Avvertimento n. 573 del 01/10/2025

Avvertimento a ICF Technology, Inc. per possibile raccolta e diffusione illecita di immagini da IP cam

Il Garante per la protezione dei dati personali interviene in via d’urgenza nei confronti della società ICF Technology, Inc., apparentemente riconducibile al servizio CamHub, in relazione al possibile trattamento illecito di immagini estratte da videocamere/IP cam non protette e liberamente accessibili, localizzate nel territorio italiano. Il provvedimento si inserisce nel contesto di gravi fatti di cronaca già oggetto di precedente intervento dell’Autorità del 16 agosto 2025.

Contesto fattuale e origine dell’istruttoria

L’Autorità richiama i recenti e gravissimi episodi di violazione della riservatezza di soggetti privati derivanti dall’illecita estrazione di filmati da sistemi privati di videosorveglianza e dalla loro diffusione in rete. Nel corso dell’attività istruttoria svolta rispetto a tali fatti, il Garante ha appreso di possibili attività illecite di CamHub, diverse e ulteriori rispetto a quelle descritte nella documentazione pubblicamente accessibile del servizio.

Nonostante la momentanea non fruibilità del sito principale, risultavano accessibili la pagina dei termini e condizioni e la privacy notice. Da tali informazioni emergeva che CamHub si presentava come un servizio informatico interattivo, gratuito e a pagamento, dedicato allo streaming di contenuti sessualmente espliciti caricati dai performer, con contenuti visibili pubblicamente e in specifiche chat room.

Trattamento di dati personali ipotizzato

Sulla base degli elementi acquisiti, il Garante ritiene plausibile che il servizio raccolga e diffonda immagini tratte da IP cam non protette e liberamente accessibili, collocate in luoghi privati all’interno del territorio italiano. Tali immagini renderebbero visibili da remoto ambienti privati, attività e momenti di vita delle persone ritratte, con conseguente lesione della loro riservatezza.

L’Autorità qualifica tale attività come trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR. CamHub viene considerato titolare del trattamento ai sensi dell’art. 4, par. 1, n. 7, GDPR e il Regolamento risulta applicabile ai trattamenti svolti dal sito in forza dell’art. 3, par. 2, GDPR.

Profili di illeceità e norme richiamate

Il Garante rileva che le operazioni descritte non troverebbero fondamento in alcuna delle condizioni di liceità previste dagli artt. 6 e 9 GDPR. Viene inoltre evidenziata l’assenza di misure tecniche e organizzative adeguate a garantire un’effettiva protezione dei dati, in particolare sotto il profilo della minimizzazione e della prevenzione della raccolta e diffusione di immagini non autorizzate.

Le disposizioni specificamente richiamate sono:

• art. 5 GDPR, per i principi applicabili al trattamento;
• art. 6 GDPR, per la liceità del trattamento;
• art. 9 GDPR, per i dati appartenenti a categorie particolari;
• art. 25 GDPR, per la protezione dei dati fin dalla progettazione e per impostazione predefinita;
• art. 32 GDPR, per la sicurezza del trattamento.

Valutazione del rischio per i diritti e le libertà degli interessati

Il provvedimento insiste sulla natura particolarmente sensibile delle immagini in questione, idonee a incidere in modo diretto sulla sfera privata delle persone riprese e a esporre dati personali, comprese categorie particolari di dati. Il Garante sottolinea il rischio elevato per i diritti e le libertà fondamentali degli interessati, con specifico riferimento alla riservatezza e alla dignità.

Avvertimento adottato dal Garante

In vista di una possibile ripresa del servizio, il Garante adotta un avvertimento ai sensi dell’art. 58, par. 2, lett. a), GDPR e dell’art. 154, comma 1, lett. a), del Codice privacy.

L’avvertimento è rivolto a ICF Technology, Inc. e segnala che la raccolta e successiva diffusione, tramite CamHub.com, dei dati personali contenuti nei video estratti dalle IP cam non protette e liberamente accessibili, nonché l’assenza di adeguate misure di sicurezza, costituiscono un trattamento che può verosimilmente violare:

• art. 5 GDPR;
• art. 6 GDPR;
• art. 9 GDPR;
• art. 25 GDPR;
• art. 32 GDPR.

Pubblicazione del provvedimento e tutela giurisdizionale

Il Garante dispone la pubblicazione del provvedimento sul sito internet dell’Autorità ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019.

È infine indicata la possibilità di opposizione innanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, mediante ricorso al tribunale ordinario del luogo di residenza del titolare del trattamento entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.