare assistenza, verificare il funzionamento o risolvere problemi senza dover andare fisicamente sul posto. È comprensibile e spesso utile per il cliente.

Ma questo accesso significa che l'installatore può potenzialmente visualizzare le immagini del cliente — e quindi tratta dati personali. Dal punto di vista del GDPR, l'installatore diventa un responsabile del trattamento o un sub-responsabile, e deve essere designato come tale per iscritto.

Situazione comune non conforme: l'installatore mantiene le credenziali di accesso al sistema del cliente "per emergenza" senza che ci sia nessun accordo scritto. Se il Garante verifica questa situazione durante un'ispezione al cliente, entrambi sono in una posizione difficile.

Come regolarizzare l'accesso remoto

La soluzione è semplice: un accordo scritto tra installatore e cliente che definisce:

A quali sistemi l'installatore ha accesso e per quale scopo
Che l'accesso avviene solo su richiesta o in caso di necessità documentata
Che l'installatore non può visualizzare o conservare le immagini se non strettamente necessario
La durata dell'accordo e le modalità di revoca dell'accesso

Cosa cambia per i documenti del cliente

Quando si installa un sistema cloud invece di uno locale, i documenti che il cliente deve avere cambiano parzialmente:

Documenti aggiuntivi rispetto a un sistema locale:

Contratto DPA con il fornitore del servizio cloud — firmato prima di attivare il servizio
Verifica e documentazione della localizzazione dei server (UE o extra-UE)
Accordo scritto con l'installatore se mantiene accesso remoto
Aggiornamento del registro dei trattamenti con indicazione del fornitore cloud come responsabile
Verifica dei tempi di conservazione configurabili nel sistema cloud

Perché questa conoscenza è un vantaggio competitivo

La maggior parte degli installatori propone soluzioni cloud senza sapere — o senza dire al cliente — queste implicazioni normative. Non per malafede: semplicemente non è il loro mestiere principale.

Un installatore che sa spiegare al cliente cosa comporta una soluzione cloud dal punto di vista GDPR, che lo aiuta a capire cosa deve fare e che lo mette in contatto con chi può gestire la parte documentale, si distingue nettamente dalla concorrenza. Non vende solo hardware e cavi — vende competenza e tranquillità.

Opportunità concreta: ogni installazione cloud è un'occasione per proporre anche il servizio documentale. Il cliente sta già investendo in un sistema più sofisticato — è il momento giusto per spiegargli che la conformità GDPR è parte integrante di quell'investimento.

In sintesi

I sistemi di videosorveglianza in cloud creano una catena di responsabilità GDPR che i sistemi locali non hanno. Il fornitore cloud deve essere nominato responsabile del trattamento con un DPA scritto. L'installatore con accesso remoto deve essere designato per iscritto. I server extra-UE richiedono verifiche aggiuntive. Chi installa queste soluzioni e conosce queste implicazioni offre un servizio più completo — e protegge anche se stesso da responsabilità non volute.