Videosorveglianza: il Garante ricorda che anche il collaudo deve rispettare GDPR e Statuto dei Lavoratori

5 ottobre 2026 · Avv. Francesca Retus, Foro di Milano

Con il provvedimento n. 620 del 3 settembre 2026 (doc. web n. 10297167), il Garante per la protezione dei dati personali ha sanzionato l’Istituto Nazionale di Ricerca Metrologica (INRIM) per 10.000 euro, ribadendo un principio particolarmente rilevante per tutti i titolari del trattamento: anche l’attivazione di un impianto di videosorveglianza in fase di test costituisce trattamento di dati personali e deve rispettare integralmente le garanzie previste dal GDPR e dalla normativa lavoristica.

I fatti

L’INRIM aveva installato presso la sede di Torino un sistema di videosorveglianza perimetrale destinato alla tutela del patrimonio aziendale, previo accordo sindacale ai sensi dell’art. 4 dello Statuto dei Lavoratori.

Durante la fase di installazione e collaudo, tuttavia, l’impianto è stato attivato in modalità test, consentendo la visualizzazione in tempo reale delle immagini. Sebbene non fosse prevista la registrazione dei filmati e l’attivazione fosse limitata nel tempo, il sistema risultava diverso rispetto a quanto concordato con le rappresentanze sindacali:

• le telecamere installate erano 18 invece delle 10 previste;
• le aree di ripresa risultavano modificate rispetto alla planimetria condivisa;
• l’attivazione è avvenuta anche durante alcune giornate lavorative;
• i lavoratori non avevano ricevuto una specifica informativa sul trattamento.

A seguito dei reclami di due dipendenti, il Garante ha avviato un’istruttoria che ha portato all’accertamento di diverse violazioni.

Il principio più importante: il test non è una zona franca

Uno degli aspetti più interessanti del provvedimento riguarda l’affermazione secondo cui la semplice visualizzazione delle immagini in tempo reale, anche senza registrazione, integra comunque un trattamento di dati personali.

Secondo il Garante, non assume rilievo il fatto che il sistema fosse ancora in collaudo o che le immagini non venissero conservate. Nel momento in cui persone identificabili vengono riprese e le immagini sono accessibili agli operatori, il trattamento è già in essere e deve essere sorretto da una valida base giuridica e dal rispetto di tutti gli adempimenti previsti dalla normativa.

In altre parole, la fase di test non sospende l’applicazione del GDPR.

Le violazioni contestate

L’Autorità ha individuato tre profili principali di illegittimità.

1. Assenza di una valida base giuridica

L’impianto è stato utilizzato con caratteristiche e aree di ripresa differenti rispetto a quelle autorizzate mediante accordo sindacale.

Nel contesto lavorativo, il rispetto dell’art. 4 dello Statuto dei Lavoratori costituisce un presupposto essenziale di liceità del trattamento. Se l’impianto viene realizzato o utilizzato in modo difforme dall’accordo, viene meno la base giuridica che legittima il trattamento stesso.

2. Carenza di trasparenza e informative

L’INRIM ha dichiarato di non aver ancora fornito l’informativa ai lavoratori perché il progetto era considerato non definitivo.

Il Garante ha respinto tale argomentazione, precisando che l’informativa deve essere resa prima dell’avvio di qualsiasi trattamento, anche se effettuato a fini sperimentali o di collaudo.

L’Autorità ha inoltre rilevato criticità nella cartellonistica predisposta successivamente, giudicata incompleta sotto diversi profili, tra cui:

• identificazione del titolare;
• indicazione delle finalità effettive;
• riferimento ai diritti degli interessati;
• tempi di conservazione;
• accesso all’informativa completa di secondo livello.

3. Mancata DPIA

Un ulteriore rilievo ha riguardato l’assenza della Valutazione d’Impatto sulla Protezione dei Dati (DPIA).

Secondo il Garante, il monitoraggio tramite sistemi di videosorveglianza nei luoghi di lavoro comporta rischi specifici per i diritti e le libertà dei lavoratori, considerati soggetti “vulnerabili” nel contesto del rapporto di lavoro.

Per tale ragione la DPIA avrebbe dovuto essere effettuata prima dell’attivazione del sistema.

La sanzione

Pur riconoscendo che:

• il trattamento era limitato temporalmente;
• l’attivazione era finalizzata a test tecnici;
• non vi era registrazione continua delle immagini;
• l’ente ha collaborato con l’Autorità;

il Garante ha comunque dichiarato illecito il trattamento e applicato una sanzione amministrativa di 10.000 euro, disponendo inoltre la pubblicazione del provvedimento.

Cosa devono imparare aziende ed enti pubblici

Questo provvedimento offre alcune indicazioni operative molto chiare.

• Anche la fase di test di un impianto di videosorveglianza è soggetta al GDPR;
• la sola visione in tempo reale delle immagini costituisce trattamento di dati personali;
• qualsiasi modifica sostanziale delle aree di ripresa o del numero delle telecamere richiede una verifica della conformità rispetto all’accordo sindacale o al titolo autorizzativo;
• l’informativa deve essere fornita prima dell’attivazione del sistema, anche in fase di collaudo.

Nei contesti lavorativi la DPIA rappresenta spesso un adempimento necessario e non rinviabile.

Riflessioni conclusive

Il provvedimento conferma un orientamento ormai consolidato dell’Autorità: la conformità privacy deve essere progettata prima dell’accensione delle telecamere, non dopo.

La tecnologia può certamente essere installata, collaudata e verificata, ma ogni attività che comporti la raccolta o la visualizzazione di dati personali richiede il preventivo rispetto delle regole in materia di protezione dei dati e delle garanzie previste dallo Statuto dei Lavoratori.

Per DPO, HR e responsabili della sicurezza il messaggio è chiaro: quando si parla di videosorveglianza, il “test tecnico” non rappresenta una deroga agli obblighi di legge.

Informazioni di carattere generale, che non costituiscono consulenza legale. Articolo pubblicato nella newsletter Diritto e Lavoro in Evoluzione su LinkedIn.