Videosorveglianza sul lavoro: GDPR, Statuto dei lavoratori e D.Lgs. 81/08

Il quadro normativo: tre fonti da coordinare

La videosorveglianza nei luoghi di lavoro si colloca all’incrocio di tre corpi normativi che il datore di lavoro deve applicare congiuntamente. Il primo è l’art. 4 della L. 300/1970 (Statuto dei lavoratori), modificato dall’art. 23 del D.Lgs. 151/2015, che fissa le condizioni alle quali è possibile installare impianti audiovisivi e altri strumenti di controllo dai quali possa derivare un controllo a distanza dei lavoratori. Il secondo è il Reg. UE 2016/679 (GDPR), che qualifica le immagini dei lavoratori come dati personali e ne governa la liceità del trattamento. Il terzo è il D.Lgs. 81/08, che giustifica l’uso della videosorveglianza quando essa è necessaria per esigenze di sicurezza del lavoro.

Il Provvedimento del Garante per la protezione dei dati personali dell’8 aprile 2010 in materia di videosorveglianza rimane un riferimento pratico di primaria importanza, pur essendo antecedente al GDPR: fornisce indicazioni sulle modalità di installazione degli impianti, sui cartelli informativi, sui tempi di conservazione e sulle misure di sicurezza, in larga parte ancora attuali e applicabili alla luce del principio di accountability introdotto dal Regolamento.

Coordinare queste fonti non è un esercizio teorico: il mancato rispetto anche di una sola di esse espone il datore di lavoro a sanzioni amministrative del GDPR (fino a 10 milioni di euro o al 2 % del fatturato globale per alcune violazioni), a sanzioni penali previste dall’art. 4, comma 3, della L. 300/1970 e a contestazioni giuslavoristiche sull’utilizzabilità delle prove eventualmente raccolte.

Quando la videosorveglianza è lecita: accordo sindacale o istanza all’Ispettorato

L’art. 4, comma 1, della L. 300/1970 stabilisce che gli impianti audiovisivi e gli altri strumenti dai quali possa derivare anche la possibilità di controllo a distanza dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. Il datore di lavoro non può quindi procedere unilateralmente: è necessario un accordo con le rappresentanze sindacali aziendali (RSA o RSU) o, in mancanza di queste, un accordo con le organizzazioni sindacali comparativamente più rappresentative a livello nazionale.

Quando non è possibile raggiungere un accordo sindacale, il datore di lavoro può presentare istanza all’Ispettorato Territoriale del Lavoro (ITL), che può autorizzare l’installazione con o senza prescrizioni. La procedura autorizzativa si applica anche alle aziende con unità produttive dislocate in più province: in tal caso l’istanza è indirizzata all’Ispettorato Nazionale del Lavoro (INL). L’accordo o il provvedimento autorizzativo è un presupposto necessario e inderogabile, la cui assenza rende illecita l’installazione e inutilizzabili le immagini a fini disciplinari.

Il comma 2 dell’art. 4 prevede una deroga rilevante: gli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e quelli di registrazione degli accessi e delle presenze non sono soggetti alle disposizioni del comma 1. Ne consegue che alcune tipologie di dispositivi — come i badge di accesso o i terminali di cassa — non richiedono accordo sindacale né autorizzazione ITL, anche se il datore rimane comunque tenuto al rispetto del GDPR e degli obblighi informativi verso i lavoratori.

L’informativa ai lavoratori: obbligo GDPR e contenuti minimi

Il GDPR, agli articoli 13 e 14, impone al Titolare del trattamento di fornire agli interessati un’informativa chiara, trasparente e facilmente accessibile prima che il trattamento abbia inizio. Nel contesto della videosorveglianza sul lavoro, gli interessati sono i lavoratori — e, in alcuni contesti, anche i clienti, i fornitori e i visitatori dei locali sorvegliati — che devono essere informati dell’esistenza del sistema, della sua finalità, del titolare del trattamento, dei tempi di conservazione delle immagini e dei loro diritti.

Il Provvedimento del Garante dell’8 aprile 2010 aveva già introdotto l’obbligo di esporre un cartello informativo ben visibile, segnalando la presenza di telecamere operative. Con il GDPR tale cartello deve soddisfare i requisiti dell’informativa sintetica di cui all’art. 13 e può rimandare a un’informativa estesa disponibile in azienda o sul sito web del datore. Il cartello, da solo, non esaurisce l’obbligo informativo: i lavoratori devono ricevere un’informativa completa per iscritto al momento dell’instaurazione del rapporto di lavoro o, per i lavoratori già in forza, prima dell’attivazione del sistema.

Tra i contenuti dell’informativa rientrano necessariamente: la base giuridica del trattamento (che nel contesto lavorativo è generalmente il legittimo interesse del datore o l’adempimento di obblighi legali, non il consenso), i tempi di conservazione delle immagini, i soggetti che possono accedere alle registrazioni e le modalità di esercizio dei diritti degli interessati (accesso, cancellazione, opposizione). Un’informativa carente o assente è di per sé una violazione del GDPR, indipendentemente da come vengono utilizzate le immagini.

Conservazione delle immagini: regola delle 24/72 ore e deroghe

Il principio di limitazione della conservazione, sancito dall’art. 5, par. 1, lett. e), del GDPR, impone che i dati personali siano conservati per un periodo non superiore a quello necessario al conseguimento delle finalità per le quali sono trattati. Per la videosorveglianza nei luoghi di lavoro il Garante ha indicato nel Provvedimento del 2010, e confermato nelle linee di indirizzo successive, che le immagini devono essere cancellate entro 24 ore per la generalità dei contesti, ovvero entro 72 ore quando le esigenze di sicurezza lo richiedano.

È tuttavia possibile conservare le immagini per un periodo più lungo — fino a un massimo di 7 giorni — in presenza di specifici accordi sindacali che lo prevedano espressamente o in casi documentati di particolari esigenze di sicurezza, proporzionate e descritte nel registro dei trattamenti. Periodi di conservazione superiori ai 7 giorni richiedono una valutazione d’impatto sulla protezione dei dati (DPIA), ai sensi dell’art. 35 del GDPR, e devono essere giustificati da esigenze concrete e documentate.

Il datore di lavoro deve definire chiaramente nel registro delle attività di trattamento, previsto dall’art. 30 del GDPR, i tempi di conservazione applicati al proprio sistema, le modalità di cancellazione automatica o manuale e i soggetti autorizzati all’accesso. Tali misure non sono meramente formali: in caso di accertamento da parte del Garante o di contenzioso giuslavoristico, la documentazione del sistema è l’elemento che dimostra la diligenza del Titolare.

Sicurezza del trattamento e misure tecniche e organizzative

L’art. 32 del GDPR obbliga il Titolare ad adottare misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio del trattamento. Per la videosorveglianza aziendale questo significa, tra l’altro, proteggere l’accesso ai sistemi di registrazione con credenziali robuste e diversificate per ruolo, cifrare i flussi video ove tecnicamente possibile, gestire gli accessi con una profilazione precisa (solo le persone autorizzate possono visualizzare e scaricare le immagini) e tenere un log degli accessi effettuati.

Dal punto di vista organizzativo, il datore di lavoro deve designare formalmente le persone autorizzate al trattamento dei dati video, fornire loro istruzioni scritte e garantire che non utilizzino le immagini per finalità diverse da quelle dichiarate nell’informativa. I fornitori esterni del sistema di videosorveglianza (installatori, gestori del cloud, manutentori) devono essere nominati Responsabili del trattamento ai sensi dell’art. 28 del GDPR, con un contratto scritto che disciplini i rispettivi obblighi.

La Valutazione d’Impatto sulla Protezione dei Dati (DPIA) è obbligatoria quando il trattamento riguarda aree accessibili al pubblico su larga scala, come previsto dall’art. 35, par. 3, lett. c), del GDPR, e comunque quando i tempi di conservazione superano i 7 giorni o quando il sistema integra tecnologie di riconoscimento facciale o analisi comportamentale. In tali casi la DPIA deve precedere l’avvio del trattamento e deve essere documentata.

Utilizzo delle immagini a fini disciplinari e rapporto con il DVR

L’art. 4, comma 3, della L. 300/1970 prevede che le informazioni raccolte tramite i sistemi di videosorveglianza installati nel rispetto dei commi 1 e 2 possano essere utilizzate a tutti i fini connessi al rapporto di lavoro, compreso quello disciplinare, a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli. Il rispetto integrale della procedura — accordo sindacale o autorizzazione ITL, informativa corretta, conservazione nei tempi previsti — è dunque il presupposto dell’utilizzabilità delle immagini in sede disciplinare.

Nel sistema di gestione della sicurezza aziendale, la presenza di un impianto di videosorveglianza deve essere riportata nel Documento di Valutazione dei Rischi (DVR) ai sensi del D.Lgs. 81/08, sia come misura di prevenzione e protezione sia come elemento organizzativo che influisce sulla valutazione di taluni rischi. In particolare, il DVR deve descrivere le aree sorvegliate, le finalità di sicurezza perseguite e il raccordo con le procedure di emergenza.

La formazione dei lavoratori è il collegamento tra questi adempimenti e la pratica quotidiana: i lavoratori devono essere messi in condizione di conoscere l’esistenza del sistema, le sue finalità, i propri diritti e le regole di comportamento. Con 123Formazione è possibile integrare questi contenuti nei percorsi di formazione obbligatoria sulla sicurezza, adattando i moduli alle specificità dell’azienda e al settore produttivo.

Domande frequenti

Vedi tutte le FAQ: FAQ Sicurezza sul Lavoro — Domande Frequenti