Videosorveglianza: le regole per le imprese
Un impianto di videosorveglianza raccoglie dati personali di clienti, dipendenti, fornitori e passanti. Le decisioni del Garante ripetono sempre gli stessi errori: telecamere che inquadrano più del necessario, cartelli generici, riprese in luoghi dove le persone si aspettano riservatezza, impianti diversi da quelli concordati con i sindacati.
Il riferimento pratico sono le FAQ del Garante sulla videosorveglianza e le Linee guida europee 3/2019.
// Le regole in breve
Il cartello prima della zona ripresa. Chi entra nell'area deve vedere un cartello prima di essere ripreso. Il Garante ha pubblicato un modello semplificato; il cartello rimanda all'informativa completa. Una scritta generica «area videosorvegliata per sicurezza» non basta.
Riprendere solo quello che serve. Niente strade, ingressi o finestre di altri, se non nella misura strettamente necessaria. Le zone da escludere si oscurano fin dalla prima installazione: il mascheramento aggiunto dopo un reclamo il Garante l'ha ritenuto insufficiente.
Mai negli spogliatoi e nei bagni. Le telecamere non sono ammesse dove possono essere lese dignità e intimità delle persone. Il Garante ha sanzionato riprese della zona armadietti di uno spogliatoio, anche se escludevano cabine e docce.
Se si vedono i dipendenti, prima l'accordo. Quando le telecamere possono riprendere i lavoratori serve l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro (articolo 4 dello Statuto). E l'impianto deve essere quello concordato: più telecamere o inquadrature diverse da quelle della planimetria condivisa rendono il trattamento illecito, anche durante le prove tecniche.
Quanto tenere le immagini, scritto e motivato. Il tempo di conservazione va deciso in base allo scopo e giustificato. Il Garante ha contestato una conservazione di 72 ore non supportata da una valutazione specifica.
Valutazione d'impatto per gli impianti estesi. Una sorveglianza sistematica su larga scala di una zona accessibile al pubblico richiede una valutazione d'impatto prima di partire (articolo 35 del GDPR).
Regole verificate il 11 novembre 2026 sulle fonti qui sotto.