Il provvedimento con cui il Garante privacy ha sanzionato Lidl per la gestione di una richiesta di accesso ai filmati di videosorveglianza va ben oltre il singolo caso. La decisione dell’Autorità chiarisce, infatti, che moduli, procedure interne e canali organizzativi non possono trasformarsi in ostacoli all’esercizio dei diritti riconosciuti dal GDPR.
Per DPO, privacy officer e responsabili della compliance rappresenta un’importante occasione per ripensare i flussi di gestione delle richieste degli interessati, soprattutto quando sono coinvolti dati soggetti a tempi di conservazione molto brevi e potenziali esigenze di tutela giudiziaria.
In altri termini, il caso Lidl dimostra che la compliance GDPR si misura anche dalla capacità dell’organizzazione di riconoscere, instradare e gestire tempestivamente le richieste degli interessati, senza trasformare procedure interne e formalismi in ostacoli all’esercizio dei diritti.
Indice degli argomenti
Un provvedimento sul diritto di accesso che parla di organizzazione
Il provvedimento n. 356 del 14 maggio 2026 riporta al centro il diritto di accesso nell’ecosistema della protezione dei dati personali, ma soprattutto lancia un messaggio molto concreto ai titolari: la forma non può diventare un alibi per ignorare richieste legittime e circostanziate degli interessati.
Il caso offre, quindi, l’occasione per rileggere il diritto in chiave organizzativa: non solo come adempimento formale, ma come cartina di tornasole della reale capacità del titolare di riconoscere, instradare e soddisfare in tempo utile le richieste che arrivano da qualsiasi canale.
Diritto di accesso, il caso: tre PEC, un modulo e nessun filmato
Partendo dal fatto, a giugno 2025, in un punto vendita di una catena di centri commerciali, si verifica un diverbio tra un cliente e alcuni dipendenti, ripreso dalle telecamere di sicurezza e seguito dall’intervento delle Forze dell’ordine.
Lo stesso giorno e in quelli immediatamente successivi, il cliente invia tre PEC alla società chiedendo di accedere alle immagini che lo riguardano e che queste siano conservate per eventuali iniziative giudiziarie, indicando con precisione giorno, orario e contesto dell’episodio.
La società, pur attivandosi formalmente, di fatto non dà seguito alle richieste del cliente: l’inerzia fa sì che le immagini vengano cancellate secondo le procedure di conservazione automatica, rendendo impossibile ogni successivo accesso.
Due i passaggi da tenere a mente: la società, per dar seguito alle istanze di accesso ai filmati, ha predisposto un modulo recuperabile nei punti vendita; la società comunica la sovrassicurazione delle immagini di videosorveglianza all’interessato tramite raccomandata, a fronte di PEC del cliente.
Flussi interni, moduli e canali: cosa conta davvero
Al di là della puntuale ricostruzione del diritto di accesso sancito dall’articolo 15 del GDPR, la censura del Garante al titolare del trattamento muove dalla considerazione che quest’ultimo ha adottato un atteggiamento passivo e formalistico nei confronti della richiesta del cliente: pur avendo a disposizione tutte le informazioni per poter bloccare i filmati rilevanti, la società è rimasta rigida sulla necessità che venisse compilato un modulo.
C’è un grande insegnamento operativo e organizzativo da trarre da questa vicenda e da questo specifico aspetto, su cui si è espresso nel 2022 il Comitato europeo per la protezione dei dati (EDPB): l’esigenza di progettare flussi interni che riconoscano e instradino tempestivamente qualsiasi richiesta, a prescindere dal canale utilizzato o dal mancato impiego dei moduli “preferiti” dal titolare.
In altre parole, gli strumenti messi a disposizione degli interessati possono semplificare, ma non condizionare l’esercizio di un diritto previsto dagli articoli 15-21 GDPR.
Questo perché, per quanto sia incoraggiata dallo stesso Comitato la creazione di mezzi semplici, cosa che del resto la società ha fatto nel caso di specie, questi non potranno mai essere un requisito imprescindibile per la trattazione di una richiesta di un interessato che abbia il contenuto dell’esercizio di un diritto ai sensi del GDPR.
Correttezza, limitazione del trattamento e diritto di difesa
Non stupisce, allora, che la condotta aziendale abbia violato, secondo il garante, anche l’articolo 5 del GDPR, che impone la liceità del trattamento, sotto la specifica lente della correttezza.
Inestricabilmente legata a quella appena descritta, c’è la violazione del diritto alla limitazione del trattamento, dal momento che il cliente chiede, senza poter ottenere, il “congelamento” dei dati che lo riguardano, cioè le immagini di videosorveglianza rilevanti.
Come si legge nell’ultima parte del provvedimento, in cui il Garante reputa “non minori” le violazioni commesse, non si può non sottolineare come il mancato ottenimento dei filmati frustri il diritto di difesa dell’interessato.
Quando le richieste, qualunque sia la forma in cui sono presentate (è bene ripeterlo), sono preordinate alla tutela dei diritti, l’attenzione deve essere massima e la trattazione tempestiva; questo a maggior ragione quando i tempi di conservazione sono stretti e l’evento è conosciuto dall’azienda stessa, avendo coinvolto alcuni suoi dipendenti.
Estrarre i dati in tempo: il margine operativo del titolare
Se la valutazione sul se e soprattutto sul come rilasciare le immagini o i filmati di videosorveglianza dovesse essere complessa, il titolare potrebbe trovarsi nella condizione di non poter definire la pratica prima della sovrascrittura.
Ebbene, per sgomberare il campo da timori e dubbi, il Garante si espone su questo aspetto cruciale e afferma che se i dati sono stati estratti entro il periodo di conservazione previsto, il titolare del trattamento può continuare a trattare quei dati al fine di adempiere il proprio obbligo di dar seguito alla richiesta e rispettando le tempistiche dettate dall’articolo 12; in questi casi, il trattamento può poggiare sull’articolo 6, paragrafo 1, lettera c), cioè l’adempimento di un obbligo legale, in combinato disposto con l’articolo 15 GDPR, che disciplina il diritto di accesso.
Non è un via libera al “nel dubbio, scarico o estraggo i dati”, dal momento che il titolare non sarebbe tenuto a conservare i dati personali al solo scopo di poter rispondere a potenziali richieste; è invece, per usare un eufemismo, un invito al titolare del trattamento ad attivarsi in presenza di richieste attuali e circostanziate in modo da assicurare che i legittimi interessi dei richiedenti siano soddisfatti.
Nel caso in esame, inoltre, l’azienda aveva già le informazioni utili a individuare le riprese rilevanti, essendo stato coinvolto direttamente suo personale: l’esito del provvedimento dipende in parte da questo fattore.
Al netto del formalismo dei moduli, se la richiesta del cliente fosse stata presentata eccessivamente a ridosso del termine di conservazione e l’azienda non avesse avuto modo di conoscere in tempo il fatto e le informazioni per circostanziare, viene da pensare che la vicenda sarebbe stata trattata diversamente dall’Autorità.
Il GDPR non impone che il singolo negozio debba sempre poter bloccare un video “in tempo reale”, a qualsiasi ora del giorno e della notte: alza invece sì l’asticella sulla progettazione organizzativa, ma nel senso che l’organizzazione stessa nel suo complesso deve avere processi ragionevoli, proporzionati al rischio e alle finalità del trattamento.
Diritto di accesso: perché il DPO va coinvolto prima (e non a valle)
Ultimo punto, non per importanza, è quello del tardivo coinvolgimento del responsabile della protezione dei dati (DPO), pur esistente e pur prevedendo le procedure interne aziendali che si interloquisca con la figura in due fasi distinte della trattazione interna delle istanze di esercizio dei diritti.
Trarre beneficio dalla consulenza del DPO, soprattutto in casi limite come quello al centro del provvedimento, deve far parte della mentalità aziendale in modo trasversale alle funzioni e alle situazioni concrete.
I provvedimenti del Garante alla luce dell’ormai decennale innovazione del GDPR sono chiari: il DPO è una figura da integrare nei flussi standard e non solo eccezionali, da coinvolgere prima e non “a valle” delle decisioni, da mettere in condizione di incidere sulle scelte organizzative e sulle prassi quotidiane.
Gestire il diritto di accesso oltre il formalismo
Il provvedimento 356/2026 conferma che il diritto di accesso non è un adempimento meramente documentale, ma un banco di prova della reale capacità del titolare di tutelare in modo effettivo le posizioni degli interessati, specie quando sono in gioco il diritto di difesa e la conservazione di evidenze delicate come i filmati di videosorveglianza.
La vicenda dimostra quanto possa essere rischioso un approccio formalistico: moduli rigidi, canali “obbligati” e procedure che non riconoscono come valide richieste circostanziate provenienti da altri canali finiscono per entrare in rotta di collisione con l’impianto del GDPR e con le indicazioni del Garante sull’esercizio dei diritti.
Accanto alla progettazione dei flussi ordinari di gestione delle istanze ex articoli 15 e seguenti, i titolari dovrebbero però dotarsi anche di vere e proprie procedure di emergenza, capaci di attivarsi con rapidità quando la richiesta riguarda dati soggetti a conservazione brevissima, come le immagini di videosorveglianza, e quando nel mezzo si frappongono fine settimana, chiusure festive o periodi di ridotta operatività.
In questi scenari, diventa essenziale prevedere meccanismi chiari per il “congelamento” tempestivo dei filmati e in coordinamento con il DPO, sfruttando il margine riconosciuto dal Garante per la prosecuzione del trattamento dopo l’estrazione dei dati al solo fine di dare seguito alla richiesta, nel rispetto dei principi di limitazione della conservazione e accountability.
Solo integrando nei processi aziendali sia una gestione ordinata e non burocratica delle richieste di accesso, sia canali veloci e straordinari per le situazioni urgenti, sarà possibile passare da una compliance di facciata a una piena ed effettiva, fondata sul rispetto sostanziale dei diritti degli interessati, riducendo al contempo il rischio sanzionatorio e il contenzioso che casi come quello esaminato rendono ormai più che concreto.
Partecipa alla community