Videosorveglianza nei luoghi di lavoro: il Garante Privacy ribadisce l’obbligo di informativa e autorizzazione preventiva
Con il Provvedimento n. 210 del 26 marzo 2026, il Garante per la protezione dei dati personali è tornato su un tema di particolare rilievo per imprese, datori di lavoro, responsabili HR, DPO e consulenti privacy: l’utilizzo di impianti di videosorveglianza nei luoghi di lavoro.
Il provvedimento conferma una linea interpretativa rigorosa: l’installazione di telecamere non può prescindere dal rispetto degli obblighi informativi previsti dal GDPR e dalle garanzie giuslavoristiche previste dallo Statuto dei Lavoratori.
La finalità di sicurezza, anche quando collegata a un episodio concreto come un furto, non consente al datore di lavoro di attivare unilateralmente un sistema di ripresa senza avere prima adempiuto agli obblighi richiesti dalla normativa.
Il caso esaminato dal Garante
La vicenda trae origine da un accertamento effettuato dalla Questura di Roma presso un esercizio di ristorazione.
Nel corso del sopralluogo è stata rilevata la presenza di un impianto di videosorveglianza installato circa trenta giorni prima, a seguito di un furto avvenuto nel locale.
L’impianto risultava però attivo in assenza di idonei cartelli informativi, sia all’interno sia all’esterno dell’esercizio commerciale.
È stata inoltre accertata la presenza di lavoratori dipendenti e, al tempo stesso, la mancanza della necessaria autorizzazione dell’Ispettorato del Lavoro, richiesta quando dall’impianto possa derivare anche solo la possibilità di controllo a distanza dell’attività dei lavoratori.
Il titolare del trattamento, pur invitato a presentare scritti difensivi, non ha fornito riscontro all’Autorità.
Videosorveglianza e trattamento di dati personali
Uno degli aspetti più importanti del provvedimento riguarda la qualificazione dell’attività di videosorveglianza come trattamento di dati personali.
Il Garante ribadisce che l’utilizzo di un sistema di ripresa comporta trattamento di dati personali anche quando non vi sia registrazione o conservazione delle immagini.
È sufficiente, infatti, che le immagini siano raccolte e visualizzate, anche in tempo reale e da remoto tramite smartphone, perché trovi applicazione la disciplina in materia di protezione dei dati personali.
Da ciò deriva l’obbligo per il titolare di rispettare i principi del GDPR, in particolare quelli di liceità, correttezza e trasparenza.
L’obbligo di informativa e cartellonistica
Il primo profilo di illiceità rilevato dall’Autorità riguarda la mancata informazione agli interessati.
Chi accede a un’area videosorvegliata deve essere messo nelle condizioni di conoscere, prima di entrare nel raggio d’azione delle telecamere, che è in funzione un sistema di ripresa.
La cartellonistica informativa deve quindi essere collocata in modo visibile, intelligibile e chiaramente leggibile, così da consentire a clienti, passanti e lavoratori di comprendere le circostanze della sorveglianza.
L’informativa costituisce un presidio essenziale di trasparenza e non può essere considerata un adempimento meramente formale.
La sua assenza determina una violazione degli articoli 5, paragrafo 1, lettera a), e 13 del GDPR.
L’autorizzazione preventiva nei luoghi di lavoro
Il secondo profilo riguarda il rispetto della disciplina lavoristica.
L’articolo 4 della Legge n. 300/1970 consente l’utilizzo di impianti dai quali possa derivare anche la possibilità di controllo a distanza dei lavoratori solo per specifiche esigenze: organizzative e produttive, sicurezza del lavoro o tutela del patrimonio aziendale.
La presenza di queste finalità, tuttavia, non è sufficiente a legittimare l’installazione dell’impianto.
È necessario che l’installazione sia preceduta da un accordo collettivo con le rappresentanze sindacali oppure, in mancanza, dal rilascio di una autorizzazione dell’Ispettorato territoriale del Lavoro.
Il Garante qualifica tale procedura come condizione indefettibile per la legittimità del trattamento.
La sua omissione incide sul principio di liceità del trattamento e comporta la violazione della disciplina privacy, anche in relazione agli articoli 88 del GDPR e 114 del Codice Privacy.
Sicurezza e tutela del patrimonio non eliminano gli obblighi
Il provvedimento è particolarmente significativo perché conferma che l’esigenza di proteggere il patrimonio aziendale non consente deroghe agli obblighi normativi.
Anche quando l’impianto sia installato dopo un furto o per prevenire ulteriori episodi illeciti, il datore di lavoro deve comunque rispettare il percorso previsto dalla legge.
La tutela dell’impresa e la sicurezza dei luoghi possono certamente costituire finalità legittime, ma devono essere perseguite attraverso strumenti conformi al GDPR e allo Statuto dei Lavoratori.
In altri termini, la finalità non sana l’assenza della procedura.
Le misure adottate dal Garante
All’esito dell’istruttoria, il Garante ha dichiarato l’illiceità del trattamento effettuato tramite l’impianto di videosorveglianza.
L’Autorità ha irrogato una sanzione amministrativa pecuniaria pari a 2.000 euro.
Ha inoltre ordinato al titolare di conformare il trattamento al GDPR entro trenta giorni, predisponendo idonea cartellonistica informativa e comunicando al Garante le misure adottate.
Infine, ha disposto una limitazione del trattamento, vietando l’attivazione del sistema di videosorveglianza negli orari di apertura dell’esercizio commerciale fino all’eventuale rilascio dell’autorizzazione da parte dell’Ispettorato territoriale del lavoro.
Gli impatti per le imprese
Il provvedimento offre un’indicazione operativa molto chiara per tutte le organizzazioni che intendono installare sistemi di videosorveglianza.
Prima dell’attivazione dell’impianto occorre verificare la base giuridica del trattamento, predisporre l’informativa agli interessati, collocare la cartellonistica in modo adeguato e completare la procedura prevista dall’articolo 4 dello Statuto dei Lavoratori.
La compliance privacy e lavoro deve quindi essere preventiva, documentata e coerente con le concrete modalità di funzionamento dell’impianto.
Particolare attenzione deve essere prestata anche ai sistemi che consentono la visualizzazione da remoto tramite smartphone o altri dispositivi mobili, poiché tale modalità integra comunque un trattamento di dati personali.
Conclusioni
La decisione del Garante conferma che la videosorveglianza nei luoghi di lavoro richiede un equilibrio rigoroso tra esigenze aziendali, tutela del patrimonio, sicurezza e protezione dei diritti dei lavoratori.
Le imprese non possono considerare le telecamere come semplici strumenti tecnici da installare in modo immediato.
Ogni sistema potenzialmente idoneo a incidere sulla riservatezza e sulla dignità dei lavoratori richiede una valutazione preventiva, il rispetto degli obblighi informativi e il completamento delle procedure autorizzative previste dalla normativa.
Il messaggio del Garante è chiaro: la sicurezza aziendale è un’esigenza legittima, ma deve essere gestita all’interno di un quadro di liceità, trasparenza e compliance.
