Lead: l’impatto della videosorveglianza sui luoghi di lavoro
La presenza di dispositivi di ripresa audiovisiva nei luoghi di lavoro privati continua a delineare una frontiera critica nell’applicazione delle tutele giuslavoristiche e della protezione dei dati. L’installazione di ottiche di controllo in assenza del prescritto titolo autorizzativo preventivo costituisce una lesione diretta delle garanzie poste a presidio della dignità del lavoratore subordinato.
Il monitoraggio visivo, anche quando limitato alla sola visione in tempo reale tramite smartphone e privo di sistemi di registrazione fisica delle immagini, integra a tutti gli effetti un trattamento di dati personali. La constatazione di tali condotte in attività commerciali evidenzia il costante divario tra l’adozione tecnica degli impianti e il rispetto della procedura legale.
L’intervento congiunto degli organi ispettivi e dell’autorità di vigilanza ribadisce che la conformità formale non può intervenire a posteriori. La tutela dei lavoratori contro il controllo a distanza richiede una verifica preventiva inderogabile, la cui violazione attiva specifiche responsabilità amministrative e sanzioni pecuniarie.
Contesto normativo e dinamica dei controlli
L’evoluzione della disciplina sul controllo a distanza affonda le proprie radici nell’impianto dell’articolo 4 della legge 20 maggio 1970, n. 300, noto come Statuto dei Lavoratori. Tale disposizione è stata integrata nell’ordinamento europeo mediante l’articolo 88 del Regolamento (UE) 2016/679, che ha espressamente salvaguardato le normative nazionali volte ad assicurare una maggiore protezione dei diritti e delle libertà nell’ambito del rapporto d’impiego.
Sul piano interno, l’articolo 114 del Codice in materia di protezione dei dati personali ha recepito il rinvio allo Statuto dei Lavoratori quale condizione necessaria di liceità del trattamento, sancendo la rilevanza penale delle violazioni attraverso il richiamo operato dall’articolo 171 del medesimo Codice. Questa complessa impalcatura mira a scongiurare forme invasive di vigilanza occulta o non concertata.
La cronologia degli eventi documentati trae origine da un’ispezione eseguita il 15 agosto 2024 dalla Guardia di Finanza di Padova presso l’attività di ristorazione gestita da Hanako s.r.l. Nel corso delle verifiche è emersa l’operatività di un impianto composto da quattro telecamere esterne e una interna, con lavoratori intenti a svolgere le proprie mansioni all’interno del raggio di ripresa.
Gli esiti dei riscontri sono stati compendiati nel verbale redatto dal Nucleo privacy e frodi tecnologiche della Guardia di Finanza di Roma, trasmesso formalmente all’autorità di controllo il 25 febbraio 2025. Dalla documentazione acquisita è risultato che l’Ispettorato del lavoro di Padova-Rovigo aveva rilasciato l’autorizzazione n. 40218 soltanto in data 31 ottobre 2024, collocandosi cronologicamente dopo l’accertamento dell’avvenuta attivazione.
Attori coinvolti
Il procedimento ha visto l’interazione di diversi soggetti istituzionali e operatori economici, ciascuno titolare di specifiche prerogative previste dall’ordinamento giuridico:
- Hanako s.r.l.: società operante nel settore della ristorazione a Padova, titolare del trattamento dei dati personali dei dipendenti e responsabile dell’installazione dell’impianto di videosorveglianza contestato.
- Guardia di Finanza (Comando di Padova e Nucleo privacy e frodi tecnologiche di Roma): forza di polizia economica e finanziaria incaricata dell’ispezione sul campo e della successiva trasmissione degli atti all’autorità amministrativa indipendente.
- Ispettorato del lavoro di Padova-Rovigo: articolazione territoriale dell’Ispettorato Nazionale del Lavoro, competente al rilascio dell’autorizzazione amministrativa per l’installazione di impianti audiovisivi in assenza di accordo sindacale.
- Garante per la protezione dei dati personali: collegio composto dal Presidente Pasquale Stanzione, dalla relatrice Ginevra Cerrina Feroni e dal Vice Segretario Generale Claudio Filippi, organo deliberante che ha emesso l’ordinanza ingiunzione.
- Lavoratori dipendenti: interessati dal trattamento non autorizzato delle immagini durante lo svolgimento dell’attività lavorativa all’interno del locale.
Analisi critica delle evidenze e nodi procedurali
L’esame della fattispecie mette in luce aspetti centrali circa la nozione stessa di trattamento di dati personali. Come già chiarito dalla giurisprudenza di legittimità (Cass. 2 settembre 2015, n. 17740), la mera visualizzazione delle riprese da remoto su dispositivo mobile, anche in assenza di memorizzazione su supporti digitali, integra a pieno titolo un trattamento ai sensi dell’articolo 4, paragrafo 1, n. 2, del RGPD.
«Tale trattamento deve pertanto essere effettuato nel rispetto della disciplina di protezione dei dati personali e, per quanto qui di diretto rilievo, dei principi contenuti nell’art. 5, par. 1, lett. a) del Regolamento, in particolare del principio di liceità, il quale si declina nel dovere di osservare quanto prescritto dall’art. 4, legge 20 maggio 1970, n. 300 in base all’art. 114 del Codice.»
La difesa incentrata sulla mancata registrazione dei flussi video non elide l’obbligo di conformità. La trasmissione in tempo reale consente comunque l’identificazione e il controllo continuo dei lavoratori, determinando un’intrusione nella sfera personale non mitigata dalla volatilità del dato non salvato.
Un ulteriore profilo critico concerne la trasparenza informativa di cui all’articolo 13 del Regolamento. L’assenza di cartelli e informative conformi alle linee guida europee impedisce al personale e ai terzi di conoscere le finalità e le modalità del trattamento:
«Nelle stesse linee guida si prevede inoltre che tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto.»
L’acquisizione dell’autorizzazione dell’Ispettorato del lavoro con decorrenza 31 ottobre 2024 non ha potuto sanare retroattivamente l’esercizio dell’impianto riscontrato il 15 agosto 2024. Il principio di legalità esige che la valutazione dei requisiti di sicurezza, tutela del patrimonio e organizzazione preceda la messa in funzione dei dispositivi, senza deroghe temporali ammissibili.
Sotto il profilo della sicurezza del dato, il Garante ha ravvisato la violazione dell’articolo 32 del RGPD, poiché l’accesso da remoto tramite smartphone richiede l’implementazione di adeguate misure tecniche e organizzative che garantiscano la tracciabilità e limitino la visione ai soli soggetti formalmente autorizzati, scongiurando dispersioni o accessi indebiti.
In applicazione dei criteri di effettività, proporzionalità e dissuasività fissati dall’articolo 83 del Regolamento, l’Autorità ha determinato una sanzione amministrativa pecuniaria di 2.000,00 euro. Tale quantificazione riflette il bilanciamento tra la gravità delle violazioni accertate e le dimensioni dell’attività economica sanzionata.
Trasparenza e base giuridica dell’atto
Il provvedimento sanzionatorio è stato deliberato a Roma in data 12 marzo 2026 e registrato nell’archivio documentale ufficiale con scheda Doc-Web 10240451. L’atto reca le sottoscrizioni del Presidente Pasquale Stanzione, della relatrice Ginevra Cerrina Feroni e del Vice Segretario Generale Claudio Filippi.
La pubblicazione dei provvedimenti del Garante per la protezione dei dati personali risponde a precisi obblighi di trasparenza previsti dall’ordinamento. In conformità all’articolo 5 della legge 22 aprile 1941, n. 633, i testi degli atti ufficiali dello Stato e delle amministrazioni pubbliche sono privi di diritto d’autore e appartengono al pubblico dominio.
Contro il provvedimento, la società sanzionata mantiene la facoltà di adire l’autorità giudiziaria ordinaria entro trenta giorni dalla notifica (ovvero sessanta giorni per i residenti all’estero), secondo quanto disposto dall’articolo 78 del Regolamento europeo, dall’articolo 152 del Codice privacy e dall’articolo 10 del decreto legislativo 1° settembre 2011, n. 150.