Sanzioni del Garante privacy su droni e videosorveglianza: i provvedimenti 2021-2026 che contano per chi opera con drone

Il 3 settembre 2021 il Garante per la protezione dei dati personali ha reso note tre richieste di informazioni sull'uso dei droni (comunicato, doc. web 9696781). Al Comune di Bari, che voleva usarli per controllare gli assembramenti durante la pandemia, ha chiesto caratteristiche tecniche, finalità, tempi di conservazione delle immagini, comunicazioni a terzi e copia della valutazione d'impatto. A Roma Capitale, che annunciava nove droni per la Polizia locale, la valutazione d'impatto o i motivi per cui non l'aveva ritenuta necessaria. All'ASL Roma 3, che voleva misurare dal drone la temperatura dei bagnanti di Ostia, chi fosse il titolare, quale la base giuridica, quali le conseguenze per chi risultasse sopra la soglia.

Sono le stesse domande che il Garante pone in ogni istruttoria sulla videosorveglianza. Il provvedimento di riferimento sui droni con telecamera è quello sul Comune di Treviso del 4 luglio 2024, chiuso con un'archiviazione per la parte droni ma con un principio che vale per tutti. Tutto il resto, per un operatore UAS, si ricava dai provvedimenti su telecamere fisse, sistemi foto/video e geolocalizzazione: il drone con payload video è una telecamera che si sposta, e il Garante la legge con gli stessi criteri.

Questa rassegna mette in fila i provvedimenti 2021-2026 che fissano quei criteri, con importi, norme violate e il passaggio che conta per chi vola. Il percorso preventivo, dalla domanda "tratto dati personali?" alla valutazione d'impatto, è nella guida alla DPIA per operazioni con drone.

Disclaimer: contenuto informativo, non parere legale. I provvedimenti del Garante sono impugnabili davanti al giudice ordinario (art. 152 Codice privacy) e alcuni di quelli citati sono oggetto di giudizio. Sono richiamati per ciò che il Garante considera violazione, non come previsione dell'esito di un caso concreto.

Il quadro sanzionatorio

GDPR

Il Reg. (UE) 2016/679 prevede due fasce:

• art. 83, par. 4: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, per gli obblighi del titolare e del responsabile (artt. 8, 11, 25-39, 42, 43): protezione dei dati fin dalla progettazione, accordo con il responsabile, registro dei trattamenti, sicurezza, valutazione d'impatto, RPD;
• art. 83, par. 5: fino a 20 milioni o al 4%, per principi (art. 5), basi giuridiche (artt. 6, 7, 9), diritti degli interessati (artt. 12-22), trasferimenti extra-UE (artt. 44-49), inosservanza di un ordine del Garante.

L'art. 83, par. 3, fissa il tetto quando le violazioni riguardano lo stesso trattamento o trattamenti collegati: l'importo totale non supera quello previsto per la violazione più grave. Per questo nei provvedimenti il Garante raggruppa le violazioni per "condotta" e quantifica una sanzione per ciascuna (Castel Goffredo, Forlì).

Codice privacy

Il D.Lgs. 30 giugno 2003, n. 196:

• art. 166: procedimento sanzionatorio del Garante, pubblicazione del provvedimento come sanzione accessoria (c. 7), facoltà di definire la controversia pagando metà della sanzione entro il termine per il ricorso (c. 8);
• art. 2-ter: base giuridica dei trattamenti dei soggetti pubblici (legge, regolamento o atto amministrativo generale), centrale nei casi che riguardano Comuni e aziende sanitarie;
• art. 114: resta fermo l'art. 4 della L. 20 maggio 1970, n. 300 sul controllo a distanza dei lavoratori (accordo sindacale o autorizzazione dell'Ispettorato del lavoro);
• art. 167: trattamento illecito con fine di profitto o di danno e nocumento all'interessato; reclusione da sei mesi a un anno e sei mesi nei casi del c. 1 (marketing e comunicazioni elettroniche), da uno a tre anni per i dati degli artt. 9 e 10 GDPR (c. 2) e per i trasferimenti illeciti (c. 3);
• art. 171: la violazione dell'art. 4, c. 1, dello Statuto dei lavoratori è punita con le sanzioni dell'art. 38 dello Statuto.

Accanto alla sanzione amministrativa restano l'azione di risarcimento dell'interessato (art. 82 GDPR) e, per i lavoratori, le sanzioni dell'Ispettorato del lavoro: nel caso di Lecco del 2025 l'Ispettorato ha irrogato la propria sanzione, di cui il Garante ha tenuto conto.

Come il Garante quantifica

L'art. 83, par. 2, GDPR elenca gli elementi da considerare: natura, gravità e durata; dolo o colpa; misure adottate per attenuare il danno; grado di responsabilità alla luce delle misure tecniche e organizzative; precedenti; cooperazione; categorie di dati; modalità con cui il Garante ha conosciuto la violazione; adesione a codici di condotta o certificazioni; altri fattori, tra cui i benefici economici. Il Garante richiama anche le Linee guida EDPB 4/2022 sul calcolo delle sanzioni.

Tre esempi dai provvedimenti in rassegna:

• Castel Goffredo 2023: gravità qualificata "alta", ma considerate in senso favorevole le dimensioni modeste del Comune (circa 12.500 abitanti), l'assenza di precedenti e il fatto che la violazione riguardasse una sola articolazione dell'ente;
• Realmaps 2025: 100.000 euro, che il provvedimento stesso indica come circa lo 0,5% del massimo edittale di 20 milioni, tenuto conto di aggravanti (numero di interessati, durata, condotte "di sistema") e attenuanti (misure correttive, assenza di precedenti, cooperazione);
• Lecco 2025: la violazione non è stata considerata "minore" per l'intenzionalità del controllo sui dipendenti e per il modo in cui il Garante ne è venuto a conoscenza, tramite la Questura.

Per l'ordine di grandezza massimo: la sanzione che il Garante, nel comunicato del 29 febbraio 2024, ha indicato come la più alta mai applicata è di 79.107.101 euro a Enel Energia (provv. n. 81 dell'8 febbraio 2024, doc. web 9988710), per carenze nella protezione dei sistemi usati per il telemarketing. Il Tribunale di Roma, con sentenza n. 12783/2025, ha respinto l'opposizione; il giudizio di impugnazione è pendente (comunicato, doc. web 9988921). Non riguarda i droni: indica dove arriva il massimale quando il fatturato è quello di un grande gruppo. Nei casi di videosorveglianza e monitoraggio le sanzioni si collocano tra qualche migliaio e qualche decina di migliaia di euro.

I provvedimenti in rassegna

Sono selezionati perché coprono le situazioni in cui si trova un operatore UAS: droni (Treviso, comunicato 2021), telecamere in aree pubbliche o aperte al pubblico (Recco, Vasto, Mark, Lecco), lavoratori ripresi o localizzati (Castel Goffredo, Coccaglio, ASL1 Liguria), fornitori tecnologici e ruoli (Treviso, Forlì), adempimenti di base mancanti (Realmaps).

Un provvedimento in materia di lavoro, il n. 135 del 13 marzo 2025 sull'ARSAC (Calabria), non è in rassegna: il Garante lo ha rimosso dal proprio sito (doc. web 10128005) dopo che il Tribunale di Cosenza, con sentenza n. 972/2026 del 1° luglio 2026, ha accolto l'opposizione proposta contro di esso. È un esempio concreto del limite indicato in apertura: il provvedimento del Garante non è l'ultima parola.

Le violazioni che ricorrono

Sui dieci provvedimenti della tabella che accertano una violazione (esclusi il comunicato del 2021 e il parere su Pescara), le norme si distribuiscono così. È un conteggio su questa selezione, non una statistica sull'attività del Garante.

Lettura per chi vola: l'informativa è il punto che manca quasi sempre, la valutazione d'impatto quello che il Garante verifica con sempre più dettaglio (data, parere del RPD, completezza), e la presenza di lavoratori nel campo inquadrato porta con sé un secondo binario normativo, lo Statuto dei lavoratori, con sanzioni proprie.

Cosa dice il Garante, testualmente

Treviso, 4 luglio 2024, sul drone con termocamera (doc. web 10050298, § 3.1):

"l'impiego di droni dotati di telecamere termiche, al fine di generare c.d. mappe di calore, sulla base delle quali possono essere disposti controlli de visu da parte delle pattuglie della Polizia locale in servizio sul territorio, può comportare un trattamento di dati personali [...] sebbene non sia possibile riconoscere il volto dei soggetti ripresi, le immagini permettono comunque di visualizzare, con un discreto livello di definizione, le sagome e i movimenti degli stessi."

Il volto non serve: sagome e movimenti, combinati con l'intervento sul posto, sono dati personali. L'archiviazione per i droni si è basata sulle dichiarazioni del Comune (uso residuale per finalità di polizia, nessuna identificazione), rese sotto la responsabilità dell'art. 168 del Codice. Nello stesso paragrafo il Garante ricorda che il quadro di settore non consente in via generale alle Polizie locali di usare droni con dispositivi video per la sicurezza pubblica, salvo funzioni delegate per specifiche operazioni.

Treviso, stesso provvedimento, sull'accordo con il fornitore (§ 3.2.2): dove "sussista 'un rapporto titolare-responsabile del trattamento [...] anche in assenza di un [valido] accordo di trattamento per iscritto'", ciò "implic[a] [...] una violazione dell'articolo 28, paragrafo 3". L'accordo scritto non è una formalità: la sua assenza è la violazione.

Recco, 4 giugno 2025, sul legittimo interesse dei soggetti pubblici (doc. web 10163530): il legittimo interesse "non si applica al trattamento dei dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti" (art. 6, par. 1, secondo comma, GDPR). Chi vola per un Comune lavora su una base giuridica che deve stare in una norma.

Realmaps, 16 gennaio 2025, su registro, RPD e DPIA (doc. web 10110241, § 2.2): adempimenti "che, nel caso di specie, sarebbero stati necessari vista la natura sistematica e invasiva del trattamento rispetto ai diritti e alle libertà degli interessati".

Vasto, 18 giugno 2026, sul momento della DPIA (doc. web 10267254, § 3.3): la valutazione d'impatto "è sempre dovuta nel caso in cui il trattamento comporti 'la sorveglianza sistematica su larga scala di una zona accessibile al pubblico'" e "deve essere effettuata da parte del titolare prima di procedere al trattamento".

Coccaglio, 12 febbraio 2026, sul parere del RPD (doc. web 10226611): il mancato coinvolgimento del RPD nella redazione della valutazione d'impatto non è conforme, "essendo del tutto irrilevante a tal riguardo che, all'esito della stessa, non sia risultato, ad avviso dell'Ente, un rischio residuale elevato".

Oltre la sanzione pecuniaria

L'art. 58, par. 2, GDPR dà al Garante strumenti che per un operatore possono pesare più della sanzione:

Per un operatore UAS un divieto o una limitazione del trattamento significa non poter consegnare o usare le riprese finché non si è in regola; la pubblicazione del provvedimento resta indicizzata e visibile a ogni futuro committente.

Le cinque trappole che i provvedimenti smontano

Trappola 1: "Basta il cartello"

Il cartello deve esserci e deve essere completo: identità del titolare, finalità, diritti, rinvio all'informativa di secondo livello (EDPB, Linee guida 3/2019, §§ 110-119). Mark e Lecco sono stati sanzionati per cartelli assenti, Recco per il primo livello mancante e un secondo livello con base giuridica e recapiti incoerenti. Per un drone il primo livello va adattato all'area di lavoro, non copiato da quello di un negozio.

Trappola 2: "Il committente è pubblico, la base giuridica è automatica"

Treviso, Castel Goffredo, Coccaglio e ASL1 Liguria mostrano il contrario: serve una norma ex art. 2-ter Codice, il legittimo interesse non è disponibile (Recco) e la valutazione d'impatto resta dovuta quando ricorrono i presupposti dell'art. 35. Chi esegue il servizio per l'ente deve conoscere quella base e il proprio ruolo nel trattamento.

Trappola 3: "Ho l'autorizzazione ENAC, quindi posso riprendere"

L'autorizzazione al volo non è un'autorizzazione al trattamento. Il Regolamento ENAC UAS-IT, art. 29, chiede di dichiarare il trattamento di dati personali nella documentazione per l'autorizzazione e di rispettare il GDPR. Il Reg. di esecuzione (UE) 2019/947, UAS.SPEC.050(1)(a)(iv), e il PDRA AltMoC ENAC IT-UAS-2026-002, punto 4.1.5, chiedono procedure di conformità al GDPR e la valutazione d'impatto quando richiesta in applicazione dell'art. 35. Nel 2021 il Garante ha chiesto le DPIA dei progetti droni di Bari e Roma Capitale guardando solo al trattamento dei dati; a Treviso ha precisato che la vigilanza sulle regole di volo non è di sua competenza, ma il trattamento dei dati sì.

Trappola 4: "Cancello le immagini quando serve"

La conservazione si decide prima e si scrive. Castel Goffredo è stato sanzionato per aver conservato una registrazione oltre i sette giorni che il Comune stesso aveva fissato. Le Linee guida EDPB 3/2019 (§ 121) indicano che nella maggior parte dei casi i dati andrebbero cancellati dopo pochi giorni, preferibilmente in automatico, e che una conservazione oltre 72 ore richiede una motivazione più solida. Per riprese consegnate a un committente il termine va legato alla finalità del servizio e indicato nel registro dei trattamenti.

Trappola 5: "Della privacy si occupa il fornitore del software"

Treviso è stato sanzionato per aver invertito i ruoli con il fornitore dell'app e non aver stipulato l'accordo art. 28, Forlì per averlo stipulato solo nell'agosto 2022, con il trattamento già avviato. Il parere su Pescara del 2025 aggiunge il profilo tecnico: con dati in cloud presso un fornitore extra-UE, se la gestione delle chiavi di cifratura non esclude l'accesso del fornitore, la valutazione d'impatto non regge. Per chi usa piattaforme di pianificazione e archiviazione delle riprese: accordo art. 28 per iscritto, fornitore censito come responsabile nel registro, verifica di dove e da chi sono accessibili i dati.

Checklist preventiva: 10 punti

• 1. Registro dei trattamenti (art. 30) con una voce dedicata alle riprese aeree: finalità, interessati, dati, destinatari, trasferimenti, termini di cancellazione, misure di sicurezza
• 2. Valutazione d'impatto (art. 35) quando ricorre l'art. 35, par. 3, l'elenco del provv. Garante n. 467/2018 o due criteri WP 248; con data certa, firma e parere del RPD se designato. Se non è dovuta, valutazione scritta e motivata
• 3. Base giuridica scritta (art. 6): contratto per il committente, legittimo interesse con bilanciamento per i terzi; per i committenti pubblici, la norma ex art. 2-ter Codice
• 4. Informativa di primo livello adatta al volo: cartelli ai punti di accesso, avvisi ai residenti, rinvio al secondo livello
• 5. Informativa di secondo livello completa e coerente con il primo (artt. 13-14)
• 6. Ruoli qualificati nel contratto con il committente e accordo art. 28 con ogni fornitore che tratta le riprese per conto dell'operatore
• 7. Persone autorizzate al trattamento (art. 29 GDPR, art. 2-quaterdecies Codice): piloti e operatori che vedono o elaborano le riprese
• 8. Conservazione definita per finalità, cancellazione programmata, registrazione delle cancellazioni
• 9. Misure fin dalla progettazione (art. 25): inquadratura minima, risoluzione necessaria, oscuramento di volti e targhe non necessari, cifratura
• 10. Lavoratori nel campo inquadrato: accordo sindacale o autorizzazione dell'Ispettorato del lavoro prima del volo (art. 4 L. 300/1970, art. 114 Codice)

Come Certifly aiuta a non ripetere questi errori

Certifly lega i documenti privacy ai servizi dichiarati nel ciclo di volo. A livello di organizzazione gestisce il Registro delle attività di trattamento (art. 30 GDPR) e l'informativa privacy sulle riprese, con i dati ricorrenti dell'azienda (conservazione e sicurezza, destinatari e trasferimenti, diritti degli interessati, testo della liberatoria riprese) compilati una volta e riusati. Quando un servizio del ciclo può riprendere dati personali, si apre la valutazione d'impatto, rivista se cambia una delle parti che la compongono; nei cicli AltMoC compare comunque come consigliata. Prima di ogni missione la verifica GO/NO-GO segnala registro, informativa o DPIA mancanti, e si ferma se la DPIA indica un rischio residuo non accettabile finché la consultazione preventiva del Garante (art. 36 GDPR) non è documentata.

Bibliografia

Fonti primarie

• Regolamento (UE) 2016/679 (GDPR), artt. 5, 6, 12, 13, 14, 25, 28, 29, 30, 35, 36, 37, 57, 58, 82, 83, 88. EUR-Lex
• D.Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), artt. 2-ter, 2-quaterdecies, 113, 114, 152, 166, 167, 168, 171. Normattiva
• L. 20 maggio 1970, n. 300 (Statuto dei lavoratori), art. 4. Normattiva
• Regolamento di esecuzione (UE) 2019/947, allegato, parte B, UAS.SPEC.050(1)(a)(iv). EUR-Lex, testo consolidato
• Provvedimento del Garante n. 467 dell'11 ottobre 2018, elenco dei trattamenti soggetti a valutazione d'impatto. doc. web 9058979
• ENAC, Regolamento UAS-IT, ed. 1 del 4 gennaio 2021, art. 29. ENAC
• ENAC, PDRA AltMoC IT-UAS-2026-002, ed. agosto 2026, punto 4.1.5. ENAC

Prassi e documenti istituzionali

• EDPB, Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video, v. 2.0 del 29 gennaio 2020. EDPB
• WP29, WP 248 rev.01, Linee guida in materia di valutazione d'impatto sulla protezione dei dati. Commissione europea

Articoli correlati della serie

• DPIA per operazioni con drone in Italia: dalla domanda "tratto dati personali?" alla valutazione d'impatto
• U-Space Italia 2026: i dati di identificazione remota come dati personali dell'operatore
• Assicurazione UAS commerciale in Italia: l'altra copertura dei rischi verso terzi

Contenuto informativo e divulgativo. Non costituisce parere legale. I provvedimenti del Garante sono citati per ciò che accertano e possono essere oggetto di impugnazione. Per il caso concreto serve il parere di un responsabile della protezione dei dati o di un legale specializzato.

RoundTable Italy S.r.l.