Videosorveglianza negli spogliatoi: cosa impone il Garante a chi gestisce piscine e palestre
Il Garante per la protezione dei dati personali è tornato a occuparsi di telecamere installate in luoghi che richiedono un livello di riservatezza particolarmente elevato, sanzionando con il provvedimento del 3 settembre 2026 l’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento (ASIS) per l’impianto di videosorveglianza attivo dal 2007 nello spogliatoio della piscina “Trento Nord”, nel quartiere di Gardolo.
Le telecamere, secondo quanto accertato dall’Autorità, inquadravano non solo gli accessi ma anche gli armadietti destinati al deposito degli effetti personali degli utenti, ossia proprio l’area dello spogliatoio in cui le persone si spogliano e ripongono i propri oggetti. Il Garante ha ritenuto che questo trattamento fosse privo di un’idonea base giuridica, dal momento che le esigenze di sicurezza e prevenzione dei furti, pur legittime in astratto, non possono tradursi in una ripresa costante di un ambiente in cui l’aspettativa di riservatezza delle persone è massima, a meno che la misura non sia strettamente necessaria e proporzionata rispetto a rischi specifici e documentati.
A questo si è aggiunta la mancata trasparenza nei confronti di utenti e lavoratori, ai quali non risulta fosse stata fornita un’informativa adeguata sulla presenza delle telecamere e sulle relative finalità, e un tempo di conservazione delle immagini di 72 ore che l’Autorità ha giudicato superiore a quanto necessario rispetto agli scopi dichiarati.
Per queste ragioni il Garante ha richiamato un ampio insieme di disposizioni del Regolamento (UE) 2016/679, tra cui gli articoli 5, 6, 9, 12, 13, 24, 25, 58 e 83, oltre agli articoli 2-ter, 114, 152, 157 e 166 del Codice in materia di protezione dei dati personali, e ha irrogato una sanzione pecuniaria di 8.000 euro, che ASIS potrà definire in forma agevolata versando 4.000 euro entro trenta giorni ai sensi dell’art. 166, comma 8, del Codice. Il provvedimento è stato inoltre pubblicato integralmente sul sito del Garante.
Il profilo, distinto, dei lavoratori della struttura
Il provvedimento richiama anche l’articolo 88 del GDPR, dedicato al trattamento dei dati personali nel contesto lavorativo, e l’articolo 4 dello Statuto dei Lavoratori (legge 300/1970), che disciplina il controllo a distanza del personale. Si tratta di un profilo distinto e concorrente rispetto a quello, più immediatamente visibile, degli utenti della piscina, ossia le telecamere che possono incidere anche sui lavoratori della struttura (bagnini, addetti alla pulizia e alla reception) non ricadono soltanto sotto il GDPR, ma restano soggette anche alla disciplina dello Statuto dei Lavoratori, che richiede, per gli impianti da cui possa derivare un controllo a distanza dell’attività dei dipendenti, un accordo con le rappresentanze sindacali oppure, in mancanza, l’autorizzazione dell’Ispettorato territoriale del lavoro. Per gli enti che gestiscono impianti sportivi con personale dipendente, la verifica non può quindi limitarsi all’informativa privacy, ma deve estendersi a questo adempimento ulteriore e autonomo.
Cosa cambia per Comuni, partecipate e gestori di impianti sportivi
Il caso di Trento non riguarda soltanto l’azienda sanzionata, perché il principio che ne emerge tocca da vicino tutti gli enti pubblici e le società partecipate che gestiscono piscine, palestre e impianti sportivi, spesso dotati di sistemi di videosorveglianza installati anni fa e mai più rivisti. Ne discende un’indicazione operativa piuttosto chiara, ossia che le telecamere destinate alla sicurezza generale della struttura, come ingressi, corridoi e aree comuni, vanno tenute distinte, anche nell’orientamento fisico dell’obiettivo, dalle zone in cui le persone si spogliano o ripongono i propri effetti personali, che restano di norma escluse dalla ripresa salvo esigenze specifiche e documentate.
Allo stesso modo, il caso richiama la necessità di un’informativa effettiva ed esposta in modo visibile agli utenti, oltre che ai lavoratori che operano nella struttura, e di tempi di conservazione delle immagini proporzionati alla finalità dichiarata, che per la generalità dei sistemi di videosorveglianza restano ancorati, salvo comprovate esigenze specifiche da documentare caso per caso, a un arco temporale breve.
| Elemento | Cosa ha accertato il Garante | Indicazione operativa per gli enti |
| Area ripresa | Spogliatoio, inclusi gli armadietti per gli effetti personali | Escludere dall’inquadratura le zone di spogliazione e gli armadietti |
| Base giuridica | Assente/inidonea rispetto a una finalità di sicurezza genericamente enunciata | Documentare rischi specifici prima di riprendere aree ad elevata riservatezza |
| Personale dipendente | Le telecamere possono incidere anche sui lavoratori della struttura (art. 88 GDPR; art. 4 legge 300/1970) | Verificare accordo sindacale o autorizzazione dell’Ispettorato del Lavoro, distinti dagli adempimenti GDPR verso gli utenti |
| Informativa | Non risulta fornita in modo adeguato a utenti e lavoratori | Cartellonistica visibile ed estensione dell’informativa ai lavoratori |
| Conservazione immagini | 72 ore, ritenute superiori al necessario | Limitare la conservazione al tempo minimo necessario, documentando la scelta |
| Sanzione | 8.000 euro (4.000 euro in forma agevolata entro 30 giorni) | – |
Fonte: Garante per la protezione dei dati personali, Provvedimento del 3 settembre 2026, n. 619/2026 (doc. web n. 10294255) – https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10294255
Enrico Capirone – Presidente iSimply srl, DPO
Fonte ufficiale: Garante per la protezione dei dati personali, Provvedimento del 3 settembre 2026, doc. web n. 10294255 – https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10294255
Nota volontaria di trasparenza sull’uso dell’intelligenza artificiale. Questo contenuto è stato predisposto con il supporto di strumenti di IA generativa ed è stato sottoposto a revisione umana sostanziale, verifica delle fonti ufficiali e controllo editoriale. iSimply srl detiene la responsabilità editoriale della pubblicazione. L’art. 50, par. 4, del Regolamento (UE) 2024/1689 prevede un obbligo di trasparenza per i testi generati o manipolati dall’IA e pubblicati allo scopo di informare il pubblico su questioni di interesse pubblico. Il medesimo paragrafo esclude tale obbligo quando il contenuto generato dall’IA è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione. iSimply sceglie comunque di rendere trasparente l’impiego di strumenti di IA nel processo redazionale.