Videosorveglianza in azienda: l’impianto è davvero in regola?
Molte aziende utilizzano sistemi di videosorveglianza da anni e li considerano, quasi automaticamente, perfettamente a norma.
Il problema è che, non di rado, nessuno si è mai chiesto se l’impianto installato corrisponda davvero alle regole oggi applicabili.
Videosorveglianza in azienda: autorizzazioni, GDPR, controllo dei lavoratori e conservazione delle immagini. Cosa verificare per capire se l’impianto è davvero in regola.Anche quando una verifica iniziale è stata effettuata, può accadere che nel tempo il sistema sia cambiato mentre autorizzazioni, informative e valutazioni privacy siano rimaste ferme.
È proprio nella distanza tra impianto reale e impianto documentato che si concentra una parte importante del rischio.
In sintesi
Un impianto di videosorveglianza può essere tecnicamente funzionante ma giuridicamente non conforme.
Per verificare se è davvero in regola occorre controllare almeno quattro aspetti:
rispetto dell’art. 4 dello Statuto dei Lavoratori;
conformità al GDPR e alla normativa privacy;
corretto periodo di conservazione delle immagini;
corrispondenza tra impianto attuale, autorizzazioni e documentazione aziendale.
Una telecamera può essere installata per proteggere un ingresso, un magazzino, un piazzale o un’area produttiva.
La finalità appare evidente: sicurezza, tutela del patrimonio aziendale, prevenzione di furti e danneggiamenti.
Si individua il punto di ripresa, interviene l’installatore, il sistema viene attivato.
E spesso finisce lì.
La videosorveglianza viene percepita come una questione tecnica: numero delle telecamere, qualità delle immagini, posizione delle videocamere, accesso da remoto.
Ma la domanda da porsi è un’altra:
quel sistema può essere utilizzato in quel modo, soprattutto in presenza di lavoratori?
Ed è qui che entra in gioco il diritto.
Un sistema può infatti funzionare perfettamente ed essere, nello stesso momento, giuridicamente non conforme.
Serve sempre l’autorizzazione dell’Ispettorato?
No.
Ma quando dall’impianto può derivare anche la possibilità di controllo a distanza dell’attività dei lavoratori, deve essere rispettato l’art. 4 dello Statuto dei Lavoratori.
La norma consente l’impiego di impianti audiovisivi per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale.
Il punto centrale è proprio la possibilità di controllo.
Non è necessario che l’imprenditore abbia installato le telecamere con l’intenzione dichiarata di sorvegliare i dipendenti.
Una telecamera posta a protezione di un ingresso può consentire anche di ricostruire gli orari di entrata e uscita.
Una telecamera collocata in un magazzino può documentare movimenti e permanenze dei lavoratori.
Una telecamera esterna può riprendere aree nelle quali il personale transita abitualmente.
Quando ricorrono i presupposti previsti dall’art. 4, è necessario procedere attraverso:
accordo con le rappresentanze sindacali;
oppure, quando l’accordo non sia possibile o le rappresentanze siano assenti, autorizzazione dell’Ispettorato del Lavoro.
Il Garante lo ha ribadito anche nel 2026, chiarendo che il rispetto della procedura prevista dallo Statuto può costituire una condizione di liceità del trattamento quando l’impianto consente anche il controllo a distanza dei lavoratori.
Un vecchio impianto può diventare non conforme?
Sì.
È una delle situazioni più frequenti.
L’azienda ha ottenuto anni prima l’autorizzazione o ha seguito correttamente la procedura prevista dalla legge.
Poi però l’impianto cambia.
Viene aggiunta una telecamera.
Un punto di ripresa viene spostato.
Si amplia l’area sorvegliata.
Cambiano i tempi di conservazione.
Si introduce l’accesso da remoto.
Il sistema viene aggiornato o sostituito.
La domanda, quindi, non è soltanto:
“Abbiamo un’autorizzazione?”
La domanda corretta è:
“L’impianto che utilizziamo oggi corrisponde ancora a quello che è stato autorizzato o comunque valutato originariamente?”
È proprio qui che spesso emerge il primo disallineamento.
Videosorveglianza e GDPR: quali controlli servono?
Il rispetto dello Statuto dei Lavoratori non esaurisce gli obblighi dell’azienda.
Se le immagini permettono di identificare persone, trova applicazione anche la disciplina sulla protezione dei dati personali.
Occorre quindi verificare, tra l’altro:
quali aree siano effettivamente riprese;
quale sia la finalità concreta del trattamento;
chi possa accedere alle immagini;
per quale ragione possa farlo;
per quanto tempo vengano conservate le registrazioni;
quando sia possibile estrarre un filmato;
se siano presenti accessi da remoto;
se le informative descrivano correttamente ciò che il sistema fa realmente.
Il principio è semplice:
la documentazione deve descrivere il sistema che l’azienda utilizza oggi, non quello installato anni prima.
L’accesso da remoto tramite smartphone è consentito?
Può esserlo.
Ma non è una semplice funzione tecnica.
Se il titolare, un responsabile o altro soggetto può visualizzare le immagini tramite smartphone, tablet o computer, devono essere valutati diversi aspetti:
chi può accedere;
con quali credenziali;
a quali telecamere;
per quali finalità;
in quali circostanze.
Il Garante ha affrontato espressamente il tema nel 2026, chiarendo che costituisce trattamento di dati personali anche la raccolta delle immagini accompagnata dalla loro visualizzazione da remoto.
Questo significa che una funzione aggiunta successivamente all’impianto può incidere significativamente sulla valutazione di conformità.
Quanto tempo si possono conservare le immagini?
È una delle domande più frequenti.
“Possiamo conservarle 24 ore?”
“Possiamo conservarle 72 ore?”
Il problema è che non esiste un numero che renda automaticamente lecita qualsiasi conservazione.
Il GDPR impone il principio della limitazione della conservazione.
La vera domanda è:
perché, in questa specifica azienda, è necessario conservare le immagini proprio per quel periodo?
Un provvedimento del Garante del settembre 2026 è particolarmente significativo.
Nel caso esaminato, le registrazioni venivano conservate per 72 ore.
La criticità non derivava automaticamente dalla durata in sé, ma dall’assenza di una preventiva valutazione concreta sulla necessità di conservarle proprio per quell’arco temporale.
Il principio operativo è quindi molto chiaro:
non basta scegliere un termine. Occorre poterlo motivare.
Il cartello “area videosorvegliata” è sufficiente?
No.
Il cartello è soltanto la parte più visibile della videosorveglianza.
Dietro devono esserci informazioni corrette, procedure coerenti e un sistema configurato in modo conforme.
Se l’informativa indica un determinato periodo di conservazione e il sistema ne applica un altro, esiste una criticità.
Se le aree effettivamente riprese non corrispondono a quelle considerate nella documentazione, esiste una criticità.
Se sono cambiate le persone abilitate a visualizzare le registrazioni e nessuno ha aggiornato le autorizzazioni interne, esiste una criticità.
La compliance, quindi, non si misura dal numero dei documenti presenti nel fascicolo privacy.
Si misura dalla corrispondenza tra quei documenti e la realtà.
Le immagini possono essere usate contro un dipendente?
In alcuni casi sì.
Ma il problema non riguarda soltanto ciò che la registrazione dimostra.
Riguarda anche come quella registrazione è stata acquisita.
L’art. 4, comma 3, dello Statuto dei Lavoratori consente, ricorrendone le condizioni, l’utilizzo delle informazioni raccolte anche per finalità connesse al rapporto di lavoro.
Ciò non significa però che qualsiasi immagine possa essere automaticamente utilizzata.
Occorre verificare che:
lo strumento sia stato correttamente inquadrato;
siano state rispettate le garanzie previste dalla legge;
il lavoratore sia stato adeguatamente informato;
il trattamento sia conforme alla disciplina sulla protezione dei dati personali.
Per l’impresa non basta, quindi, che un’immagine documenti una determinata condotta.
Occorre verificare anche che quella registrazione sia stata acquisita e gestita correttamente.
È uno dei punti più delicati.
Un sistema installato per tutelare l’azienda può infatti rivelarsi problematico proprio nel momento in cui occorre utilizzare le immagini.
E i cosiddetti controlli difensivi?
La giurisprudenza distingue i normali controlli soggetti all’art. 4 dai cosiddetti controlli difensivi “in senso stretto”, rivolti all’accertamento di specifiche condotte illecite.
Ma questa categoria non può diventare una scorciatoia.
Non basta affermare che le telecamere servono a prevenire furti o comportamenti illeciti per sottrarre automaticamente il controllo alle garanzie previste dalla legge.
Occorre valutare concretamente:
quando è sorto il sospetto;
quali soggetti siano coinvolti;
quale controllo sia stato effettuato;
quali dati siano stati raccolti;
quale sia stata l’effettiva finalità del controllo.
Anche in questo caso conta ciò che concretamente accade.
Come verificare se l’impianto è davvero in regola?
Quando si analizza un impianto già operativo, non conviene partire dalle informative o dai modelli.
Prima viene il sistema reale.
Occorre capire come funziona oggi.
Solo dopo ha senso confrontarlo con ciò che risulta dai documenti.
In particolare, le verifiche principali riguardano tre aree.
1. Impianto e disciplina lavoristica
Occorre verificare se numero, posizione e funzionalità delle telecamere corrispondano a quanto previsto dall’accordo sindacale o dall’eventuale autorizzazione dell’Ispettorato.
2. Impianto e privacy
Informative, registro dei trattamenti, tempi di conservazione ed eventuale valutazione di impatto devono descrivere ciò che il sistema fa realmente.
3. Gestione delle immagini
Occorre sapere:
chi può visualizzarle;
chi può estrarle;
come vengono conservate;
se esistono accessi da remoto;
quando possono essere utilizzate.
Solo dopo questo confronto ha senso aggiornare la documentazione.
Fare il contrario significa rischiare di creare una compliance formalmente ordinata ma ancora scollegata dalla realtà.
Il rischio più insidioso: essere convinti di essere già in regola
Paradossalmente, l’azienda che merita maggiore attenzione non è sempre quella consapevole di avere un problema.
Può essere quella convinta di essere perfettamente conforme.
L’autorizzazione esiste.
I cartelli sono presenti.
L’informativa è stata predisposta.
La videosorveglianza compare nel registro dei trattamenti.
E proprio per questo nessuno verifica più nulla.
Ma l’assenza di contestazioni non dimostra la conformità.
E nemmeno l’esistenza di un fascicolo completo è sufficiente se quel fascicolo descrive un sistema diverso da quello utilizzato oggi.
La domanda decisiva è quindi questa:
l’impianto che utilizziamo oggi corrisponde realmente a ciò che è stato autorizzato, documentato e comunicato ai lavoratori e agli altri interessati?
Se per rispondere è necessario recuperare vecchie autorizzazioni, chiedere al fornitore quali siano le impostazioni attuali o ricostruire il periodo effettivo di conservazione, quella difficoltà rappresenta già un elemento da non sottovalutare.
Quando conviene fare la verifica?
Prima che emerga un problema.
Un’anomalia individuata internamente può essere analizzata e corretta.
La stessa anomalia scoperta durante un procedimento disciplinare, un’ispezione o un’istruttoria del Garante deve essere affrontata in condizioni completamente diverse.
La compliance non serve soltanto a dimostrare che esistono dei documenti.
Serve a fare in modo che, quando qualcuno guarda realmente dentro il sistema, quei documenti descrivano ciò che effettivamente accade.
Per questo la domanda più utile non è soltanto:
“Abbiamo fatto gli adempimenti?”
Ma:
“Siamo in grado, oggi, di spiegare e documentare perché il nostro sistema funziona in questo modo e perché ciascuna delle scelte effettuate è conforme?”
Quando la risposta non è immediata, è precisamente da lì che conviene iniziare.
