Videosorveglianza sul lavoro: quando è legittima, procedura e sanzioni

«Ho installato le telecamere per sicurezza, mica per controllare i dipendenti» — è la frase che molti titolari pronunciano convinti di essere in regola. Purtroppo non funziona così: in Italia la videosorveglianza nei luoghi di lavoro è tra le materie più regolamentate in assoluto, all’incrocio tra Statuto dei Lavoratori (art. 4 L. 300/1970), GDPR e provvedimenti del Garante Privacy. Installare telecamere senza accordo sindacale o autorizzazione dell’Ispettorato è un reato penale, anche se le immagini non vengono mai guardate — e le sanzioni privacy possono arrivare a cifre importanti.

In questa guida vediamo quando è possibile installare telecamere in azienda, la procedura corretta (accordo sindacale o autorizzazione ITL), gli adempimenti privacy, i divieti assoluti e le sanzioni per chi sbaglia.

Indice dei contenuti

• La regola: l’art. 4 dello Statuto dei Lavoratori
• La procedura: accordo sindacale o autorizzazione ITL
• Gli adempimenti privacy (GDPR)
• I divieti assoluti
• Conservazione delle immagini e accessi
• Casi particolari: negozi, telecamere finte, smart working
• Le sanzioni
• Conclusioni

La regola: l’art. 4 dello Statuto dei Lavoratori

L’art. 4 della L. 300/1970 (come riformato dal Jobs Act nel 2015) stabilisce il principio: gli impianti audiovisivi e gli altri strumenti dai quali derivi anche solo la possibilità di controllo a distanza dell’attività dei lavoratori possono essere installati esclusivamente per:

• Esigenze organizzative e produttive
• Sicurezza del lavoro
• Tutela del patrimonio aziendale (furti, danneggiamenti, rapine)

E soltanto previo accordo con le rappresentanze sindacali oppure, in mancanza, previa autorizzazione dell’Ispettorato del Lavoro. Il punto essenziale: non conta l’intenzione del datore (“non le guardo mai”), conta la possibilità tecnica che le telecamere inquadrino, anche incidentalmente, i lavoratori. Se una telecamera puntata sulla cassa per prevenire le rapine riprende anche la cassiera, l’art. 4 si applica in pieno.

⚠️ La violazione dell’art. 4 è un reato penale (art. 38 Statuto Lavoratori: ammenda da €154 a €1.549 o arresto da 15 giorni a 1 anno; nei casi più gravi le pene si applicano congiuntamente). E le immagini raccolte illegittimamente sono inutilizzabili — anche per licenziare un dipendente colto a rubare.

La procedura: accordo sindacale o autorizzazione ITL

Opzione 1 — Accordo sindacale

Se in azienda esistono RSA o RSU, l’installazione va concordata con loro tramite accordo scritto che specifichi: finalità dell’impianto, numero e posizionamento delle telecamere, modalità e tempi di conservazione delle immagini, soggetti autorizzati all’accesso. Per le imprese con unità produttive in più province si può stipulare l’accordo con le associazioni sindacali comparativamente più rappresentative a livello nazionale.

Opzione 2 — Autorizzazione dell’Ispettorato

In assenza di rappresentanze sindacali (caso tipico delle microimprese), si presenta istanza di autorizzazione all’Ispettorato Territoriale del Lavoro competente, tramite il portale online dedicato. L’istanza deve contenere:

• Descrizione delle ragioni che giustificano l’impianto (es. episodi di furto documentati, esigenze di sicurezza, zone a rischio rapina)
• Planimetria con posizionamento e angolo di ripresa di ciascuna telecamera
• Caratteristiche tecniche dell’impianto (registrazione, tempi di conservazione, accessi)
• Dichiarazione sull’assenza di rappresentanze sindacali

L’ITL rilascia il provvedimento — spesso con prescrizioni (es. oscuramento di alcune aree, angoli di ripresa limitati) che vanno rispettate alla lettera. Tempi medi: da poche settimane a 2-3 mesi in base alla sede. L’impianto non può essere attivato prima del rilascio dell’autorizzazione: l’installazione “in attesa” con telecamere spente è tollerata, l’attivazione no.

Gli adempimenti privacy (GDPR)

Ottenuto il “via libera” giuslavoristico, restano gli adempimenti privacy, perché le immagini sono dati personali a tutti gli effetti:

1. Cartelli informativi (“area videosorvegliata”) prima del raggio di azione delle telecamere, conformi al modello del Garante/EDPB, con indicazione del titolare e delle finalità
2. Informativa estesa disponibile per lavoratori e visitatori (art. 13 GDPR), che dettagli finalità, base giuridica, tempi di conservazione, diritti degli interessati
3. Registro dei trattamenti aggiornato con il trattamento “videosorveglianza”
4. Nomina degli autorizzati all’accesso alle immagini (per iscritto, con istruzioni)
5. Eventuale nomina a responsabile del trattamento (art. 28 GDPR) della società esterna di vigilanza o manutenzione dell’impianto
6. Valutazione d’impatto (DPIA) nei casi di sorveglianza sistematica su larga scala o tecnologie particolari (riconoscimento facciale: di fatto vietato in ambito lavorativo)
7. Misure di sicurezza: accesso con credenziali, registrazione degli accessi, crittografia dove appropriata

I divieti assoluti

Alcune installazioni restano vietate anche con accordo o autorizzazione:

• Telecamere in bagni, spogliatoi, docce, armadietti e aree ricreative
• Telecamere puntate direttamente e stabilmente sulla postazione di un singolo lavoratore per monitorarne la prestazione
• Controllo intenzionale della prestazione lavorativa come finalità dell’impianto
• Audio: la registrazione sonora è ammessa solo in casi eccezionali e specificamente giustificati (di norma va disattivata)
• Riconoscimento facciale e dati biometrici per il controllo dei lavoratori: il Garante li ha ritenuti illegittimi salvo casi eccezionalissimi previsti dalla legge

Conservazione delle immagini e accessi

Il principio GDPR di limitazione della conservazione si traduce in tempi brevi:

Situazione	Conservazione
Regola generale	24-48 ore (max 72 per weekend/festivi)
Attività a rischio specifico (es. banche)	Fino a 7 giorni, se giustificato
Tempi superiori	Solo con motivazione documentata (e in passato soggetti a verifica preliminare del Garante)
Immagini rilevanti per indagini o contenziosi	Conservazione per il tempo necessario, su richiesta dell’autorità

Gli accessi alle registrazioni devono essere limitati agli autorizzati, tracciati e giustificati. Il “titolare che si guarda le telecamere dal telefono per vedere cosa fanno i dipendenti” è esattamente il comportamento che trasforma un impianto autorizzato in un illecito.

Casi particolari: negozi, telecamere finte, smart working

• Negozio senza dipendenti (solo titolare): l’art. 4 non si applica — restano gli adempimenti privacy verso i clienti (cartelli, informativa, conservazione limitata)
• Telecamere finte (dummy): non trattano dati, quindi il GDPR non si applica; ma la giurisprudenza tende a ritenere applicabile l’art. 4 perché generano nei lavoratori la percezione del controllo — la prudenza suggerisce di trattarle come vere
• Telecamere private del titolare puntate sull’ingresso dell’azienda da proprietà adiacente: si applica comunque la disciplina se riprendono i lavoratori
• Controllo da remoto in smart working (screenshot, webcam sempre attiva, keylogger): vietato — il Garante lo ha sanzionato ripetutamente; gli strumenti di lavoro (pc, email) hanno una disciplina propria che merita un approfondimento dedicato
• Impianti in esercizi con obbligo antirapina (farmacie, tabaccherie, gioiellerie): la finalità di sicurezza è pacifica, ma la procedura art. 4 resta necessaria se ci sono dipendenti

Le sanzioni

Violazione	Sanzione
Installazione senza accordo/autorizzazione (art. 4 + art. 38 Statuto)	Ammenda €154-1.549 o arresto 15 gg-1 anno (reato penale)
Violazioni GDPR (informativa, conservazione, sicurezza)	Sanzioni amministrative fino a €20 milioni o 4% del fatturato mondiale (in concreto: dalle migliaia alle decine di migliaia di euro per le PMI)
Immagini usate per contestazioni disciplinari illegittime	Inutilizzabilità delle prove + possibile condanna nel contenzioso

Il Garante Privacy sanziona regolarmente PMI e microimprese per impianti non conformi: le sanzioni tipiche per un negozio o un bar con telecamere irregolari si collocano tra i 2.000 e i 20.000 euro, cui si aggiunge l’eventuale procedimento penale ex art. 38. E il costo reputazionale di un provvedimento pubblicato sul sito del Garante non è da sottovalutare.

Conclusioni

La videosorveglianza in azienda è legittima e spesso opportuna — ma solo se costruita nella sequenza corretta: prima la procedura art. 4 (accordo o ITL), poi gli adempimenti privacy, infine l’attivazione. Tre elementi da verificare subito:

1. Le tue telecamere sono coperte da accordo sindacale o autorizzazione ITL? (Se l’impianto è “storico”, esiste il documento in archivio?)
2. Cartelli, informativa estesa e registro dei trattamenti sono aggiornati e conformi?
3. I tempi di conservazione e gli accessi alle immagini rispettano quanto dichiarato?