Il Garante Privacy è intervenuto in più casi alberghieri, non per l’installazione di telecamere in sé ma per profili distinti: riprese eccedenti di aree pubbliche o di proprietà di terzi e mancato rispetto delle garanzie previste per i lavoratori dall’art. 4 dello Statuto; va inoltre precisato che, quando per le aree in cui lavora il personale occorre un’autorizzazione, l’autorità competente è l’Ispettorato nazionale del lavoro, non il Garante. Installare telecamere in un hotel è possibile, ma richiede il rispetto di regole precise su cosa riprendere, come informare chi viene ripreso, e per quanto tempo conservare le immagini.
Cosa si può riprendere e cosa no
Il principio cardine, ribadito più volte dal Garante Privacy, è quello della limitazione dell’angolo visuale: le telecamere devono inquadrare solo le aree di effettiva pertinenza della struttura, evitando di riprendere spazi pubblici, proprietà di terzi o zone non rilevanti ai fini di sicurezza. In un provvedimento del 13 marzo 2025 relativo a un hotel di Senigallia, il Garante ha dichiarato illecito il trattamento perché le telecamere riprendevano parzialmente l’ingresso di un’abitazione confinante, violando gli articoli 5 e 6 del GDPR (principi di liceità del trattamento e base giuridica). Quando è necessario che l’inquadratura si estenda oltre i confini della proprietà, le Linee Guida richiamate dal Garante indicano di adottare accorgimenti tecnici come il mascheramento o la pixelizzazione delle aree non rilevanti.
Le telecamere nelle aree comuni dell’hotel non sono lecite automaticamente: la liceità non discende dalla categoria «area comune». Il titolare deve definire una finalità specifica e una base giuridica — per un soggetto privato ricorre di regola l’interesse legittimo ex art. 6, par. 1, lett. f), del GDPR, ma solo se reale, attuale, documentato e prevalente sui diritti degli interessati. Prima dell’installazione va verificato che lo scopo non sia raggiungibile con mezzi meno invasivi e vanno minimizzati angolo di ripresa, orari, registrazione e funzioni. Reception, corridoi, parcheggio e area piscina sono quindi valutabili caso per caso, non lecite per definizione. La videosorveglianza ordinaria dell’hotel non deve invece estendersi a camere, bagni, docce e spogliatoi: in questi luoghi l’aspettativa di riservatezza è massima e la ripresa è normalmente incompatibile con i principi di necessità, proporzionalità e minimizzazione, oltre a poter integrare un’illecita interferenza nella vita privata sul piano civile e penale. Eventuali ipotesi eccezionali richiederebbero una distinta base normativa e non possono essere presentate come normale videosorveglianza alberghiera.
Proprio perché la camera non può essere videosorvegliata, la sicurezza dei beni dell’ospite al suo interno si gioca su altri strumenti: è il motivo per cui vale la pena chiarire cosa preveda davvero la legge sulla cassaforte in camera, un punto su cui circolano parecchie convinzioni sbagliate.
L’informativa e la cartellonistica obbligatoria
Chiunque entri in un’area videosorvegliata deve essere informato prima di accedervi. Il Garante mette a disposizione un modello di cartello semplificato (basato sull’esempio proposto dal Comitato Europeo per la Protezione dei Dati) che va posizionato in modo ben visibile, in ogni condizione di illuminazione, prima dell’ingresso nella zona controllata. Il cartello di primo livello deve indicare in modo immediato almeno l’identità del titolare del trattamento, le finalità, i principali impatti del trattamento e il rinvio al secondo livello informativo. L’informativa completa ex art. 13 del GDPR non può invece essere resa in un momento successivo: l’art. 13 impone di fornire le informazioni nel momento in cui i dati sono ottenuti, quindi il secondo livello deve essere già facilmente accessibile — per esempio presso la reception, anche su supporto non digitale, e in aggiunta tramite QR code o sito — senza costringere l’interessato a entrare nell’area videosorvegliata per reperirlo.
Quanto tempo si possono conservare le registrazioni
La regola più citata online — 24 ore, estendibili fino a una settimana per esigenze particolari (festività, chiusura degli uffici, richieste specifiche dell’autorità giudiziaria) — proviene dal Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010, adottato dal Garante prima dell’entrata in vigore del GDPR (2018), sotto il precedente Codice Privacy. Quel provvedimento indicava in via generale poche ore o 24 ore, ammetteva un prolungamento per festività, chiusura degli uffici o specifiche richieste investigative e, solo per peculiari esigenze tecniche o per attività particolarmente rischiose, un periodo comunque non superiore a una settimana.
Il GDPR ha introdotto il principio di accountability: non fissa più un numero di ore univoco, ma richiede al titolare del trattamento di determinare autonomamente un tempo di conservazione proporzionato alla finalità dichiarata, e di poterlo giustificare. Le FAQ del Garante pubblicate successivamente al GDPR continuano però a usare la stessa soglia come riferimento pratico: per la maggior parte dei casi i dati “dovrebbero essere cancellati dopo pochi giorni”, con 24 ore indicate come adeguate per un piccolo esercizio e una motivazione tanto più puntuale quanto più si supera la soglia delle 72 ore. Non esistono comunque dati ufficiali su quale durata sia effettivamente la più diffusa negli hotel: 24 ore costituiscono un riferimento prudente quando consentono di individuare gli eventi e 48 ore possono essere giustificate dal contesto concreto, ma la durata va definita per ciascuna finalità, documentando necessità e proporzionalità, e non applicata come se fosse un termine di legge prestabilito.
Sicurezza del sistema e gestione delle immagini
Oltre a liceità, cartelli e tempi di conservazione, il titolare deve proteggere sistema e immagini con misure tecniche e organizzative adeguate al rischio: accessi limitati e tracciati, credenziali individuali, monitor non visibili agli ospiti, protezione delle trasmissioni e dei supporti, cancellazione automatica delle registrazioni, procedure di autorizzazione e revoca, verifiche periodiche e canali per l’esercizio dei diritti degli interessati. Le misure vanno documentate e aggiornate per l’intero ciclo di vita dell’impianto.
Le telecamere che possono riprendere i dipendenti (reception, corridoi di servizio)
Questo è il punto più delicato per un hotel, perché reception e corridoi — aree che la struttura ha interesse a sorvegliare per motivi di sicurezza — sono anche gli spazi in cui lavora il personale. Qui si applica l’articolo 4 dello Statuto dei Lavoratori (Legge 300/1970), non solo il GDPR.
L’art. 4 nel testo vigente non consente di installare telecamere per la finalità esclusiva di controllare a distanza l’attività dei lavoratori. Gli impianti dai quali derivi anche solo la possibilità di tale controllo sono ammessi soltanto per le finalità tassative previste dalla norma — esigenze organizzative e produttive, sicurezza del lavoro, tutela del patrimonio aziendale — e soltanto previo esperimento di una di queste due procedure:
- Accordo collettivo stipulato dalla rappresentanza sindacale unitaria (RSU) o dalle rappresentanze sindacali aziendali (RSA); solo per le imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni l’accordo può, in alternativa, essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale; oppure
- In mancanza di accordo, preventiva autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro (INL); per le imprese con unità produttive ricadenti nella competenza di più sedi territoriali è possibile rivolgersi, in alternativa, alla sede centrale dell’INL.
Un caso concreto mostra quanto questo obbligo si applichi anche ad aree che potrebbero sembrare “solo” di sicurezza generale: nel 2012 il Garante ha bloccato il trattamento dei dati di un hotel milanese le cui 16 telecamere riprendevano, tra le altre aree, un corridoio di servizio verso cucina e back office — zona di esclusiva frequentazione dei dipendenti — senza che fossero stati completati gli adempimenti previsti dall’art. 4. Il personale non veniva ripreso in postazioni fisse di lavoro, ma durante gli spostamenti in quel corridoio: è bastato questo per far scattare l’obbligo. Il Garante ha disposto il blocco del trattamento fino al completamento delle procedure di legge.
In pratica: se una telecamera in reception, corridoio o retro cucina può anche solo incidentalmente inquadrare il personale al lavoro — non necessariamente una postazione fissa — l’installazione richiede l’accordo con la RSU o le RSA oppure, in mancanza di accordo, l’autorizzazione dell’Ispettorato nazionale del lavoro, oltre agli adempimenti GDPR verso gli ospiti. Per le violazioni degli obblighi del titolare o del responsabile il GDPR prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale totale annuo, se superiore; per le violazioni dei principi, delle basi giuridiche e dei diritti degli interessati, fino a 20 milioni o al 4% (art. 83 del GDPR). La violazione dell’art. 4 dello Statuto è inoltre sanzionata autonomamente in sede penale, attraverso l’art. 171 del Codice Privacy che richiama le sanzioni dell’art. 38 della legge 300/1970. La misura concreta è sempre determinata caso per caso.
Videosorveglianza in area piscina
La normativa nazionale in materia di protezione dei dati non prevede per le aree piscina regole diverse dai principi generali già descritti: limitazione dell’angolo di ripresa, divieto di inquadrare spogliatoi o zone dove gli ospiti si cambiano, informativa visibile all’ingresso dell’area. La valutazione deve inoltre essere più rigorosa che altrove: il contesto è potenzialmente più intrusivo per l’abbigliamento degli ospiti, la possibile presenza di minori e la prossimità di docce e spogliatoi. Va quindi dimostrata la necessità delle riprese, limitato l’angolo alle sole zone indispensabili e ridotto al minimo il rischio di acquisire immagini che rivelino categorie particolari di dati. Se la piscina è adiacente a spogliatoi o docce, la telecamera va posizionata e orientata in modo da escludere completamente quelle zone, non solo attenuarne la visibilità.
Domande frequenti
Serve un’autorizzazione del Garante Privacy per installare le telecamere in hotel? No, non è richiesta un’autorizzazione preventiva del Garante per l’installazione in sé. Il titolare del trattamento è il soggetto — persona fisica o giuridica — che determina finalità e mezzi del trattamento, normalmente l’impresa che gestisce l’hotel e non automaticamente l’albergatore come persona fisica: spetta a tale soggetto valutare liceità, necessità e proporzionalità del sistema secondo il principio di accountability, e la valutazione d’impatto (DPIA) è necessaria quando il trattamento può presentare un rischio elevato ed è comunque sempre richiesta in caso di sorveglianza sistematica su larga scala di una zona accessibile al pubblico; sistemi integrati, riconoscimento facciale o analisi comportamentale automatica sono ulteriori indicatori di rischio elevato. Se il rischio elevato residua nonostante le misure adottate, va consultato preventivamente il Garante ai sensi dell’art. 36 del GDPR.
Posso installare telecamere finte o solo un cartello di deterrenza? Se la telecamera è falsa o spenta e non tratta dati personali, la normativa sulla protezione dei dati non si applica e, per quel dispositivo, non è dovuta alcuna informativa privacy. Nel contesto lavorativo restano però applicabili le garanzie dell’art. 4 della legge 300/1970, come ricordato dal Garante. Eventuali profili di correttezza verso gli ospiti vanno ricondotti ad altre norme e non presentati come obblighi GDPR.
Cosa cambia se il sistema di videosorveglianza è gestito da una società esterna (vigilanza)? Occorre anzitutto qualificare il ruolo effettivo delle parti, che non è automatico: se la società di vigilanza tratta le immagini solo per conto dell’hotel e su sue istruzioni documentate, va nominata responsabile del trattamento con atto conforme all’art. 28 del GDPR; se determina autonomamente finalità o mezzi essenziali, può assumere il ruolo di titolare autonomo o, ricorrendone i presupposti, di contitolare ex art. 26. Non cambiano invece i principi di fondo su cosa si può riprendere, l’informativa e i tempi di conservazione, che restano di responsabilità del titolare: la responsabilità della struttura non viene meno per il solo fatto dell’affidamento esterno.
Le sanzioni GDPR per videosorveglianza sono comuni per gli hotel? Tra i precedenti pubblicati dal Garante figurano, fra gli altri, il blocco del trattamento disposto nel 2012, la sanzione di 3.000 euro del 2024 per riprese eccedenti e il provvedimento del 2025 con parte economica omessa. Il provvedimento n. 772/2024, cui era associato l’importo di 40.000 euro, non va invece utilizzato come precedente vigente: il Garante lo ha temporaneamente rimosso dal proprio sito dopo l’accoglimento dell’opposizione con sentenza del Tribunale di Padova n. 596/2026, pubblicata il 2 aprile 2026. Gli importi noti non consentono comunque di stimare quanto sia “comune” il fenomeno né di prevedere la sanzione di un caso futuro: indicano però che il tema viene effettivamente controllato, non solo teorico.
In sintesi
La videosorveglianza in un hotel non è lecita per il solo fatto di riguardare aree comuni (reception, corridoi, parcheggio, piscina): servono una finalità specifica, una base giuridica documentata, la verifica che lo scopo non sia raggiungibile con mezzi meno invasivi e la minimizzazione dell’angolo di ripresa. Camere, bagni, docce e spogliatoi restano fuori dalla videosorveglianza alberghiera ordinaria, e chi entra in un’area ripresa deve essere informato prima di accedervi, con informativa completa già facilmente accessibile. Se le telecamere possono anche solo incidentalmente inquadrare il personale al lavoro — reception e corridoi di servizio in primis — serve in aggiunta l’accordo con la RSU o le RSA oppure, in mancanza, l’autorizzazione dell’Ispettorato nazionale del lavoro previsti dall’art. 4 dello Statuto dei Lavoratori: è il punto su cui più hotel italiani sono stati sanzionati, non sulla legittimità della videosorveglianza in sé. Sui tempi di conservazione non esiste un termine standard: 24 ore sono un riferimento prudente, 48 ore possono essere giustificate dal contesto concreto, ma la durata va definita e documentata per ciascuna finalità, con motivazione tanto più puntuale quanto più si superano le 72 ore. Il titolare deve infine proteggere sistema e immagini con misure tecniche e organizzative adeguate al rischio.
Per un quadro degli altri obblighi di sicurezza della tua struttura, vedi anche i nostri approfondimenti su estintori e defibrillatore in hotel, oppure esplora tutto il tema sicurezza e normative.
