Una telecamera è utile soltanto se finalità, angolo, lavoratori, conservazione, accessi e sicurezza sono progettati prima dell’attivazione.
Una telecamera è utile soltanto se finalità, angolo, lavoratori, conservazione, accessi e sicurezza sono progettati prima…
Definisci per ogni area un rischio concreto e verifica prima le misure alternative meno invasive.
Quale aspetto della videosorveglianza crea più incertezza nella tua struttura: posizionamento, lavoratori, conservazione o accesso ai filmati?
Installare una telecamera in hotel non significa soltanto scegliere un apparecchio e appendere un cartello. Significa decidere quale rischio si vuole ridurre, quali persone saranno riprese, per quanto tempo resteranno le immagini e chi potrà usarle. Se queste risposte arrivano dopo l’installazione, la struttura può ritrovarsi con un impianto costoso, invasivo e difficile da difendere proprio quando serve davvero.
La videosorveglianza può sostenere la protezione di persone e beni, la ricostruzione di un furto, la verifica di un accesso o la sicurezza di un parcheggio. Non autorizza però riprese indiscriminate, controlli occulti sul personale o la conservazione preventiva di tutto “nel caso un giorno possa servire”. Il Garante per la protezione dei dati personali e le Linee guida 3/2019 dell’EDPB chiedono finalità determinate, necessità, proporzionalità, trasparenza, sicurezza e tempi limitati.
Per un albergo il progetto è più delicato perché nello stesso edificio convivono ospiti, visitatori, fornitori e lavoratori. Una telecamera in reception può riprendere il banco, l’ingresso e chi lavora per molte ore; una telecamera nel corridoio può ricostruire spostamenti e numero di camera; una telecamera nel parcheggio può inquadrare strada, abitazioni o proprietà altrui. La posizione fisica non basta quindi a stabilire se il trattamento sia corretto.
Questa guida costruisce un metodo operativo dalla valutazione iniziale alla gestione di un filmato richiesto. È un contenuto informativo generale e non sostituisce la consulenza privacy, giuslavoristica, legale o di sicurezza sul singolo impianto. Tecnologie, aree riprese, organizzazione del personale, fornitori e finalità vanno verificati sul caso concreto.
La domanda iniziale non è “dove possiamo installarla?”, ma “quale evento concreto dobbiamo prevenire o documentare?”. Una finalità generica come “sicurezza” è troppo ampia per decidere angolo, orari, registrazione e conservazione.
Descrivi il problema in modo verificabile:
Per ogni rischio annota episodi precedenti, fascia oraria, frequenza, persone esposte e misure già provate. Serrature, controllo accessi, illuminazione, presidio umano, delimitazioni o modifica del percorso possono raggiungere lo stesso risultato con minore invasività. Se una soluzione meno intrusiva è ragionevolmente efficace, la telecamera diventa più difficile da giustificare.
Molte strutture ricorrono al legittimo interesse previsto dall’articolo 6 del GDPR, ma non basta scriverlo nell’informativa. Occorre documentare:
Il consenso dell’ospite non è normalmente la scorciatoia giusta: chi deve attraversare la reception per usare la camera non dispone di una scelta davvero libera. Anche l’assenza di proteste non rende necessario o proporzionato l’impianto.
Prima di acquistare o spostare una telecamera, usa una planimetria. Per ogni dispositivo indica posizione, campo visivo, altezza, zoom, zone mascherate, illuminazione notturna, microfono, persone che possono transitare e motivo della ripresa.
Un’inquadratura può proteggere il varco senza trasformare l’intero banco in una postazione di controllo permanente. Evita di rendere leggibili documenti, schermi, tastiere, terminali di pagamento e moduli compilati. Verifica che la telecamera non segua inutilmente il personale durante tutto il turno.
La necessità va dimostrata per ciascuna area. Un corridoio rivela chi raggiunge una determinata camera e in quale momento; l’ascensore è uno spazio ristretto nel quale la persona non può evitare la ripresa. Limita il campo al varco o al tratto davvero pertinente e non inquadrare l’interno delle camere quando la porta si apre.
Riprendi quanto è necessario delle aree di pertinenza. Il Garante, in un provvedimento del 13 marzo 2025 relativo anche a un hotel, ha contestato riprese eccedenti che coinvolgevano accessi di terzi. Usa mascheramenti, riduci zoom e orientamento e verifica di giorno e di notte ciò che finisce realmente nel fotogramma, non soltanto ciò che mostra la planimetria.
Camere, bagni, spogliatoi, aree per cambiarsi e ambienti nei quali la persona si aspetta particolare intimità non sono luoghi da videosorvegliare. Spa, piscina, trattamenti e palestra richiedono una cautela superiore: anche quando si vuole proteggere un accesso, l’angolo deve evitare corpi, lettini, docce e attività non pertinenti.
Magazzini, cucine, uffici, back office e locali tecnici sono anche luoghi di lavoro. La protezione dei beni non elimina le regole sul controllo a distanza dei lavoratori. La mappa deve quindi riportare turni, postazioni e possibilità effettiva di identificare o seguire il personale.
Fai un test con persone di altezze diverse e nelle condizioni reali. Una telecamera che sulla carta riprende una porta può, grazie a grandangolo o riflessi, mostrare molto di più. Conserva uno screenshot campione di ogni inquadratura approvata e confrontalo durante gli audit successivi.
“Telecamera” può indicare trattamenti molto diversi. Prima della configurazione, separa le funzioni.
| Funzione | Impatto operativo | Domanda da chiudere prima dell’attivazione |
|---|---|---|
| Visione in diretta | persone osservabili in tempo reale | chi guarda, da dove e in quali circostanze? |
| Registrazione | immagini conservate e ricercabili | per quanto tempo, con quale cancellazione automatica? |
| Audio | conversazioni e suoni associati alle immagini | è davvero necessario e su quale base? |
| Zoom o brandeggio | possibilità di seguire persone e dettagli | chi può comandarlo e con quali limiti? |
| Rilevamento movimento | eventi o clip generati automaticamente | quali falsi positivi e quali aree attivano l’evento? |
| Analisi intelligente | classificazione di persone o comportamenti | quali dati produce, con quale accuratezza e rischio? |
| Riconoscimento biometrico | identificazione o autenticazione | esiste una base specifica e una valutazione ad alto rischio? |
| Cloud e accesso remoto | dati disponibili fuori dalla rete dell’hotel | dove sono ospitati, chi vi accede e con quali credenziali? |
La sola visione in diretta resta un trattamento di dati personali anche se non registra. Il monitor non dovrebbe essere visibile a ospiti e persone non autorizzate. La registrazione aumenta utilità probatoria, ma introduce ricerca, conservazione, esportazione e cancellazione.
Mantieni l’audio disabilitato se non è stato separatamente valutato e giustificato. Registrare conversazioni alla reception per “avere più prove” è molto più invasivo della ripresa del varco. Disattiva anche funzioni intelligenti, riconoscimento facciale, conteggio o tracciamento che il fornitore lascia accese per impostazione predefinita ma che il progetto non richiede.
La protezione dei dati fin dalla progettazione, prevista dall’articolo 25 del GDPR, deve tradursi in impostazioni concrete: campo ridotto, risoluzione adeguata allo scopo, mascheramenti, nessun audio non necessario, conservazione breve, privilegi minimi e cancellazione automatica verificata.
Quando dalle telecamere può derivare anche la possibilità di controllo a distanza dei dipendenti, entrano in gioco le garanzie dell’articolo 4 dello Statuto dei lavoratori. La norma consente impianti per esigenze organizzative e produttive, sicurezza del lavoro e tutela del patrimonio, ma richiede l’accordo sindacale oppure, quando manca, l’autorizzazione dell’Ispettorato competente.
La procedura va completata prima dell’installazione o dell’attivazione quando il sistema ricade in questo perimetro. Le avvertenze dell’Ispettorato Nazionale del Lavoro aiutano a preparare l’istanza e la documentazione tecnica. Non è corretto installare l’impianto, lasciarlo spento in attesa e trattare poi l’autorizzazione come una sanatoria automatica.
Prepara almeno:
Il Garante ha continuato a intervenire sul tema, anche nei provvedimenti dell’11 settembre 2025 e del 29 gennaio 2026. Un cartello rivolto al pubblico non sostituisce l’informazione ai lavoratori, e la finalità dichiarata come tutela del patrimonio non autorizza un monitoraggio ordinario di prestazioni, pause o comportamenti.
Le immagini possono assumere rilievo disciplinare soltanto se impianto, informazione e trattamento rispettano le norme applicabili. Prima di usare un filmato contro un dipendente, preserva il segmento, limita gli accessi e coinvolgi privacy, consulente del lavoro e legale: un evento serio non giustifica una scorciatoia procedurale.
Il cartello deve essere visibile prima che la persona entri nell’area sorvegliata. Non può essere nascosto dietro la porta, stampato in caratteri illeggibili o collocato dopo il punto in cui la ripresa è già iniziata.
Il primo livello deve permettere di comprendere subito almeno:
Un QR code può aiutare, ma non dovrebbe essere l’unico modo. Aggiungi un indirizzo breve o indica un punto fisico accessibile. Verifica il percorso con un telefono privo di Wi‑Fi dell’hotel e con una persona che non conosce il sito.
L’informativa di secondo livello, coerente con gli articoli 12 e 13 del GDPR, dovrebbe spiegare in modo chiaro:
Allinea cartello, informativa, registro dei trattamenti, contratto con il fornitore e configurazione reale. Scrivere “24 ore” mentre il registratore conserva sette giorni crea una contraddizione documentale e operativa. Conserva versione e data delle informative, così puoi sapere quale testo era esposto quando è avvenuto un episodio.
Non esiste una regola generale secondo cui ogni hotel può conservare i filmati per 24, 48 o 72 ore. Il titolare deve scegliere il periodo più breve capace di soddisfare la finalità documentata.
Le FAQ del Garante indicano che, nella maggior parte dei casi, le immagini dovrebbero essere cancellate dopo pochi giorni e che una conservazione superiore a 72 ore richiede argomenti più solidi. Non significa che 72 ore siano automaticamente corrette; significa che ogni estensione deve essere motivata in relazione a rischio, tempi di scoperta e organizzazione.
Per stabilire il termine, misura:
Configura la sovrascrittura automatica e testala. Un menu impostato su “due giorni” non basta se il dispositivo smette di cancellare per errore, conserva snapshot separati o replica i file nel cloud.
Quando si verifica un episodio, puoi preservare il segmento pertinente per il tempo necessario alla gestione, alla richiesta dell’autorità, alla pratica assicurativa o alla difesa di un diritto. Registra motivo, intervallo, data di estrazione, persona che autorizza, destinazione e data di riesame. Bloccare un minuto utile non giustifica la conservazione indefinita dell’intero archivio.
Definisci chi può vedere in diretta, cercare una registrazione, esportare un file, modificare la configurazione e autorizzare una consegna. Queste azioni non richiedono necessariamente lo stesso livello di privilegio.
Una matrice semplice può separare:
| Ruolo | Diretta | Ricerca | Esportazione | Configurazione | Consegna a terzi |
|---|---|---|---|---|---|
| Reception | solo aree necessarie e nel turno | no, salvo procedura | no | no | no |
| Responsabile di turno | se necessario | casi assegnati | con autorizzazione | no | no |
| Responsabile sicurezza/privacy | sì, secondo perimetro | sì | sì, tracciata | verifica | prepara il fascicolo |
| Tecnico esterno | solo test autorizzato | no, salvo assistenza documentata | no | attività assegnate | no |
| Direzione o legale delegato | su richiesta motivata | caso specifico | copia pertinente | no | autorizza o esegue |
La matrice va adattata alla struttura, non copiata automaticamente. Applica credenziali individuali, autenticazione a più fattori quando disponibile, timeout, blocco dello schermo e registrazione degli accessi. Elimina account di fabbrica, password condivise e profili di tecnici non più incaricati.
Posiziona i monitor in un’area non visibile a ospiti e visitatori. Se la reception deve vedere un varco, limita la schermata alla vista necessaria e impedisci ricerche o esportazioni da quella postazione. Una fotografia del monitor scattata con il telefono personale non è un export controllato e non deve diventare la procedura di emergenza.
Forma il personale con scenari reali: furto, ospite che chiede di “vedere subito”, polizia al banco, assicuratore che vuole un file, tecnico che domanda accesso remoto, dipendente coinvolto. La risposta corretta è aprire il caso e coinvolgere il ruolo competente, non mostrare immagini per cortesia o pressione.
Una persona ripresa può esercitare i diritti previsti dal GDPR, compreso l’accesso ai propri dati. L’hotel deve però verificare la richiesta e proteggere diritti e libertà altrui. In una lobby o in un ascensore il filmato può mostrare altri ospiti, lavoratori, minori, numeri di camera o conversazioni visibili.
Usa un flusso controllato:
L’articolo 15 del GDPR riconosce il diritto di accesso, mentre l’articolo 15, paragrafo 4, tutela i diritti e le libertà altrui. Questo non consente di respingere ogni domanda con una formula generica: occorre cercare una soluzione proporzionata, come il mascheramento delle terze persone o una copia limitata.
Non promettere una visione immediata al banco. Non lasciare che l’ospite filmi il monitor. Se la domanda riguarda un furto in camera, preserva anche log di serratura, consegna delle chiavi e cronologia degli interventi: la telecamera è una parte del fascicolo, non una prova isolata.
Quando arriva una richiesta urgente, separa tre azioni:
Puoi preservare tempestivamente un intervallo senza decidere nello stesso minuto chi lo riceverà. Registra chi formula la richiesta, ente o soggetto, riferimenti del caso, base invocata, area, orario, urgenza e modalità di risposta. Se la richiesta è verbale, identifica l’ufficio e usa il canale istituzionale indicato; non inviare materiale a un numero WhatsApp o a un indirizzo personale soltanto perché sembra urgente.
Per l’autorità giudiziaria o di polizia segui la richiesta e coinvolgi il responsabile designato. Il Garante ammette una conservazione più lunga quando serve a una specifica richiesta dell’autorità, ma il file deve restare limitato e protetto.
Un assicuratore, un avvocato, un investigatore privato o la persona danneggiata non acquisiscono automaticamente il diritto al filmato integrale. Verifica mandato, finalità, base giuridica e proporzionalità; oscura o limita quando necessario; registra ciò che consegni e conserva una copia identica con hash o altro controllo d’integrità per i casi rilevanti.
La scheda di esportazione dovrebbe contenere almeno codice del caso, telecamera, intervallo, formato, data e ora del sistema, eventuale scostamento dell’orologio, operatore, supporto, destinatario, motivo, hash del file e firme o ricevute. Non rinominare o montare l’originale; crea una copia di lavoro per oscuramenti e annotazioni.
L’installatore non è automaticamente autorizzato a vedere le immagini ogni volta che si collega. Mappa il ruolo di ogni soggetto: installatore, manutentore, vigilanza, provider cloud, software house, rete e assistenza remota.
Quando un fornitore tratta dati per conto dell’hotel, il rapporto deve rispettare l’articolo 28 del GDPR. Il contratto dovrebbe chiarire:
Chiedi una dimostrazione dell’accesso remoto: quali porte e servizi sono esposti, chi crea gli account, se esiste MFA, dove finiscono log e backup, chi può reimpostare la password e cosa accade quando il contratto termina. Evita accessi permanenti del tecnico “per comodità”. Apri una finestra temporanea per l’assistenza e chiudila dopo il test.
Se il sistema usa cloud, non basarti sul nome commerciale. Verifica regione dei dati, sub-responsabili, replica, disaster recovery, esportazione, cancellazione e dipendenza dall’account del rivenditore. L’hotel deve poter recuperare configurazione e filmati pertinenti anche se cambia fornitore.
Una telecamera vulnerabile può trasformare una misura di sicurezza in una fonte di esposizione. L’articolo 32 del GDPR richiede misure tecniche e organizzative adeguate al rischio.
Il piano minimo comprende:
Prepara anche un playbook per accesso abusivo, diffusione di immagini, perdita del registratore, credenziali compromesse o configurazione che riprende aree errate. Le prime azioni sono contenere l’accesso, preservare log, non cancellare prove, coinvolgere privacy e sicurezza, identificare persone e dati interessati e valutare gli obblighi di notifica.
Il termine di 72 ore del GDPR riguarda l’eventuale notifica di una violazione all’autorità quando ricorrono i presupposti; non è il tempo massimo per tenere i filmati. Confondere le due regole produce policy errate. L’articolo dedicato al data breach in hotel approfondisce valutazione del rischio, registro, comunicazioni e gestione delle prime 72 ore.
L’articolo 35 del GDPR richiede una valutazione d’impatto quando il trattamento può presentare un rischio elevato, compresa la sorveglianza sistematica su larga scala di aree accessibili al pubblico. Non ogni telecamera comporta automaticamente lo stesso esito: documenta la valutazione e chiedi supporto competente nei casi dubbi.
Controlla se finalità e rischio esistono ancora, se le telecamere sono state ruotate, se nuovi arredi cambiano la ripresa, se il firmware è supportato, se account e fornitori sono aggiornati, se la cancellazione funziona e se cartelli e informativa corrispondono al sistema.
La procedura va collegata a quella generale di assistenza legale per strutture ricettive: privacy, lavoro, prova, assicurazione e rapporto con l’ospite si incontrano nello stesso fascicolo, ma non hanno la stessa base né lo stesso responsabile.
Le risposte seguenti sono indicazioni generali. Il progetto concreto deve essere verificato rispetto a GDPR, provvedimenti del Garante, Statuto dei lavoratori, organizzazione, tecnologia e finalità dell’hotel.
Non esiste un’autorizzazione generale preventiva del Garante per ogni impianto. Il titolare deve però rispettare GDPR e regole applicabili, documentare le scelte e svolgere una DPIA quando il rischio lo richiede. Se le riprese possono controllare a distanza i lavoratori, possono essere necessari accordo sindacale o autorizzazione dell’Ispettorato prima dell’installazione.
No. Il cartello di primo livello deve essere visibile prima dell’area ripresa e fornire le informazioni essenziali; l’informativa completa di secondo livello deve essere facilmente accessibile. Entrambi devono corrispondere a finalità, titolare, tempi, destinatari e configurazione reali.
Non automaticamente. Può essere possibile quando esistono una finalità concreta, necessità e proporzionalità, ma vanno limitati campo visivo, dettagli ripresi, tempi e accessi. Bisogna inoltre considerare il controllo dei lavoratori e l’elevata informazione ricavabile dagli spostamenti degli ospiti.
Camere, bagni, spogliatoi e aree in cui la persona si cambia o si aspetta particolare intimità non sono luoghi da videosorvegliare. Per accessi a spa o piscina occorre progettare un angolo strettamente limitato al varco, evitando corpi, trattamenti, docce e attività non pertinenti.
L’audio è un trattamento ulteriore e più invasivo: non deve essere attivato perché il dispositivo lo offre. Occorrono necessità, base, informazione, sicurezza e valutazioni specifiche. Nella normale sorveglianza alberghiera va di regola mantenuto disabilitato salvo un caso eccezionale adeguatamente verificato.
Non esiste un termine universale. Va scelto il periodo più breve adeguato alla finalità. Il Garante parla in generale di pochi giorni e richiede motivazioni più forti oltre 72 ore. Un segmento legato a un caso può essere isolato più a lungo per una finalità specifica, con accessi e riesame documentati.
Può esercitare il diritto di accesso ai propri dati, ma ciò non comporta la consegna immediata e senza filtri del video grezzo. L’hotel deve verificare identità, presenza, intervallo e tutelare altre persone, ricorrendo quando necessario a oscuramento o estrazione limitata.
È possibile quando esiste una richiesta e una base appropriata, ma la struttura deve distinguere preservazione e comunicazione. Identifica il destinatario, limita intervallo e contenuto, usa un canale sicuro e registra file, integrità, motivo e ricevuta. Un assicuratore non riceve automaticamente l’intero archivio.
Soltanto nel perimetro autorizzato e contrattualizzato. Servono ruoli chiari, istruzioni, sicurezza, log e controllo dei subfornitori. L’accesso permanente con password condivisa non è una manutenzione corretta; meglio finestre temporanee e privilegi minimi.
Non basta che il filmato esista. Impianto, accordo o autorizzazione, informazione ai lavoratori e trattamento devono essere conformi. Prima di un uso disciplinare occorre verificare il caso con consulente del lavoro, privacy e legale, preservando soltanto il segmento pertinente.
Fonti verificate al 25 agosto 2026: Garante Privacy — FAQ videosorveglianza; EDPB — Linee guida 3/2019; GDPR; Statuto dei lavoratori, articolo 4; Ispettorato Nazionale del Lavoro. Informazioni generali: il singolo impianto richiede verifica privacy, giuslavoristica, legale e di sicurezza.
Il confronto continua nella Community Revenue & Co.: proponi un tema, condividi un caso o partecipa alle conversazioni.
Quale aspetto della videosorveglianza crea più incertezza nella tua struttura: posizionamento, lavoratori, conservazione o accesso ai filmati?
I commenti e il confronto proseguono sui canali social e nello spazio Community di Revenue & Co.
Mappiamo finalità, aree, lavoratori, fornitori, tempi e accessi per trasformare l’impianto in un presidio controllabile.
