Il titolare di un'impresa scopre che un dipendente lo sta danneggiando. Recupera le registrazioni delle telecamere installate in magazzino qualche mese prima. Le porta al proprio legale, sicuro di avere prove schiaccianti. Poi arriva la doccia fredda: quelle immagini non possono essere usate. Il licenziamento che ne è seguito viene annullato dal giudice. Una storia che si ripete, con varianti, nelle aule di tribunale di tutta Italia — e che si poteva evitare.
Il tema della videosorveglianza nei luoghi di lavoro è tornato prepotentemente all'attenzione nell'ultimo anno, grazie a una serie di provvedimenti del Garante per la protezione dei dati personali e di pronunce della Cassazione che stanno ridisegnando, con precisione crescente, i confini entro cui il datore di lavoro può lecitamente installare e utilizzare telecamere. Il quadro che emerge è più complesso di quanto molti imprenditori immaginino, e le conseguenze dell'errore — spesso compiuto in perfetta buona fede — sono gravi e difficilmente rimediabili.
Il doppio binario: Statuto dei lavoratori e GDPR
Il diritto vigente impone al datore di lavoro di muoversi su un doppio binario normativo, fatto di regole che si sovrappongono e si rafforzano a vicenda.
L'esame del Garante si estende alla verifica del principio di liceità del trattamento, scrutinato alla luce degli artt. 5, comma 1, lett. a) e 88 del GDPR, nonché dell'art. 114 del Codice Privacy. Questa intelaiatura normativa opera un rinvio diretto all'art. 4 della Legge n. 300/1970 (Statuto dei Lavoratori), che vieta il controllo intenzionale a distanza e subordina l'installazione di impianti idonei a determinare una vigilanza sull'attività dei dipendenti a tassative esigenze aziendali: ragioni organizzative e produttive, sicurezza del lavoro e tutela del patrimonio aziendale.
Ma la sussistenza di una di queste finalità non è sufficiente ad aprire le porte all'installazione. La sussistenza di tali presupposti non legittima un'iniziativa unilaterale del datore di lavoro: l'installazione richiede necessariamente il previo accordo collettivo con le rappresentanze sindacali aziendali ovvero, in difetto di intesa o di rappresentanze, il rilascio di apposita autorizzazione da parte dell'Ispettorato del lavoro.
Questo requisito procedurale ha carattere assoluto. Il Garante Privacy ha chiarito, nel Provvedimento n. 70 del 12 febbraio 2026 (doc web n. 10226611), che la normativa consente un controllo a distanza dell'attività dei lavoratori solo in via incidentale, "ossia in occasione del perseguimento di tali legittime finalità, così assumendo un carattere tipicamente indiretto e preterintenzionale".
Un aspetto spesso sottovalutato riguarda la nozione stessa di "trattamento di dati". Il Garante ha chiarito che l'utilizzo di sistemi di videosorveglianza integra a tutti gli effetti un trattamento di dati anche in assenza di registrazione e memorizzazione delle immagini, qualora vi sia la mera visualizzazione delle riprese in tempo reale e da remoto tramite dispositivi mobili o smartphone del titolare. Ne consegue la sussistenza dell'obbligo inderogabile di predisporre e rendere l'informativa ex art. 13 del GDPR agli interessati.
Con il Provvedimento n. 167 del 12 marzo 2026 (Garante Privacy), il caso ha avuto origine da un accertamento della Guardia di Finanza che, nel corso di un'ispezione, aveva rilevato la presenza di telecamere attive all'interno e all'esterno di un esercizio commerciale, con lavoratori presenti nelle aree riprese. Fin da subito sono emerse criticità rilevanti: un solo cartello informativo per più ambienti collocati su piani diversi, assenza di credenziali di accesso al sistema e, soprattutto, mancanza dell'autorizzazione dell'Ispettorato del lavoro al momento dell'installazione, intervenuta solo successivamente.
Il caso insegna qualcosa di fondamentale: l'autorizzazione ottenuta dopo l'installazione non sana retroattivamente il periodo precedente. La Guardia di Finanza aveva accertato la presenza di un impianto di videosorveglianza già in funzione durante le verifiche, mentre l'autorizzazione dell'Ispettorato del lavoro di Padova-Rovigo era datata 31 ottobre 2024, cioè successivamente al giorno delle verifiche stesse.
Altrettanto emblematico è il Provvedimento n. 70 del 12 febbraio 2026, relativo al Comune di Coccaglio. Un dipendente comunale aveva lamentato l'utilizzo di filmati di videosorveglianza a fini disciplinari: gli erano stati mossi specifici addebiti in relazione a fatti "documentati mediante estrazione ed esibizione delle immagini dell'impianto di videosorveglianza". Il Comune aveva omesso di fornire un'informativa sul trattamento dei dati personali, non aveva stabilito né reso noti i tempi di conservazione dei filmati e non aveva esperito le procedure di garanzia previste dall'art. 4 della L. 20 maggio 1970, n. 300.
Il punto critico: le immagini raccolte illecitamente non valgono come prova
La conseguenza più immediata e devastante per il datore di lavoro non è la sanzione amministrativa, che pur può essere significativa. È la perdita totale del valore probatorio del materiale raccolto.
Su questo punto la giurisprudenza di legittimità si è assestata su un orientamento chiaro, che la Cassazione ha ulteriormente affinato nel corso degli ultimi mesi con una serie di pronunce di grande rilievo pratico.
Con l'ordinanza del 29 marzo 2026, n. 7514 (Cass. civ., Sez. Lavoro), la Corte ha affermato che i controlli difensivi del datore di lavoro sono legittimi solo se effettuati successivamente alla nascita di un fondato sospetto di illecito; conseguentemente, i dati acquisiti prima di tale momento, in violazione dell'art. 4 St. lav., restano inutilizzabili anche se analizzati ex post, non potendo una condotta originariamente illegittima essere resa lecita retroattivamente.
La pronuncia consolida e precisa un filone avviato nel 2021, ribadendo che il fondato sospetto deve essere non solo esistente, ma anche documentabile nella sua collocazione temporale precisa: per il difensore del lavoratore, la strategia corretta è verificare con la massima attenzione i tempi di acquisizione dei dati utilizzati nella contestazione disciplinare. Se i dati sono stati raccolti prima dell'insorgere del fondato sospetto, ovvero se il datore di lavoro non è in grado di documentare il momento esatto di insorgenza di tale sospetto, l'inutilizzabilità probatoria è di norma l'esito più probabile.
Parallelamente, la Cass. civ., Sez. Lavoro, ordinanza n. 7985/2026 ha affrontato il tema dei sistemi di controllo degli accessi usati per accertare false timbrature. La Corte di Cassazione, con l'ordinanza n. 7985/2026, ha confermato un indirizzo già abbastanza univoco: la falsa attestazione delle presenze, realizzata mediante omissione delle timbrature o inserimento di dati non veritieri nei sistemi aziendali, integra una condotta di particolare gravità che legittima l'utilizzo disciplinare delle risultanze di tali sistemi. Il punto discriminante, anche in questo caso, risiede nel rispetto delle formalità preventive: l'informativa ai lavoratori sull'utilizzo dei sistemi di rilevazione presenze a fini disciplinari deve essere stata resa in modo chiaro e documentato.
Emerge un tema di grande interesse sistematico, che altri commentatori hanno trascurato: il GDPR e lo Statuto dei lavoratori si muovono su piani formalmente distinti, ma producono effetti convergenti che creano una zona di rischio molto più ampia di quanto appaia. L'art. 4, comma 3, St. lav. consente al datore di utilizzare le immagini raccolte nel rispetto del comma 1 "a tutti i fini connessi al rapporto di lavoro", inclusi quelli disciplinari. Ma questa utilizzabilità condizionata dipende interamente dalla liceità a monte del trattamento. Se l'accordo sindacale non c'è, se l'autorizzazione INL è mancante o tardiva, se l'informativa è incompleta, il dato decade: non vale più né in sede disciplinare né in sede giudiziaria. È ciò che il brocardo fraus omnia corrumpit traduce in modo pertinente nell'ambito probatorio: la violazione della regola procedimentale infetta l'intera catena degli atti che ne sono conseguiti.
Il consenso individuale del lavoratore, infine, non salva nulla. Come più volte ribadito dal Garante, il consenso non può costituire una valida base giuridica nel contesto lavorativo in quanto non "libero" per via dello squilibrio di potere tra le parti. Firma o non firma del dipendente: la procedura autorizzativa resta obbligatoria, e la sua omissione è insanabile.
Come osservava Rudolf von Jhering nel suo La lotta per il diritto, il diritto non è solo norma scritta, ma condizione vissuta di equilibrio tra poteri. In ambito lavorativo, la procedimentalizzazione dell'installazione delle telecamere risponde esattamente a questa logica: non è un intralcio burocratico, ma il meccanismo con cui l'ordinamento bilancia il potere di controllo del datore con la dignità del lavoratore, in un contesto strutturalmente asimmetrico.
Quanto vale, in concreto, non rispettare queste regole? Il Garante può irrogare sanzioni fino al 4% del fatturato mondiale annuo, ai sensi dell'art. 83 GDPR. A queste si aggiungono le sanzioni penali previste dall'art. 38 St. lav., l'annullamento del licenziamento eventualmente irrogato sulla base delle prove invalide, e la possibilità per il lavoratore di chiedere il risarcimento del danno per violazione della privacy. Un costo complessivo che può essere di gran lunga superiore a quello dell'inadempimento che il datore tentava di sanzionare.
La lezione pratica che si ricava dall'insieme di questi provvedimenti e sentenze può essere riassunta in modo semplice: la conformità non è un adempimento da fare a posteriori, ma una condizione da costruire prima. Prima di installare qualsiasi telecamera, anche per finalità apparentemente innocue di sicurezza patrimoniale, è indispensabile verificare se vi siano rappresentanze sindacali con cui concludere un accordo, o procedere alla richiesta di autorizzazione all'Ispettorato del lavoro territorialmente competente; redigere e affiggere le informative ai lavoratori in modo differenziato per ciascun ambiente ripreso; configurare il sistema con credenziali di accesso protette; definire e documentare i tempi di conservazione delle immagini. Solo dopo aver completato questi passi, l'impianto potrà essere attivato — e le immagini eventualmente raccolte potranno avere valore.
Redazione - Staff Studio Legale MP
