A Reggio Emilia, dove il tessuto produttivo è dominato da PMI manifatturiere, cooperative e aziende del food & packaging, gli impianti di videosorveglianza sono ormai standard operativo. Eppure, nella pratica, una quota significativa delle installazioni nei contesti lavorativi presenta almeno una non conformità documentale o procedurale. Compliance Videosorveglianza non significa semplicemente installare telecamere: significa gestire un trattamento di dati personali con tutti gli obblighi che questo comporta.
Compliance Videosorveglianza: insieme degli adempimenti normativi — fondati sul GDPR (Reg. UE 2016/679), sullo Statuto dei Lavoratori (art. 4 L. 300/1970) e sui provvedimenti del Garante — che ogni organizzazione deve rispettare prima, durante e dopo l’installazione di un sistema di rilevazione video, per trattare legalmente le immagini registrate e tutelare i diritti degli interessati.
Quali norme si applicano a un impianto di videosorveglianza aziendale?
Un sistema di videosorveglianza attivo in un’azienda di Reggio Emilia è soggetto contemporaneamente a tre livelli normativi distinti, che devono essere rispettati in modo coordinato.
Il GDPR impone che ogni trattamento di immagini — in quanto dati personali — abbia una base giuridica, una finalità determinata, un periodo di conservazione proporzionato (tipicamente 24-72 ore per i contesti lavorativi ordinari, fino a 7 giorni con esigenze particolari documentate) e una corretta informativa agli interessati.
Lo Statuto dei Lavoratori, all’art. 4 come modificato dal D.lgs. 151/2015, vieta il controllo a distanza dei lavoratori salvo accordo sindacale o, in sua assenza, autorizzazione dell’Ispettorato Nazionale del Lavoro (INL). Questa regola si applica anche alle telecamere puntate su aree esterne dove si svolta attività lavorativa anche solo occasionale: zone di carico/scarico merci, piazzali, accessi secondari. Non è sufficiente che le telecamere non inquadrino direttamente le postazioni di lavoro per escluderne l’applicazione.
Il Provvedimento Garante 8 aprile 2010 sulla videosorveglianza, ancora vigente e integrato dalle Linee Guida EDPB 3/2019, definisce criteri di installazione, segnaletica obbligatoria, modalità di accesso alle registrazioni e misure di sicurezza tecniche da adottare.
Autorizzazione sindacale o INL: quando è obbligatoria?
L’autorizzazione preventiva è obbligatoria ogni volta che le telecamere possono captare, anche indirettamente, l’attività dei lavoratori. Il perimetro è più ampio di quanto spesso si creda.
| Scenario | Autorizzazione richiesta | Iter preferenziale |
|---|---|---|
| Telecamere interne su aree di lavoro (reparti, magazzini) | Sì | Accordo sindacale o INL |
| Telecamere esterne su zone di carico/scarico merci | Sì | Accordo sindacale o INL |
| Telecamere su ingressi/uscite con passaggio di dipendenti | Sì | Accordo sindacale o INL |
| Geolocalizzazione GPS su mezzi aziendali con dipendenti alla guida | Sì | Accordo sindacale o INL |
| Telecamere su aree esterne senza presenza di dipendenti (es. perimetro notturno) | No (ma GDPR si applica) | Solo adempimenti privacy |
L’iter con accordo sindacale è generalmente più rapido nelle realtà di Reggio Emilia con RSU costituite: il verbale di intesa, sottoscritto dalle rappresentanze, sostituisce a tutti gli effetti l’autorizzazione INL. Nelle aziende prive di rappresentanze sindacali, l’istanza va presentata alla sede INL territorialmente competente, con tempi di risposta variabili da 30 a 90 giorni.
Il registro del trattamento e le misure tecniche obbligatorie
Ogni impianto di videosorveglianza deve essere censito nel Registro delle Attività di Trattamento (art. 30 GDPR), con indicazione della finalità, della base giuridica, dei tempi di conservazione, dei destinatari delle immagini e delle misure di sicurezza adottate. Per le organizzazioni con più di 250 dipendenti è obbligo assoluto; per le PMI sotto quella soglia è comunque fortemente raccomandato come prova di accountability in caso di ispezione.
Sul piano tecnico, le misure minime includono: crittografia delle registrazioni, controllo degli accessi alla console di gestione, log delle visualizzazioni, procedure di cancellazione automatica allo scadere del periodo di retention. Un sistema installato da un fornitore terzo che abbia accesso remoto alle immagini configura un rapporto di responsabile del trattamento, che deve essere formalizzato con un contratto o atto giuridico ai sensi dell’art. 28 GDPR.
Informativa e segnaletica: gli errori più frequenti a Reggio Emilia
L’informativa agli interessati è il punto dove si concentra la quota maggiore di non conformità riscontrate nelle verifiche ispettive. La segnaletica — il classico cartello con l’occhio stilizzato — deve rispettare il modello semplificato previsto dal Garante: indicare il titolare del trattamento, la finalità, il tempo di conservazione e il rimando all’informativa estesa (disponibile fisicamente in azienda o tramite QR code).
Tre errori pratici che ricorrono con frequenza:
- Cartelli posizionati dopo l’area videoripresa anziché all’ingresso dell’area stessa, rendendo inefficace il preavviso all’interessato.
- Informativa incompleta che non indica il periodo di conservazione delle immagini né i diritti dell’interessato (accesso, cancellazione, opposizione).
- Assenza di distinzione tra finalità di sicurezza del patrimonio e finalità di prevenzione di illeciti, che richiedono basi giuridiche differenti.
Cosa rischia un’azienda non conforme?
Le sanzioni del GDPR per trattamenti illeciti di immagini arrivano fino a 10 milioni di euro o al 2% del fatturato annuo globale, la soglia più elevata. Il Garante Privacy ha già applicato sanzioni significative a organizzazioni italiane per impianti di videosorveglianza non conformi: importi tra 5.000 e 150.000 euro sono stati irrogati a realtà di medie dimensioni per mancanza di informativa, conservazione eccessiva o assenza di accordo sindacale.
Sul fronte lavoristico, l’installazione di telecamere senza il previo accordo sindacale o autorizzazione INL configura una condotta antisindacale ai sensi dell’art. 28 L. 300/1970, con conseguente obbligo di rimozione immediata dell’impianto e possibile risarcimento del danno ai lavoratori. Le immagini raccolte in assenza di autorizzazione sono inutilizzabili come prova in sede disciplinare o giudiziaria.
Come strutturare un percorso di compliance videosorveglianza efficace
Un percorso di messa in conformità richiede in genere 4-8 settimane, a seconda della complessità dell’impianto e della struttura organizzativa. Le fasi operative sono sequenziali e non comprimibili.
- Analisi dell’impianto esistente: mappatura di tutte le telecamere, delle aree riprese, dei soggetti potenzialmente coinvolti, del sistema di registrazione e dei soggetti con accesso alle immagini.
- Valutazione della necessità di autorizzazione INL/sindacale: verifica della presenza di dipendenti nelle aree riprese, anche in modo occasionale.
- Negoziazione dell’accordo sindacale o presentazione istanza INL: redazione del verbale di intesa o del dossier da presentare alla sede INL competente.
- Aggiornamento del Registro dei Trattamenti: inserimento della videosorveglianza con tutti i campi richiesti dall’art. 30 GDPR.
- Redazione e installazione dell’informativa semplificata: cartelli conformi al modello Garante posizionati correttamente.
- Verifica delle misure tecniche: controllo della retention automatica, degli accessi al sistema, degli eventuali contratti con responsabili esterni.
- Formazione del personale autorizzato: chi gestisce il sistema deve essere designato per iscritto e ricevere istruzioni operative.
B&P Solutions affianca le aziende di Reggio Emilia e del territorio emiliano in ogni fase di questo percorso, con un team di avvocati specializzati in privacy e compliance operativi dal 2018. Per un’analisi iniziale del tuo impianto di videosorveglianza e una valutazione delle azioni necessarie, contatta i nostri professionisti: un intervento tempestivo costa incomparabilmente meno di una sanzione o di una controversia lavorativa.
