Videosorveglianza nei luoghi di lavoro: adempimenti del datore di lavoro

Inquadramento generale

L'installazione di sistemi di videosorveglianza nei luoghi di lavoro è sottoposta al rispetto della disciplina giuslavoristica di cui all'art. 4 dello Statuto dei lavoratori e alle prescrizioni privacy sancite dal GDPR e dalle singole discipline di riferimento.

Invero, ci sono dei settori molto particolari in cui la videosorveglianza viene disciplinata con singoli provvedimenti sulla base della specificità del settore. Tuttavia, per quanto riguarda il rapporto di lavoro vale l'impostazione prevista dall'art. 4 dello Statuto dei Lavoratori.

Il primo comma dell'art. 4 dello Statuto dei lavoratori sancisce che per installare sistemi di videosorveglianza sono necessari due elementi: la sussistenza di una legittimante, sicurezza sul lavoro, esigenze organizzative e produttive e tutela del patrimonio aziendale. In assenza di una legittimante non può sussistere la prima condizione per l'installazione. Infatti, nell'ordinamento italiano non è possibile installare un sistema di videosorveglianza con la mera finalità di controllo dell'attività dei lavoratori.

La seconda prescrizione contemplata dalla norma analizzata è che sia svolto un controllo preventivo da parte dei sindacati o in assenza di sindacati in azienda, da parte di un ente amministrativo all'uopo individuato. In Italia tale compito è riservato all'Ispettorato territoriale del lavoro. Una volta svolta l'analisi del sistema di videosorveglianza che il datore di lavoro intende installare, si potrà procedere con un accordo tra datore di lavoro e sindacati; o una specifica autorizzazione da parte degli Ispettorato del lavoro territorialmente competente.

Nel caso di imprese con più unità produttive ubicate in diverse province della stessa regione o in più regioni, tale accordo può essere stipulato dalle organizzazioni sindacali comparativamente più rappresentative a livello nazionale. In assenza di accordo, gli impianti possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive ubicate nelle aree di competenza di più sedi territoriali, della sede centrale dell'Ispettorato nazionale del lavoro.

L'art. 4 St. dello statuto dei lavoratori, al terzo comma, stabilisce che le informazioni raccolte tramite i sistemi di videosorveglianza possono essere utilizzate ai fini connessi al rapporto di lavoro a condizione che venga data al lavoratore specifica informativa sulle modalità d'uso del sistema di videosorveglianza.

Infine, l'art. 4 richiama l'applicazione del Codice privacy sancendo in via definitiva il collegamento tra la disciplina del controllo a distanza e quella relativa alla protezione dei dati personali.

Gli adempimenti da svolgere

Per primo occorre procedere all'installazione nel rispetto delle prescrizioni di cui all'art. 5 del GDPR. I principi di pertinenza e necessità assurgono, infatti, a criteri generali.

Tali criteri si ritrovano sia nelle informazioni fornite dall'Autorità Garante per la protezione dei dati personali, sia in quelle emesse dall'Ispettorato Nazionale del Lavoro.

Le telecamere non devono mai essere installate in modo da riprendere direttamente le attività dei lavoratori. Il monitoraggio costante e diretto rimane vietato. Il raggio d'azione della telecamera deve, quindi, essere rivolto al bene da sorvegliare per rispondere a uno dei fattori legittimanti previsti dall'art. 4 St. lav.: sicurezza sul lavoro, esigenze organizzative e produttive e tutela del patrimonio aziendale.

Ogni telecamera deve essere messa in evidenza tramite una specifica cartellonistica che renda noto ai lavoratori che tale area risulta sorvegliata. Tale cartello deve includere alcune informazioni obbligatorie quali il nome del titolare del trattamento; le ragioni della ripresa; l'eventuale nomina del data protection officer; le modalità per esercitare i diritti riconosciuti dagli artt. 16 e ss del GDPR. Il cartello deve poi riportare un link, un qrcode o l'indicazione di dove poter accedere all'informativa completa relativa al trattamento dei dati derivanti dall'installazione di videosorveglianza.

Particolare attenzione deve essere posta al tempo di conservazione, che deve essere determinato seguendo il principio di limitazione della conservazione contemplato nell'art. 5 del GDPR.

Nella prassi il termine non supera le 24 ore, tuttavia possono essere previsti termini più lunghi in caso di particolari esigenze da parte dell'impresa.

Le immagini possono essere visualizzate da remoto tramite specifiche applicazioni, tuttavia, tale attività deve essere oggetto dell'accordo sindacale o di autorizzazione amministrativa. In tale ipotesi, l'Ispettorato del lavoro ha sancito che è necessario dotarsi di uno specifico registro che registri gli accessi logici di chi accede e che sia dotato di particolari misure di sicurezza. Per quanto riguarda le misure di sicurezza queste devono essere applicate all'intero sistema. Si ricorda, che l'art. 32 del GDPR richiede l'adozione di misure di sicurezza tecniche e misure di sicurezza organizzative. Rientrano nel primo gruppo quelle relative alla sicurezza del sistema a livello informatico. Devono sempre essere garantire misure di sicurezza tali da evitare il verificarsi di incidenti che possano incidere in maniera negativa sulla sicurezza del sistema.

Le misure di sicurezza organizzative riguardano, invece, le persone che partecipano alle attività di trattamento. In questo caso, sarà necessario predisporre specifiche nomine contrattuali nei confronti dei soggetti interni ed esterni che partecipano al trattamento. In particolare, nominare l'Amministratore di sistema come previsto dal Provvedimento dell'Autorità Garante per la protezione dei dati personali; nominare eventuali soggetti esterni ai sensi dell'art. 28 del GDPR (come, per esempio, le aziende di vigilanza che hanno accesso al sistema per ragioni di sicurezza); individuare e istruire i soggetti interni tramite specifiche nomine come autorizzati al trattamento.

Le attività relativa alla videosorveglianza devono essere inserite nel registro delle attività di trattamento che deve essere mantenuto aggiornato a cura del titolare del trattamento.

Infine, per le attività di monitoraggio è previsto l'obbligo di valutazione di impatto di cui all'art. 35 del GDPR. 

Per quanto riguarda l'obbligo di informativa si ricorda quanto sopra menzionato. Ai sensi dell'art. 4 dello Statuto dei lavoratori, terzo comma, è necessario implementare un sistema informativo che consenta di rendere noto al lavoratore le modalità d'uso dello strumento e le modalità di controllo. A livello pratico, tale adempimento si traduce con la necessità di adozione di specifiche policy che siano redatte in modo chiaro affinché il lavoratore possa avere la piena contezza delle attività di trattamento dei dati che lo riguardano.