Il provvedimento del Garante Privacy contro Lidl, richiamato il 20 luglio 2026 da Cyber Security 360, manda un messaggio chiaro a tutte le aziende: quando un interessato esercita un diritto GDPR, non ci si può nascondere dietro moduli, uffici interni o canali “preferiti”. Se la richiesta è comprensibile e contiene gli elementi necessari, va riconosciuta e gestita subito.
Per imprese, studi professionali e organizzazioni con telecamere, il tema riguarda da vicino l’operatività quotidiana. Il rischio non è solo una sanzione: è anche perdere prove, creare contenziosi evitabili e dimostrare di non avere processi interni all’altezza delle responsabilità previste dal GDPR.
Il caso Lidl, in sintesi
Secondo la ricostruzione riportata da Cyber Security 360, il caso nasce da un episodio avvenuto a giugno 2025 in un punto vendita, dove un diverbio tra un cliente e alcuni dipendenti viene ripreso dalle telecamere di sicurezza e seguito dall’intervento delle Forze dell’ordine.
Il cliente, nello stesso giorno e nei giorni immediatamente successivi, invia tre PEC alla società. Nelle comunicazioni chiede due cose molto precise: accedere alle immagini che lo riguardano e conservarle in vista di possibili iniziative giudiziarie. La richiesta, sempre secondo la fonte, indicava con precisione giorno, orario e contesto dell’episodio.
Il punto decisivo è questo: pur avendo elementi sufficienti per individuare i filmati, la società non ha dato un seguito efficace alla richiesta. Le immagini sono quindi state cancellate secondo i normali tempi di conservazione automatica, rendendo poi impossibile l’accesso.
Il Garante ha affrontato il caso con il provvedimento n. 356 del 14 maggio 2026, richiamato nell’articolo di Cyber Security 360. La decisione non interessa solo la grande distribuzione: tocca qualsiasi titolare del trattamento che riceva richieste su dati personali, in particolare quando i dati hanno tempi di conservazione molto brevi, come spesso accade con la videosorveglianza.
Perché il Garante considera sbagliato l’approccio formalistico
Il cuore del provvedimento, per come viene descritto dalla fonte, è organizzativo prima ancora che giuridico. L’azienda aveva predisposto un modulo specifico per le richieste di accesso ai filmati, recuperabile nei punti vendita. In più, la comunicazione relativa alla conservazione delle immagini sarebbe stata inviata tramite raccomandata, mentre il cliente aveva usato la PEC.
Il messaggio del Garante è netto: gli strumenti messi a disposizione dall’azienda possono aiutare a semplificare il processo, ma non possono trasformarsi in una barriera. Se una persona esercita un diritto previsto dal GDPR e la richiesta è sufficientemente chiara, l’azienda deve trattarla comunque.
In altre parole, il problema non è avere un modulo. Il problema nasce quando il modulo diventa una condizione obbligatoria, e la sua assenza blocca tutto. Questo approccio viene giudicato incompatibile con la logica del GDPR, che tutela l’effettivo esercizio dei diritti e non il rispetto di un percorso burocratico interno deciso unilateralmente dal titolare.
Videosorveglianza: perché il fattore tempo è decisivo
La videosorveglianza ha una particolarità che rende questi casi più delicati di altri: i filmati spesso restano disponibili per un periodo limitato e poi vengono sovrascritti o cancellati automaticamente. Questo significa che una richiesta ricevuta oggi può diventare inutile se non viene presa in carico immediatamente.
È proprio qui che molte organizzazioni si espongono. Non serve una violazione tecnologica per creare un problema: basta una gestione lenta, frammentata o affidata a persone che non sanno riconoscere una richiesta GDPR quando arriva via PEC, email ordinaria o allo sportello.
Nel caso richiamato dalla fonte, l’inerzia operativa ha prodotto l’effetto più grave possibile: i dati richiesti non erano più disponibili. Dal punto di vista dell’interessato, il diritto è stato svuotato di significato. Dal punto di vista aziendale, questo segnala che il processo interno non era progettato per reagire in tempo utile.
Non conta il canale, conta la sostanza della richiesta
Uno degli insegnamenti più utili del caso è che il diritto di accesso va letto in chiave pratica. Se un interessato scrive in modo chiaro, identifica il fatto, la data, l’orario e il contesto, l’azienda deve capire che non sta ricevendo una semplice lamentela, ma una vera istanza privacy.
Questo vale soprattutto per realtà con più sedi, negozi, uffici o reparti. Molte richieste non arrivano direttamente al DPO o all’ufficio legale: finiscono in reception, al customer care, alla segreteria, al responsabile di filiale o in una casella PEC amministrativa. Se chi le riceve non sa riconoscerle e scalarle subito, il rischio non è teorico.
Per questo il provvedimento viene letto, correttamente, come un richiamo all’organizzazione interna. La conformità al GDPR non si dimostra solo con informative e registri. Si misura anche nella capacità concreta di intercettare una richiesta, classificarla e attivare le persone giuste senza ritardi.
Accesso, correttezza e conservazione per finalità difensive
Dalla sintesi della fonte emerge anche un altro aspetto importante: il caso non riguarda solo il diritto di accesso, ma anche la richiesta di conservare i filmati per eventuali esigenze giudiziarie.
Quando un interessato segnala tempestivamente un episodio e chiede di non perdere le immagini rilevanti, l’azienda deve valutare seriamente la richiesta e attivarsi in modo coerente. Non significa conservare tutto senza limiti, ma significa avere una procedura chiara per sospendere la cancellazione automatica dei dati pertinenti quando esistono presupposti concreti.
Qui entra in gioco il principio di correttezza richiamato dal GDPR. Un comportamento formalmente ordinato ma sostanzialmente passivo può essere considerato scorretto se impedisce, nei fatti, l’esercizio di un diritto. È una lezione importante soprattutto per chi gestisce dati in modo automatizzato: l’automazione non può diventare una scusa per non intervenire.
Cosa significa per la tua azienda
Per una PMI italiana, questo caso suggerisce alcune azioni molto concrete.
Primo: mappare tutti i punti di ingresso delle richieste privacy. Non pensare solo all’indirizzo email del DPO. Le istanze possono arrivare via PEC, email generica, modulo di contatto, sportello, telefono seguito da email di conferma, o direttamente in una sede operativa.
Secondo: definire una procedura di escalation rapida. Chiunque riceva una richiesta che riguarda dati personali deve sapere a chi inoltrarla immediatamente e con quali tempi. Nel caso della videosorveglianza, anche poche ore possono fare la differenza.
Terzo: separare la semplificazione dall’obbligo. Puoi offrire un modulo standard, ed è spesso utile farlo. Ma il modulo non deve essere l’unica porta d’accesso. Se la richiesta contiene già gli elementi essenziali, va trattata.
Quarto: prevedere una procedura di “blocco conservativo” dei filmati o dei dati quando arriva una richiesta motivata, soprattutto se ci sono possibili contenziosi. Questo richiede coordinamento tra chi gestisce gli impianti, l’IT, l’amministrazione e chi segue privacy o compliance.
Quinto: formare il personale non tecnico. Reception, segreteria, responsabili di punto vendita, HR e customer care devono riconoscere le richieste GDPR più comuni. Una breve formazione pratica vale più di una policy dimenticata in archivio.
Sesto: verificare se l’infrastruttura supporta davvero il processo. Se non sapete recuperare rapidamente i filmati, sospendere la sovrascrittura o tracciare chi ha gestito una richiesta, il problema non è solo documentale ma operativo. In questi casi può essere utile rivedere gestione dei dispositivi e procedure con un supporto strutturato di desktop IT management.
Settimo: aggiornare la documentazione privacy collegata alla videosorveglianza. Informative, tempi di conservazione, ruoli interni e istruzioni operative devono essere coerenti tra loro e allineati alle reali capacità dell’organizzazione. Se necessario, conviene fare un check più ampio sul percorso di adeguamento al GDPR.
Infine, una buona regola generale: tutto ciò che ha tempi di conservazione brevi merita processi più veloci e controlli più rigorosi. Lo stesso principio vale anche per altre informazioni aziendali critiche, che andrebbero protette con misure adeguate di sicurezza informatica.
L’errore più comune: pensare che privacy e operation siano separate
Molte aziende trattano ancora la privacy come un tema documentale, affidato a informative, nomine e registri. Il caso Lidl dimostra invece che la conformità si gioca nei passaggi operativi: chi riceve la PEC, chi legge la richiesta, chi individua i filmati, chi può sospendere la cancellazione automatica, chi risponde entro i termini.
Quando questi passaggi non sono definiti, il rischio aumenta anche se l’azienda ha formalmente predisposto moduli e procedure. Anzi, talvolta è proprio l’eccesso di formalismo a creare il problema: tutti aspettano il documento “giusto”, mentre il tempo utile scade.
Per una direzione aziendale, il punto non è fare più burocrazia. È costruire un processo semplice, comprensibile e testato. In pratica: meno carta inutilmente rigida, più responsabilità chiare e tempi certi.
Una lezione che va oltre la videosorveglianza
Anche se il caso riguarda i filmati delle telecamere, il principio è più ampio. Ogni diritto GDPR richiede alla struttura aziendale di riconoscere la richiesta e reagire in modo tempestivo. Questo vale per accesso, rettifica, cancellazione, limitazione e opposizione.
Il provvedimento ricordato da Cyber Security 360 segnala dunque una maturazione dell’approccio delle autorità: non basta dichiarare di avere una procedura, bisogna dimostrare che funziona davvero quando serve. E funziona solo se le persone, i canali e gli strumenti tecnici sono coordinati.
Per le PMI è un messaggio utile, non solo un avvertimento. Migliorare questi flussi significa ridurre rischi legali, evitare incomprensioni con clienti o dipendenti e proteggere meglio l’azienda quando nasce un contenzioso.
Domande frequenti
Una richiesta GDPR deve usare per forza il modulo dell’azienda?
No. Un modulo può facilitare la gestione, ma non può essere imposto come unica condizione se la richiesta è già chiara e completa nei suoi elementi essenziali.
Se i filmati vengono cancellati automaticamente, l’azienda è comunque responsabile?
Può esserlo, se la richiesta è arrivata in tempo utile e l’organizzazione non si è attivata per valutarla e, quando necessario, bloccare la cancellazione dei dati pertinenti.
Questo tema riguarda anche le piccole imprese?
Sì. Basta avere telecamere, una casella PEC e personale che riceve comunicazioni da clienti, dipendenti o visitatori. Il rischio nasce dall’organizzazione, non dalla dimensione aziendale.