Videosorveglianza in azienda: le regole tra GDPR e Statuto dei Lavoratori

Installare telecamere in azienda è un'operazione che riguarda due normative distinte e complementari: lo Statuto dei Lavoratori e il GDPR. Per titolari di PMI, uffici del personale e RSPP è un tema ricorrente, spesso sottovalutato: un impianto installato senza le autorizzazioni previste espone l'azienda a sanzioni e rende inutilizzabili le immagini anche a fini disciplinari.

Il divieto generale e le eccezioni previste dalla legge

L'articolo 4 della Legge 300/1970 (Statuto dei Lavoratori) pone il divieto generale di controllo a distanza dell'attività dei lavoratori. La norma però prevede eccezioni quando il sistema serve per esigenze organizzative e produttive quando macchinari ed impianti necessitano di monitoraggio continuo, per la sicurezza sul lavoro quando vi è la necessità di garantire l'intervento tempestivo delle squadre di soccorso, o per la tutela del patrimonio aziendale in presenza di beni di elevato valore economico ovvero quando siano avvenuti furti denunciati.

Anche quando l'installazione risponde a una di queste finalità, se dal sistema può comunque derivare la possibilità di un controllo, anche indiretto, dell'attività dei lavoratori, si applica comunque l'art. 4: quando un sistema di videosorveglianza può comportare un controllo, anche indiretto, dei lavoratori, trova applicazione l'art. 4 dello Statuto dei lavoratori.

Accordo sindacale o autorizzazione dell'Ispettorato

La procedura da seguire prima di installare un impianto ha un ordine preciso, come ha chiarito l'Ispettorato Nazionale del Lavoro (INL) con la nota n. 2572/2023: dall'installazione di impianti audiovisivi può derivare un controllo a distanza dei lavoratori, per questo motivo è necessario e prioritario procedere con l'accordo collettivo con le RSA e/o RSU presenti in azienda; l'accordo con le rappresentanze aziendali costituisce il percorso prioritario e la procedura autorizzatoria pubblica presso l'Ispettorato risulta solo eventuale e successiva al mancato accordo con i sindacati, ed è condizionata alla dimostrazione dell'assenza di RSA/RSU in azienda.

L'INL ha inoltre precisato che il consenso dei singoli lavoratori non può sostituire questo percorso: la carenza di codeterminazione tra datore di lavoro e rappresentanze sindacali o del successivo provvedimento autorizzativo non può essere colmata dall'eventuale consenso, seppur informato, dei dipendenti.

Per le imprese senza RSA/RSU, o in caso di mancato accordo, la domanda va presentata all'Ispettorato territoriale o, per aziende con unità produttive in più province, all'Ispettorato Nazionale del Lavoro, utilizzando la modulistica ufficiale disponibile sul sito ispettorato.gov.it. Non serve autorizzazione per le telecamere puntate su zone esterne estranee alle pertinenze della ditta, come il suolo pubblico, anche se antistante alle zone di ingresso all'azienda, nelle quali non è prestata attività lavorativa.

Un punto ribadito più volte dal Garante Privacy è che l'accordo sindacale da solo non basta a rendere lecito il trattamento: un accordo sindacale non può legittimare un trattamento che sia comunque contrario ai principi fondamentali del GDPR, in particolare ai criteri di necessità e proporzionalità. Occorre quindi verificare anche se le telecamere siano effettivamente necessarie, dove siano collocate, quale area inquadrino e se esistano soluzioni alternative meno invasive.

Base giuridica e informativa GDPR

Oltre alla cornice dello Statuto dei Lavoratori, il trattamento delle immagini deve rispettare gli artt. 5, 6 e 13 del Regolamento UE 2016/679. È necessaria un'informativa "semplificata" esposta con cartellonistica visibile prima del raggio d'azione delle telecamere, che rimandi a un'informativa completa ai sensi dell'art. 13 del GDPR: gli interessati devono essere informati di stare per accedere ad un'area videosorvegliata e delle finalità per cui è attivo il sistema; la cartellonistica deve essere apposta prima del raggio di azione delle telecamere e deve riportare l'indicazione del titolare del trattamento e delle finalità. Un provvedimento del Garante del 7 marzo 2024 ha sanzionato un'azienda proprio perché il trattamento era stato effettuato in assenza della prescritta informativa, in contrasto con quanto stabilito dall'art. 13 del Regolamento, in base al quale il titolare del trattamento è tenuto a fornire all'interessato tutte le informazioni relative alle caratteristiche essenziali del trattamento.

Tempi di conservazione delle immagini

Secondo le FAQ pubblicate sul sito del Garante Privacy, la regola generale prevede tempi molto brevi: i dati personali dovrebbero essere, nella maggior parte dei casi, cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici; quanto più prolungato è il periodo di conservazione previsto, soprattutto se superiore a 72 ore, tanto più argomentata deve essere l'analisi riferita alla legittimità dello scopo; normalmente il titolare di un piccolo esercizio commerciale si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si verificassero: un periodo di conservazione di 24 ore è quindi sufficiente. Per periodi più lunghi (fino a 7 giorni per soggetti come banche o enti con finalità di sicurezza pubblica, o oltre in casi eccezionali) è necessaria una verifica preliminare da richiedere al Garante.

Le sanzioni

Il mancato rispetto delle regole su informativa, autorizzazione e conservazione espone a sanzioni amministrative del Garante Privacy che, per i sistemi di videosorveglianza, possono arrivare fino a 180.000 euro secondo quanto previsto dal Codice Privacy. A questo si aggiunge un rischio pratico: se l'impianto non rispetta le garanzie dello Statuto dei Lavoratori e della normativa privacy, anche l'utilizzo delle immagini a fini disciplinari può risultare illecito e quindi inutilizzabile in un eventuale contenzioso con il dipendente.

Cosa verificare prima di installare le telecamere

Per le imprese che stanno valutando o hanno già un impianto attivo, i passaggi da presidiare sono: individuare la finalità specifica tra quelle ammesse dall'art. 4 dello Statuto; cercare l'accordo con RSA/RSU o, in assenza, presentare istanza all'Ispettorato del Lavoro territorialmente competente; predisporre informativa e cartellonistica conformi al GDPR; impostare tempi di conservazione proporzionati, di regola non superiori alle 24-48 ore salvo esigenze documentate. Per la modulistica di richiesta all'INL e per le FAQ aggiornate sulla videosorveglianza si può consultare rispettivamente il sito ispettorato.gov.it e la sezione dedicata del Garante Privacy (garanteprivacy.it).