Videosorveglianza sul lavoro: i limiti del GDPR

Un recente provvedimento del Garante per la protezione dei dati personali torna a chiarire un principio fondamentale: la presenza di un accordo sindacale non rende automaticamente lecito qualsiasi sistema di videosorveglianza nei luoghi di lavoro. L’installazione delle telecamere deve infatti rispettare non solo l’art. 4 dello Statuto dei lavoratori, ma anche i principi del GDPR, in particolare necessità, proporzionalità, minimizzazione e trasparenza.

Il caso: telecamere installate negli spogliatoi di una piscina

Con il provvedimento del 3 settembre 2026, il Garante Privacy ha sanzionato l’Azienda Speciale per la Gestione degli Impianti Sportivi del Comune di Trento per l’utilizzo di telecamere installate all’interno degli spogliatoi di una piscina.

Le telecamere, presenti sin dal 2007, riprendevano principalmente gli armadietti utilizzati dagli utenti per custodire i propri effetti personali. La finalità dichiarata era quella di contrastare furti di portafogli e telefoni verificatisi nel tempo.

Il sistema interessava anche i lavoratori che transitavano nelle aree videosorvegliate e risultava assistito da un accordo sindacale sottoscritto ai sensi dell’art. 4 della Legge n. 300/1970. Nonostante ciò, il Garante ha ritenuto illecito il trattamento.

Perché il sistema è stato considerato illecito

Il punto centrale del provvedimento è rappresentato dalla particolare natura del luogo sottoposto a videosorveglianza.

Gli spogliatoi costituiscono infatti ambienti nei quali le persone hanno una elevata aspettativa di riservatezza, legata alla tutela della dignità e dell’intimità personale.

Secondo il Garante, la videosorveglianza all’interno di questi locali deve quindi essere considerata, di regola, particolarmente invasiva.

Nel caso esaminato, la tutela del patrimonio e la prevenzione dei furti costituivano finalità astrattamente legittime. Tuttavia, il sistema adottato è stato ritenuto sproporzionato rispetto ai diritti degli utenti.

Il titolare avrebbe dovuto verificare preventivamente se lo stesso obiettivo potesse essere raggiunto attraverso strumenti meno invasivi, ad esempio mediante sistemi di chiusura degli armadietti o lucchetti personali.

L’accordo sindacale non basta a rendere lecite le telecamere

Questo è probabilmente l’aspetto più interessante del provvedimento anche per le aziende.

Quando un sistema di videosorveglianza può comportare un controllo, anche indiretto, dei lavoratori, trova applicazione l’art. 4 dello Statuto dei lavoratori.

La norma consente l’installazione di impianti audiovisivi dai quali possa derivare un controllo a distanza dell’attività dei lavoratori soltanto per determinate esigenze e, nei casi previsti, previa stipula di un accordo sindacale oppure mediante autorizzazione dell’Ispettorato del lavoro.

L’accordo, tuttavia, rappresenta solo uno dei requisiti da rispettare.

Il Garante ha infatti chiarito che un accordo sindacale non può legittimare un trattamento che sia comunque contrario ai principi fondamentali del GDPR, in particolare ai criteri di necessità e proporzionalità.

In altre parole, non è sufficiente chiedersi se l’impianto sia stato autorizzato ai sensi dello Statuto dei lavoratori. Occorre anche verificare se le telecamere siano effettivamente necessarie, dove siano collocate, quale area inquadrino e se esistano soluzioni alternative meno invasive.

Videosorveglianza: bisogna valutare concretamente la proporzionalità

Ogni sistema di videosorveglianza dovrebbe essere progettato partendo dalla finalità effettivamente perseguita.

Se, ad esempio, l’esigenza riguarda la protezione degli accessi a un edificio, non è automaticamente giustificato riprendere anche postazioni di lavoro, aree di pausa o altri ambienti nei quali le persone trascorrono una parte significativa della propria giornata.

La valutazione deve quindi comprendere almeno:

la reale necessità delle telecamere;
l’area effettivamente inquadrata;
l’esistenza di misure alternative;
il rischio per i diritti delle persone riprese;
i tempi di conservazione delle immagini;
le modalità di accesso alle registrazioni;
gli obblighi informativi verso lavoratori, utenti e visitatori.

La conformità di un sistema di videosorveglianza deve pertanto essere valutata nel suo complesso e non può essere ridotta alla sola presenza del cartello che segnala le telecamere.

Informativa privacy: il cartello da solo non è sufficiente

Il provvedimento richiama anche gli obblighi di trasparenza previsti dal GDPR.

In presenza di videosorveglianza deve essere fornita innanzitutto una informativa di primo livello, normalmente rappresentata dalla segnaletica collocata prima dell’accesso alla zona videosorvegliata.

A questa deve però affiancarsi una informativa completa di secondo livello, facilmente accessibile agli interessati e contenente gli elementi previsti dall’art. 13 del GDPR.

Il Garante ha rilevato criticità proprio con riferimento alla completezza delle informazioni fornite agli utenti e ai lavoratori.

Quanto tempo possono essere conservate le registrazioni?

Un ulteriore elemento contestato riguardava il periodo di conservazione.

Nel caso esaminato le immagini venivano conservate per 72 ore.

Il Garante ha ricordato che il periodo di conservazione deve essere stabilito sulla base di una valutazione concreta della finalità perseguita.

Le Linee guida europee sulla videosorveglianza evidenziano che, nella maggior parte dei casi, i dati dovrebbero essere cancellati dopo pochi giorni e che periodi più estesi devono essere adeguatamente motivati.

Nel caso concreto, il problema non era quindi semplicemente la durata di 72 ore, ma il fatto che non risultasse una valutazione specifica che ne dimostrasse la necessità.

A seguito del procedimento, l’azienda ha ridotto i tempi di conservazione delle immagini a 12-24 ore e ha aggiornato la documentazione e la cartellonistica.

La valutazione d’impatto deve essere sostanziale

Il caso mette inoltre in evidenza un altro aspetto importante: la DPIA, cioè la valutazione d’impatto sulla protezione dei dati, non può trasformarsi in un semplice adempimento formale.

Il titolare deve dimostrare di aver analizzato concretamente:

i rischi derivanti dal sistema;
l’effettiva necessità delle riprese;
le alternative disponibili;
la proporzionalità rispetto allo scopo;
le misure adottate per ridurre l’impatto sulle persone.

Nel provvedimento, il Garante ha rilevato che la valutazione effettuata dall’azienda si limitava sostanzialmente ad affermare che i dati erano pertinenti e limitati rispetto alla finalità, senza una reale analisi delle alternative meno invasive.

La sanzione del Garante

Al termine dell’istruttoria il Garante ha dichiarato illecito il trattamento e ha applicato una sanzione amministrativa di 8.000 euro.

Nella determinazione dell’importo sono stati considerati anche elementi favorevoli all’azienda, tra cui la collaborazione con l’Autorità, la successiva disattivazione delle telecamere presenti negli spogliatoi e l’assenza di precedenti violazioni pertinenti.

Il caso mostra quindi come la corretta gestione della videosorveglianza non dipenda soltanto dalla finalità perseguita, ma anche dalle modalità concrete con cui il sistema viene progettato e utilizzato.

Videosorveglianza aziendale: cosa verificare

Per le aziende che dispongono già di un sistema di videosorveglianza, oppure intendono installarne uno nuovo, è opportuno verificare periodicamente la conformità dell’impianto.

Occorre valutare sia gli aspetti relativi alla protezione dei dati personali sia quelli connessi alla disciplina sul controllo a distanza dei lavoratori.

In particolare, devono essere coerenti tra loro la disposizione delle telecamere, le finalità dichiarate, gli eventuali accordi sindacali o autorizzazioni dell’Ispettorato, le informative privacy, i tempi di conservazione e le procedure interne per l’accesso alle registrazioni.

Un impianto installato molti anni prima dovrebbe inoltre essere riesaminato alla luce dell’attuale configurazione degli ambienti, delle finalità effettivamente perseguite e dell’evoluzione della normativa e della giurisprudenza.

SQ+ supporta aziende e professionisti nella verifica della conformità dei sistemi di videosorveglianza, nell’analisi degli adempimenti previsti dal GDPR e nella predisposizione della documentazione necessaria.

L’attività può comprendere la verifica delle aree riprese, delle finalità e dei tempi di conservazione, l’aggiornamento delle informative privacy e delle procedure interne e, quando necessario, il supporto nella valutazione d’impatto e negli adempimenti collegati alla presenza di lavoratori.

Una verifica preventiva consente di individuare eventuali criticità prima che diventino oggetto di segnalazioni, reclami o controlli dell’Autorità.