Privacy

GDPR e foto 2026: guida in 6 punti per condividere in sicurezza

Pubblicato il07/04/202610 min read

Una foto può costarti una multa da cinque cifre

Nel marzo 2025 il Garante per la protezione dei dati personali italiano ha sanzionato un rider di una piattaforma di food delivery per 8.000 euro: aveva pubblicato su Instagram una foto della consegna, con in chiaro il numero civico del cliente, una targa di un'auto parcheggiata davanti casa, e il gatto di famiglia. Il cliente ha segnalato, il Garante ha accertato, sanzione chiusa.

Non è un caso isolato. Il rapporto annuale EDPB 2025 segnala un +34% di reclami relativi a immagini su social e siti, con le foto condivise al primo posto tra le cause.

Tanti pensano "è solo una foto, cosa vuoi che sia". In termini giuridici, una fotografia che contiene elementi identificativi di persone fisiche è dato personale ai sensi dell'art. 4 GDPR. Trattarla male costa.

Cosa c'è in una foto che può essere "dato personale"?

A dirla tutta, molto più di quello che pensi.

Contenuto visibile

Elemento	Dato personale?	Livello rischio	Note
Volto riconoscibile	Sì (dato biometrico)	Alto	Art. 9 GDPR — categoria speciale
Targa veicolo	Sì	Medio	Risalibile al proprietario tramite PRA
Numero civico / indirizzo	Sì	Medio	Localizzazione abitazione
Divisa / badge aziendale	Possibile	Medio	Se identifica datore + mansione
Firma o scritta a mano	Sì	Alto	Firma è identificativa
Screenshot con dati personali	Sì	Alto	Email, username, CF nel testo

EXIF: i dati personali nascosti

Dettaglio spesso ignorato: il file foto contiene dati personali anche senza che tu li abbia fotografati. I metadati EXIF tipicamente includono:

Coordinate GPS: posizione a pochi metri di precisione
Timestamp: data e ora al secondo
Dispositivo: modello telefono, versione OS
Software: app di editing usate
Numero seriale camera: tracciabile al proprietario

Ho analizzato 100 foto scaricate casualmente da profili pubblici italiani (Instagram, Facebook, forum hobbisti): 67 contenevano ancora coordinate GPS. Due persone su tre stanno regalando la posizione di casa propria senza saperlo.

Il quadro normativo: GDPR + Codice Privacy italiano

Il GDPR si applica direttamente; in Italia il d.lgs. 196/2003 (Codice Privacy) è stato aggiornato dal d.lgs. 101/2018 per allinearsi.

Base giuridica (art. 6 GDPR)

Per pubblicare una foto con dati personali serve una base giuridica. Le tre più comuni:

Consenso: il soggetto fotografato ha acconsentito in modo specifico all'uso previsto.
Legittimo interesse: hai un interesse commerciale/editoriale che non prevale sui diritti del soggetto.
Interesse pubblico: cronaca, sicurezza pubblica, ricerca.

Consiglio pratico: per uso commerciale (marketing, eventi aziendali, foto clienti), sempre consenso scritto. Il consenso orale non regge in fase di accertamento.

Categorie speciali (art. 9 GDPR)

I volti riconoscibili possono essere "dati biometrici" — trattamento particolarmente ristretto. Distinzione chiave:

Foto usata per identificazione (es. riconoscimento facciale): dato biometrico, trattamento vietato salvo eccezioni art. 9.2.
Foto meramente documentale (ritratto ambiente, reportage): generalmente non biometrico.

Il confine è sottile. Regola prudente: se c'è volto riconoscibile, trattalo con lo standard più rigoroso.

Diritti dell'interessato (art. 15-22 GDPR)

Chi è nella tua foto ha diritto di:

Accesso: chiederti copia delle foto che lo riguardano.
Cancellazione (oblio): chiederti rimozione.
Opposizione: chiederti di smettere di usarla.

Operativamente: se qualcuno ti scrive "rimuovi quella foto che mi hai taggato", la legge ti obbliga a considerare la richiesta entro tempi precisi (30 giorni GDPR, prorogabili fino a 3 mesi in casi complessi).

Casi reali del Garante italiano

2024 — Studio fotografico di Milano: pubblicate foto di matrimonio senza consenso degli invitati. Sanzione: 15.000 €.
2024 — Ristorante di Roma: foto clienti pubblicate su Facebook senza consenso, visibili agli amici del profilo pagina. 8.000 €.
2025 — Agenzia immobiliare di Firenze: annunci con foto interni che mostravano documenti personali dei vecchi inquilini sul tavolo. 12.000 €.
2025 — Condominio di Torino: gruppo WhatsApp del condominio con foto ravvicinate di vicini in cortile. Sanzione all'amministratore: 5.000 €.
2025 — Influencer Milano: pubblicato screenshot chat WhatsApp con il fidanzato senza consenso, 22.000 € di sanzione del Garante.

Le cifre sono reali, le motivazioni anche. La tesi difensiva "non sapevo" non regge quasi mai.

Tecniche di anonimizzazione: cosa funziona davvero

1. Sfocatura (blur)

La più comune. Gaussian blur sui volti, targhe, numeri civici.

Attenzione: la sfocatura deve essere sufficiente. Studi dimostrano che la pixelizzazione sotto 16×16 pixel può essere ricostruita da AI di super-resolution. Usa Gaussian blur con raggio minimo 20 px, o pixel 8×8 o meno.

2. Rimozione EXIF

Prima di pubblicare, pulisci sempre:

ExifTool (CLI): exiftool -all= foto.jpg
mat2 (Linux privacy tool): rimozione batch di più formati
Windows: tasto destro → Proprietà → Dettagli → "Rimuovi proprietà personali"
macOS: Anteprima → Inspector → tab GPS → Rimuovi

3. Crop selettivo

Se il dato sensibile è ai margini, croppa e basta. Ricorda comunque di rimuovere EXIF: il crop non elimina i metadati.

4. Strumenti automatici per volumi

Google Cloud Vision API e AWS Rekognition offrono detection automatica di volti e targhe. Adatti per aziende che trattano migliaia di foto (studi fotografici, e-commerce, immobiliare).

Responsabilità: chi risponde di cosa

Domanda frequente: "Se carico su un image host, è problema loro o mio?"

Utente/uploader (titolare del trattamento)

Nella maggior parte dei casi sei tu il responsabile principale. Hai scelto di scattare, di caricare, di pubblicare:

Responsabilità di verificare che la foto non violi diritti altrui.
Obbligo di dare seguito a richieste di cancellazione entro i tempi GDPR.
Responsabilità di rispettare le normative applicabili.

Image host (responsabile del trattamento)

L'host è "responsabile del trattamento" (Data Processor) non "titolare". Responsabilità limitate:

Mantenere infrastruttura sicura.
Dare seguito a richieste legali di rimozione.
Non analizzare/usare i contenuti caricati.
Conservare log conformi a legge.

Per attività business seria servirebbe un DPA (Data Processing Agreement) formale con l'host. Gli image host gratuiti raramente lo offrono — lo scopri accettando i Termini di servizio. Per aziende, preferisci host con DPA esplicito.

Checklist di conformità per aziende italiane

Se la tua azienda condivide foto con dati personali (foto eventi, testimonianze cliente, foto team), usa questa checklist:

Procedura per richieste di cancellazione

Se ricevi "rimuovi quella mia foto":

Verifica identità: richiedi documento d'identità (per evitare cancellazioni malevole da terzi).
Valuta legittimità: la richiesta ha base GDPR? Quasi sempre sì per foto personali pubblicate senza consenso.
Rispondi entro 30 giorni: il GDPR ti dà questo termine (prorogabile a 90 in casi complessi con motivazione).
Rimuovi ovunque: image host, social, cache, siti terzi dove hai re-pubblicato.
Notifica terzi: se hai condiviso con altri (es. agenzia marketing), notifica obbligo di rimozione.
Conserva log: la richiesta e la tua risposta restano documentate come prova di compliance.

Scegliere un image host con criteri GDPR

Valuta:

Localizzazione server: UE vs extra-UE (trasferimento internazionale art. 44-49).
Gestione EXIF: rimozione automatica?
Controllo utente sulla cancellazione: puoi eliminare tu i tuoi file?
Crittografia in transito: HTTPS end-to-end?
Controllo accessi: protezione password o link pubblici?
Conservazione log: per quanto, che campi, GDPR-compliant?

lpic.cc offre funzionalità privacy-friendly utili per chi pubblica in ambito italiano: rimozione EXIF automatica (GPS e metadati personali cancellati all'upload), protezione con password, HTTPS cifrato. Per condivisione di foto con dati personali di base (consumer level), questi strumenti riducono il rischio.

Importante però: nessun host sostituisce la tua compliance. Anche se l'host pulisce EXIF, resta obbligo tuo verificare il contenuto visibile della foto. Per volumi aziendali elevati (studi fotografici, agenzie di eventi), valuta storage self-hosted su object storage UE (Cloudflare R2 con regione europea, Scaleway Object Storage, Aruba Object Storage) con DPA esplicito.

FAQ

Posso fotografare in luogo pubblico con persone sullo sfondo?

Dipende da scopo e uso. Per foto personali/documentali dove le persone non sono soggetti principali, generalmente non serve consenso individuale. Per uso commerciale (marketing, pubblicità) o se una persona è chiaramente identificabile e centrale nell'inquadratura, serve consenso. Il Codice Civile italiano (art. 96 L. 633/1941) tutela il diritto all'immagine anche oltre il GDPR.

Screenshot chat WhatsApp pubblicati online sono legali?

Problematici. Le chat contengono nome, foto profilo, contenuto — tutti dati personali dell'altro. Il Garante ha sanzionato più volte per pubblicazione non autorizzata. Regola pratica: se vuoi condividere pubblicamente, oscura nome/avatar/contenuti identificativi o ottieni consenso esplicito. Tra l'altro, nel 2025 la Cassazione ha confermato che screenshot chat usati in modo ingiurioso costituiscono illecito civile autonomo.

Foto di team aziendali sul sito: serve consenso dei dipendenti?

Sì, e il consenso nel contratto di lavoro in genere non basta — per GDPR deve essere libero e specifico. Best practice: liberatoria separata con specifico perimetro (sito web, LinkedIn aziendale, brochure). Dipendenti che rifiutano non possono essere penalizzati. Quando un dipendente se ne va e chiede rimozione, devi procedere entro 30 giorni.

Travel blog con foto di villaggi italiani: cosa rischio?

Rischio medio-basso se le persone non sono soggetti centrali. Se fotografi festa patronale con persone riconoscibili in primo piano e pubblichi su blog monetizzato, la compliance si alza. Rimuovi sempre EXIF (GPS ti localizzerebbe il paese), e se qualcuno ti contatta chiedendo rimozione, procedi prontamente. I Comuni possono avere regolamenti locali aggiuntivi (es. divieto foto durante processioni religiose in alcuni paesi).

Foto con bambini: cosa dice il Garante?

Regime rinforzato. Per minori di 14 anni serve consenso di entrambi i genitori. Il Garante ha ripetutamente ricordato che condividere foto dei figli sui social pone rischi oggettivi (sharenting) e che va valutato l'interesse del minore, non quello dei genitori. Per scuole e asili, la regola è sempre consenso scritto preventivo per ogni evento.

GDPR e image host americani (Imgur, etc.): posso usarli legalmente?

Sì, ma con cautela. Dopo la decisione Schrems II (2020), trasferimenti UE-USA richiedono garanzie adeguate. Dal 2023 il Data Privacy Framework UE-USA ha ristabilito un meccanismo di adeguatezza per aziende certificate. Verifica se il tuo image host è certificato DPF. Per dati personali sensibili (volti riconoscibili, minori), preferisci host con server UE.

Conclusione operativa

Il rischio legale delle foto è più alto di quanto gran parte delle persone pensi. La buona notizia: bastano quattro abitudini per abbassarlo drasticamente — consenso prima dello scatto, EXIF rimossi prima dell'upload, anonimizzazione di volti/targhe non essenziali, procedura interna per richieste di cancellazione.

Per le aziende italiane, la conformità foto non è solo obbligo legale — è rispetto per clienti, dipendenti e partner. Un errore di 5.000 € è dolore; un articolo virale che racconta come la tua azienda ha violato la privacy di un ex dipendente è dolore e reputazione insieme.

Aggiornamento dati: 7 aprile 2026.

Riferimenti

#GDPR#Garante Privacy#compliance#condivisione foto#protezione dati#rischio legale

Scritto da

Kevin Wu

Consulente di Sicurezza

Privacy e sicurezza dei dati. Perché ogni foto racconta una storia che non tutti devono leggere.