Telecamere negli spogliatoi della piscina: il Garante sanziona ASIS Trento

Neppure l'accordo sindacale e la finalità antifurto bastano a legittimare la videosorveglianza in un luogo ad alta aspettativa di riservatezza. Analisi del provvedimento n. 619 del 3 settembre 2026 e indicazioni operative per enti pubblici, palestre, piscine e centri sportivi.

Gli spogliatoi sono uno dei luoghi in cui la tutela della riservatezza raggiunge il suo livello più alto. Lo ha ribadito con chiarezza il Garante per la protezione dei dati personali, che con il provvedimento n. 619 del 3 settembre 2026 (doc. web n. 10294255) ha inflitto una sanzione di 8.000 euro all'Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (ASIS) per le telecamere installate negli spogliatoi della piscina del Centro sportivo Trento Nord, a Gardolo.

Il caso è interessante ben oltre l'importo della sanzione, perché l'Autorità ha smontato uno per uno gli argomenti che molti titolari considerano, in buona fede, sufficienti: la finalità di prevenzione dei furti, il fatto di non riprendere docce e cabine, l'esistenza di un accordo sindacale, la presenza di un cartello all'ingresso.

Il caso: telecamere puntate sugli armadietti dal 2007

L'istruttoria è partita da notizie di stampa e da alcune segnalazioni. Dagli accertamenti è emerso che, fin dal 2007, negli spogliatoi maschile e femminile della piscina erano attive telecamere che inquadravano la zona degli armadietti in cui gli utenti lasciano portafogli, telefoni e altri effetti personali durante l'attività sportiva.

L'Azienda ha motivato la scelta con i ripetuti furti subiti dalla struttura, precisando che le riprese non riguardavano le cabine per il cambio, le docce e i servizi igienici, che vicino agli armadietti non c'erano panche o sedute, che le immagini non venivano visionate in tempo reale e che due soli incaricati potevano accedervi, e solo su richiesta dell'autorità giudiziaria o di pubblica sicurezza. Le registrazioni venivano conservate per 72 ore e un cartello informativo era affisso all'ingresso della struttura.

Nonostante questo quadro, il Garante ha accertato tre distinte violazioni: assenza di base giuridica e violazione del principio di liceità, correttezza e trasparenza; informative inadeguate nei confronti di utenti e lavoratori; violazione del principio di limitazione della conservazione.

Primo profilo: la videosorveglianza negli spogliatoi è, di regola, sproporzionata

Il cuore del provvedimento riguarda la liceità del trattamento. ASIS è un ente strumentale del Comune e, come soggetto pubblico, può trattare dati personali solo se ciò è necessario per adempiere un obbligo di legge o per svolgere un compito di interesse pubblico (art. 6, par. 1, lett. c) ed e), GDPR e art. 2-ter del Codice privacy), sempre nel rispetto dei principi di necessità, proporzionalità e minimizzazione.

Il Garante richiama il proprio orientamento consolidato, già espresso nei provvedimenti generali sulla videosorveglianza del 2004 e del 2010 e in decisioni successive, secondo cui gli spogliatoi, al pari di toilette e cabine, sono per natura luoghi in cui l'intimità e la dignità della persona richiedono una protezione rafforzata. Riprendere l'interno di questi locali è quindi, di norma, eccessivamente invasivo, anche quando l'inquadratura esclude le aree in cui ci si spoglia materialmente.

La tutela del patrimonio è una finalità legittima, ma nel bilanciamento con i diritti fondamentali degli utenti la sproporzione è stata ritenuta evidente.

L'accordo sindacale non "sana" un trattamento sproporzionato

È forse il passaggio più significativo per enti e datori di lavoro. ASIS aveva stipulato già nel settembre 2007 un accordo con la rappresentanza sindacale aziendale ai sensi dell'art. 4 della L. 300/1970 (Statuto dei Lavoratori), che menzionava espressamente le telecamere degli spogliatoi maschili e femminili.

Per il Garante questo non è sufficiente. L'art. 4 dello Statuto, richiamato dall'art. 114 del Codice privacy, costituisce la base giuridica per i trattamenti derivanti da strumenti che consentono il controllo indiretto dei lavoratori e rappresenta una norma "più specifica" ai sensi dell'art. 88 GDPR. Tuttavia le parti sociali non possono concordare trattamenti che contrastano con i principi fondamentali di protezione dei dati, e in particolare con i canoni di necessità e proporzionalità. A sostegno, l'Autorità richiama la sentenza della Corte di giustizia UE del 19 dicembre 2024, causa C-65/23, secondo cui gli accordi collettivi in materia di dati dei dipendenti restano soggetti al pieno rispetto del GDPR.

In altre parole: l'accordo sindacale (o l'autorizzazione dell'Ispettorato del lavoro) è una condizione necessaria per installare telecamere nei luoghi di lavoro, ma non è mai, da sola, una condizione sufficiente. Tanto meno può legittimare le riprese degli utenti.

Le alternative meno invasive vanno valutate prima, e documentate

Il Garante rimprovera all'Azienda di non aver dimostrato di aver considerato, prima di attivare il sistema, soluzioni ugualmente efficaci ma meno invasive. L'esempio indicato è semplice: la possibilità per gli utenti di chiudere l'armadietto con lucchetti personali, misura che le Linee guida EDPB 3/2019 sui dispositivi video considerano potenzialmente efficace quanto le telecamere contro furti e vandalismi.

Altrettanto rilevante la critica alla valutazione d'impatto (DPIA) prodotta da ASIS, giudicata apodittica: si limitava ad affermare che i dati erano pertinenti e limitati al necessario, senza alcuna reale analisi. È un monito per tutti i titolari che trattano la DPIA come un adempimento formale da compilare con formule standard.

Secondo profilo: il cartello all'ingresso della struttura non basta

Sul piano della trasparenza, il Garante ricorda lo schema a due livelli ormai consolidato. L'informativa di primo livello è il cartello di avvertimento, che deve indicare almeno finalità, titolare, diritti degli interessati e le informazioni che l'utente potrebbe non aspettarsi, come i tempi di conservazione o l'eventuale comunicazione a terzi, oltre a un rinvio chiaro all'informativa completa. L'informativa di secondo livello deve contenere tutti gli elementi dell'art. 13 GDPR ed essere facilmente accessibile, ad esempio tramite il sito web o in un punto ben visibile della struttura.

Il cartello, inoltre, deve essere collocato prima dell'accesso alla specifica zona sorvegliata, in modo che l'interessato possa capire quale area è coperta dalle telecamere e regolare di conseguenza il proprio comportamento. Un unico avviso all'ingresso dell'impianto sportivo non consente all'utente di sapere che proprio lo spogliatoio, cioè il luogo in cui meno se lo aspetterebbe, è videosorvegliato. Da qui la violazione degli artt. 5, par. 1, lett. a), 12 e 13 GDPR.

Una violazione analoga è stata accertata nei confronti dei dipendenti: l'informativa specifica sul trattamento dei loro dati tramite le telecamere è stata consegnata solo nel giugno 2026, a procedimento già avviato. L'accordo sindacale, anche qui, non esonera dall'obbligo di informare individualmente i lavoratori.

Terzo profilo: 72 ore di conservazione senza giustificazione

L'ultimo rilievo riguarda i tempi di conservazione. Le Linee guida EDPB 3/2019 indicano che, per finalità di tutela del patrimonio, le immagini dovrebbero di regola essere cancellate dopo pochi giorni, preferibilmente in automatico, e che quanto più il periodo si allunga, soprattutto oltre le 72 ore, tanto più solida deve essere la motivazione. Il provvedimento generale del Garante del 2010 indicava come riferimento le 24 ore, salvo esigenze particolari.

Nel caso di ASIS, il problema non è stato tanto il numero di ore in sé, quanto l'assenza di una valutazione preventiva che ne dimostrasse la necessità. Anche su questo punto la DPIA si limitava a un'affermazione generica. Nel corso del procedimento l'Azienda ha ridotto la conservazione a 12/24 ore.

La sanzione e i criteri di quantificazione

Le violazioni, derivanti da un'unica condotta, rientravano nella fascia dell'art. 83, par. 5, GDPR, con un massimo edittale fino a 20 milioni di euro. Il Garante ha qualificato la gravità come media e la condotta come colposa, tenendo conto della lunga durata del trattamento ma anche del fatto che le riprese escludevano docce, cabine e servizi igienici e che non erano finalizzate a trattare categorie particolari di dati.

A favore dell'Azienda hanno pesato la buona collaborazione, lo spegnimento delle telecamere pochi giorni dopo la contestazione, l'aggiornamento di cartellonistica e informative, la riduzione dei tempi di conservazione e l'assenza di precedenti violazioni. La sanzione è stata così fissata in 8.000 euro, con facoltà di definire la controversia pagandone la metà entro 30 giorni (art. 166, comma 8, del Codice privacy). È stata inoltre disposta, come sanzione accessoria, la pubblicazione dell'ordinanza ingiunzione sul sito del Garante, proprio in considerazione della particolare delicatezza dei luoghi coinvolti.

Non va sottovalutato questo aspetto: per un ente pubblico o per un gestore privato, il danno reputazionale derivante dalla pubblicazione e dalla risonanza mediatica di un caso di telecamere negli spogliatoi può essere ben più pesante della sanzione economica.

Cosa imparare dal caso ASIS: indicazioni pratiche

Il provvedimento offre una vera e propria checklist per Comuni, aziende speciali, società partecipate e gestori privati di piscine, palestre, centri benessere e impianti sportivi.

1. Spogliatoi, bagni e aree di cambio: telecamere fuori, salvo casi eccezionalissimi

Il principio è netto. Anche un'inquadratura limitata agli armadietti è stata ritenuta sproporzionata. La soluzione più sicura è non installare dispositivi video all'interno di questi locali, valutando semmai la ripresa dei soli accessi dall'esterno, con inquadrature attentamente calibrate.

2. Prima delle telecamere, le alternative

Armadietti con serratura rinforzata o lucchetto personale, cassette di sicurezza custodite alla reception, controllo degli accessi agli spogliatoi: sono misure da valutare e documentare prima di ricorrere alla videosorveglianza.

3. Una DPIA vera, non di facciata

La valutazione d'impatto deve contenere un'analisi concreta di necessità, proporzionalità, alternative e tempi di conservazione. Frasi generiche e moduli precompilati non superano il vaglio dell'Autorità.

4. Accordo sindacale sì, ma non basta

Se le telecamere riprendono anche i lavoratori, l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro sono indispensabili, ma devono rispettare i principi del GDPR. Un sistema sproporzionato resta illecito anche se concordato con le rappresentanze.

5. Cartelli prima di ogni area sorvegliata e informativa completa

Il cartello va posto prima dell'ingresso di ciascuna zona videosorvegliata, non soltanto all'accesso della struttura, con il rinvio all'informativa estesa. Ai dipendenti va consegnata un'informativa specifica.

6. Tempi di conservazione motivati

Il riferimento prudente resta di 24 ore. Ogni periodo più lungo deve essere giustificato per iscritto in relazione alle concrete esigenze del titolare, con cancellazione automatica alla scadenza.

7. Rivedere periodicamente gli impianti esistenti

Nel caso di Trento il sistema era attivo da quasi vent'anni. Impianti installati in passato, magari prima del GDPR, vanno sottoposti a una verifica di conformità: la loro "anzianità" non costituisce alcuna garanzia.

--------------------------------

Il tuo impianto di videosorveglianza è davvero conforme?

Gestisci una piscina, una palestra, un centro sportivo o sei un ente pubblico con telecamere nei tuoi edifici? Il caso ASIS dimostra che un sistema installato in buona fede, con tanto di accordo sindacale e cartello informativo, può comunque portare a una sanzione del Garante e a un danno d'immagine difficile da recuperare.

Lo Studio Legale Avv. Gabriele De Luca & Partners affianca Comuni, enti strumentali, aziende speciali e imprese private nella verifica e nell'adeguamento dei sistemi di videosorveglianza al GDPR: analisi della base giuridica e della proporzionalità, redazione della valutazione d'impatto, informative di primo e secondo livello, definizione dei tempi di conservazione, gestione dei rapporti con le rappresentanze sindacali e con l'Ispettorato del lavoro, assistenza nei procedimenti davanti al Garante e servizio di Responsabile della Protezione dei Dati (DPO).

👉 Enti pubblici e partecipate: scopri il servizio Privacy: attuazione del GDPR e fornitura del DPO

👉 Imprese, palestre e centri sportivi privati: scopri il servizio Privacy aziendale: attuazione del GDPR e fornitura del DPO

Richiedi una verifica del tuo impianto di videosorveglianza prima che lo faccia il Garante.

____

Fonte: Garante per la protezione dei dati personali, provvedimento n. 619 del 3 settembre 2026, doc. web n. 10294255; Newsletter del Garante dell'11 settembre 2026.