Videosorveglianza nei luoghi di lavoro: illecito anche senza registrazione e senza autorizzazione, irrilevante la finalità di sicurezza

Massima

In materia di videosorveglianza nei luoghi di lavoro, l’installazione e l’utilizzo di impianti di ripresa integrano trattamento di dati personali anche in assenza di registrazione delle immagini, qualora vi sia mera visualizzazione in tempo reale; ne consegue che la mancata predisposizione dell’informativa agli interessati e l’omessa preventiva autorizzazione ai sensi dell’art. 4 dello Statuto dei lavoratori determinano l’illiceità del trattamento. Tale illiceità non è esclusa dalla sussistenza di esigenze di sicurezza, neppure se derivanti da eventi criminosi, né è suscettibile di sanatoria successiva.

Il caso

La vicenda prende le mosse da un’attività ispettiva svolta dalla Questura di Roma presso un locale di ristorazione, nel corso della quale è stata riscontrata la presenza di un impianto di videosorveglianza pienamente operativo, installato dal titolare circa un mese prima in reazione a un episodio di furto verificatosi all’interno dell’esercizio. Gli accertamenti hanno tuttavia evidenziato la completa inosservanza degli adempimenti normativamente previsti: da un lato, l’assenza totale di adeguata cartellonistica informativa destinata sia alla clientela sia ai passanti; dall’altro, la mancata attivazione della procedura prevista in ambito lavoristico, consistente nel previo accordo sindacale oppure, in alternativa, nell’ottenimento dell’autorizzazione da parte dell’Ispettorato territoriale del lavoro, nonostante la presenza stabile di personale dipendente. Alla luce di tali risultanze, l’Ufficio del Garante ha notificato al titolare del trattamento l’avvio del procedimento sanzionatorio, concedendo un termine per la presentazione di memorie difensive e documentazione a supporto. Il destinatario, tuttavia, non si è avvalso di tale facoltà, omettendo qualsiasi forma di interlocuzione con l’Autorità.

La questione

È lecito installare un impianto di videosorveglianza in ambito lavorativo per finalità di sicurezza in assenza sia di informativa sia della preventiva autorizzazione richiesta dall’art. 4 dello Statuto dei lavoratori?

Le soluzioni giuridiche

Con il provvedimento del 26 marzo 2026, n. 210, l’Autorità Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa nei confronti del titolare di un esercizio di ristorazione, ritenendo integrata una violazione del principio di trasparenza di cui agli artt. 5, par. 1, lett. a) e 13 del GDPR. Il caso assume rilievo non tanto per la tipologia dell’illecito quanto per la puntualizzazione, sul piano giuridico, della nozione di trattamento di dati personali nell’ambito della videosorveglianza.

In particolare, il Garante chiarisce che l’utilizzo di sistemi di ripresa integra trattamento anche in assenza di registrazione o conservazione delle immagini, ogniqualvolta sussista una mera attività di visualizzazione, anche in tempo reale e da remoto attraverso dispositivi come smartphone. Ne deriva che l’intero apparato regolatorio del GDPR trova applicazione già in presenza di un controllo visivo attivo, con conseguente obbligo per il titolare di assicurare un’adeguata informativa agli interessati ai sensi dell’art. 13. Sotto il profilo operativo, tale obbligo si concretizza, secondo un orientamento ormai consolidato anche a livello europeo, nell’adozione di una informativa “a due livelli”, che include una cartellonistica immediatamente percepibile, collocata prima dell’area sottoposta a ripresa, idonea a rendere gli interessati consapevoli del trattamento e a consentire loro di orientare liberamente il proprio comportamento.

Accanto al profilo della trasparenza, il provvedimento sviluppa un’analisi particolarmente significativa in ordine al principio di liceità del trattamento. L’Autorità richiama l’art. 5, par. 1, lett. a) e l’art. 88 del GDPR, nonché l’art. 114 del Codice Privacy, evidenziando come tali disposizioni operino un rinvio diretto alla disciplina lavoristica contenuta nell’art. 4 dello Statuto dei lavoratori. In questo quadro, l’installazione di impianti dai quali possa derivare un controllo anche solo potenziale sull’attività dei dipendenti è subordinata non soltanto alla sussistenza di specifiche esigenze (organizzative, produttive, di sicurezza o di tutela del patrimonio), ma anche all’osservanza di un preciso iter procedurale. Tale iter richiede, alternativamente, la stipulazione di un accordo con le rappresentanze sindacali oppure, in mancanza, l’adozione di un provvedimento autorizzativo da parte dell’Ispettorato del lavoro competente. Il Garante ribadisce che questo passaggio procedurale non ha natura meramente formale, ma costituisce una vera e propria condizione di legittimità del trattamento, funzionale a garantire un bilanciamento preventivo tra le esigenze datoriali e la tutela della dignità e della riservatezza dei lavoratori. La sua omissione determina, quindi, un’illiceità originaria del trattamento, che non può essere superata facendo leva sulle finalità perseguite.

Un aspetto di particolare rilievo, esplicitamente valorizzato nella decisione, riguarda infatti l’irrilevanza della finalità di sicurezza, anche quando concretamente giustificata – come nel caso di specie, in cui l’impianto era stato installato a seguito di un furto. Il Garante esclude che tale circostanza possa operare come causa esimente o giustificare deroghe agli obblighi previsti dalla normativa, sottolineando come il rispetto delle garanzie informative e procedurali costituisca un presupposto indefettibile della liceità.

Sul piano conclusivo, il provvedimento afferma con chiarezza un principio di sistema: le violazioni relative alla mancata informativa e all’assenza della preventiva autorizzazione giuslavoristica hanno carattere autonomo e non sono suscettibili di regolarizzazione ex post. L’eventuale attivazione tardiva della procedura sindacale o amministrativa non è idonea a sanare l’illiceità del trattamento già posto in essere, che resta dunque definitivamente consumata.

Ne emerge un modello di compliance in cui la legittimità dei sistemi di controllo tecnologico nei contesti lavorativi è subordinata a un duplice livello di verifica, sostanziale e procedurale, e deve essere costruita integralmente in via preventiva. La decisione si inserisce coerentemente in un orientamento volto a rafforzare la funzione anticipatoria delle garanzie, imponendo al titolare del trattamento di integrare sin dall’origine le prescrizioni della disciplina privacy con quelle del diritto del lavoro, senza possibilità di adattamenti successivi fondati su esigenze contingenti o su valutazioni discrezionali.

Osservazioni

La decisione si colloca in linea con un orientamento ormai consolidato dell’Autorità, che tende a configurare la videosorveglianza nei luoghi di lavoro come un trattamento ad alta intensità regolatoria. In tal senso, l’affermazione secondo cui anche la mera visione in tempo reale costituisce trattamento appare coerente con una lettura ampia delle nozioni di raccolta e utilizzo del dato personale. Tuttavia, tale impostazione, pur tecnicamente fondata, comporta un’estensione significativa dell’ambito applicativo del GDPR, includendo situazioni che, nella percezione comune degli operatori, potrebbero apparire meno invasive rispetto ai sistemi di registrazione.

Un secondo profilo riguarda il rapporto tra principio di liceità e disciplina lavoristica: il provvedimento conferma una ricostruzione in cui la violazione dell’art. 4 dello Statuto dei lavoratori determina automaticamente l’illiceità del trattamento ai sensi del GDPR. Questa soluzione appare sistematicamente coerente con il rinvio operato dall’art. 114 del Codice Privacy e dall’art. 88 del Regolamento, ma solleva al contempo un tema di tecnica giuridica: la liceità del trattamento viene valutata non solo sulla base delle categorie proprie del diritto della protezione dei dati, ma anche sulla base di presupposti esterni, che operano come condizioni di validità. Ne deriva un modello di integrazione tra fonti particolarmente stretto, che riduce gli spazi di autonomia del giudizio privacy.

Sotto un ulteriore profilo, la decisione si caratterizza per una certa rigidità nell’escludere rilevanza a circostanze fattuali concrete, in particolare alla finalità di sicurezza. Il Garante afferma che l’installazione dell’impianto a seguito di un furto non è idonea a giustificare deroghe agli obblighi informativi e procedurali. Tale conclusione appare coerente con la struttura del GDPR, che non prevede esimenti generali basate sull’urgenza, ma può essere letta anche come espressione di un approccio che privilegia la certezza delle regole rispetto alla valutazione caso per caso delle situazioni. In questa prospettiva, il bilanciamento tra interessi contrapposti risulta di fatto anticipato e “cristallizzato” nelle condizioni formali previste dalla legge.

Un ulteriore elemento di interesse è rappresentato dal principio, ribadito nel provvedimento, della insanabilità delle violazioni ex post. L’Autorità esclude che l’attivazione tardiva della procedura autorizzativa o l’introduzione successiva dell’informativa possano incidere sulla qualificazione dell’illecito. Anche questo aspetto si inserisce nella logica della compliance preventiva, ma comporta che qualsiasi scostamento iniziale, anche se rapidamente corretto, produca effetti giuridici difficilmente rimediabili. Dal punto di vista pratico, ciò rafforza l’importanza della fase progettuale del trattamento, ma allo stesso tempo limita la possibilità di valorizzare condotte collaborative o correttive del titolare.

Dal punto di vista sistemico, il provvedimento conferma una tendenza dell’Autorità a privilegiare presidi procedurali e formali come strumenti di tutela sostanziale dei diritti dei lavoratori. Questa impostazione, se da un lato garantisce un elevato livello di protezione e rende più prevedibile l’esito delle valutazioni, dall’altro può risultare meno flessibile in contesti operativi caratterizzati da esigenze di rapidità decisionale o da situazioni non standardizzabili.

Infine, è opportuno osservare che il provvedimento non si discosta da un quadro interpretativo già ampiamente consolidato, ma contribuisce piuttosto a rafforzarlo. Non emergono, infatti, elementi innovativi sotto il profilo delle categorie giuridiche utilizzate, quanto piuttosto una conferma della linea di continuità dell’Autorità nel sanzionare le ipotesi di mancato rispetto delle condizioni di liceità. In questo senso, la decisione assume un valore più di consolidamento che di evoluzione, fornendo agli operatori un ulteriore indice della stabilità dell’orientamento applicativo.

In conclusione, le osservazioni tratte dall’analisi del presente provvedimento non conducono a una valutazione univoca, ma evidenziano un equilibrio tra esigenze di tutela e rigidità del sistema: il provvedimento si muove in un’ottica di rafforzamento della sicurezza giuridica e della prevenzione, pur lasciando aperti alcuni margini di riflessione sul grado di flessibilità riconosciuto alle specificità dei singoli casi concreti.