Immaginate un datore di lavoro convinto di avere in mano la prova schiacciante di un illecito commesso dal dipendente: un filmato, chiaro, inequivocabile, conservato per settimane. Lo usa per giustificare il licenziamento. Poi arriva la sentenza del giudice del lavoro, e quella prova non vale nulla. Non perché il filmato sia falso, ma perché la telecamera non avrebbe dovuto stare lì. È questa la logica — scomoda per chi gestisce imprese, vitale per chi lavora — che governa la videosorveglianza nei luoghi di lavoro in Italia, all'incrocio tra il Regolamento europeo sulla protezione dei dati personali (GDPR, Reg. UE 2016/679), il Codice Privacy (D.Lgs. 196/2003 e s.m.i.) e l'articolo 4 della Legge 20 maggio 1970 n. 300, il cosiddetto Statuto dei lavoratori.
«La libertà non è uno stato che si possiede, ma una conquista che si difende ogni giorno contro chi la erode per gradi, quasi impercettibilmente.» Queste parole di Norberto Bobbio risuonano con forza in un'epoca in cui la sorveglianza tecnologica si è fatta pervasiva, granulare, quasi invisibile, e la distinzione tra sicurezza aziendale e controllo del lavoratore rischia di svanire nella pratica quotidiana.
Il quadro normativo: tre livelli che devono stare insieme
Il sistema italiano di disciplina della videosorveglianza nei luoghi di lavoro è il risultato di tre livelli normativi che devono essere rispettati simultaneamente, pena l'illegittimità dell'intero trattamento. Il primo livello è lo Statuto dei lavoratori (L. 300/1970, art. 4), modificato dal Jobs Act nel 2015: stabilisce quando e come è possibile installare impianti audiovisivi che possano riprendere i lavoratori. Il secondo è il GDPR: le immagini dei dipendenti sono dati personali e il loro trattamento deve rispettare tutti i principi del regolamento europeo. Il terzo sono i provvedimenti del Garante Privacy, che nel 2024-2025 ha elaborato un orientamento sempre più rigoroso con sanzioni concrete a supporto. Ignorare anche uno solo di questi livelli espone il datore di lavoro a sanzioni penali, sanzioni amministrative fino a decine di migliaia di euro e, dettaglio che molti sottovalutano, alla nullità delle prove raccolte tramite le stesse telecamere.
L'art. 4 dello Statuto dei lavoratori stabilisce la regola fondamentale: gli impianti audiovisivi e gli strumenti dai quali può derivare anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere installati soltanto per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. E solo previo accordo collettivo con le rappresentanze sindacali aziendali o, in alternativa, previa autorizzazione dell'Ispettorato Nazionale del Lavoro. La normativa consente un controllo a distanza dell'attività dei lavoratori, nel rispetto delle condizioni di garanzia previste, solo ed esclusivamente in via incidentale, «ossia in occasione del perseguimento di tali legittime finalità, così assumendo un carattere tipicamente indiretto e preterintenzionale» (Provvedimento Garante n. 70 del 12 febbraio 2026, doc web n. 10226611).
Un aspetto spesso trascurato riguarda la portata territoriale della tutela: l'art. 4 St. Lav. tutela i dipendenti non solo quando i dispositivi di sorveglianza siano posti all'interno dei locali di lavoro, ma anche in relazione alle aree esterne o perimetrali — ad esempio accessi alla struttura e ai garage, zone di carico/scarico merci, ingressi carrai e pedonali — e la circostanza che l'accesso a dette zone esterne o perimetrali da parte dei lavoratori avvenga in maniera discontinua e per brevi archi temporali è irrilevante.
Sul fronte GDPR, il datore di lavoro che gestisce un sistema di videosorveglianza deve inoltre predisporre un'informativa in due livelli: una cartellonistica di primo livello in prossimità delle aree riprese, e un'informativa completa di secondo livello, facilmente accessibile, che contenga tutti gli elementi dell'art. 13 del Regolamento — base giuridica, finalità, tempi di conservazione, diritti dell'interessato. L'esercente che decide di installare un impianto di videosorveglianza deve affrontare una serie di adempimenti tutt'altro che formali: anche quando non vengono effettuate registrazioni, il semplice accesso in tempo reale alle immagini tramite smartphone costituisce trattamento di dati personali che viaggiano attraverso internet, e richiede il rispetto integrale delle norme in materia di protezione dei dati, nonché quelle a tutela dei lavoratori.
I casi recenti: dal Comune di Curtarolo ad Amazon, passando per Coccaglio
La stagione 2025-2026 è stata particolarmente intensa sul piano dei provvedimenti sanzionatori, e offre un panorama di situazioni concrete che vale la pena esaminare nel dettaglio.
Il primo caso riguarda il Comune di Curtarolo. Con il provvedimento n. 628 del 23 novembre 2025, il Garante per la protezione dei dati personali ha sanzionato il Comune con una multa complessiva di 15.000 euro per gravi violazioni del GDPR nell'utilizzo di sistemi di videosorveglianza. Il caso assume particolare rilievo perché intreccia profili di protezione dei dati personali, disciplina dei controlli a distanza dei lavoratori e tutela della dignità della persona. Il procedimento trae origine dal reclamo presentato da una ex dipendente comunale, la quale contestava l'uso di immagini di videosorveglianza installate sulla pubblica via per avviare nei suoi confronti un procedimento disciplinare conclusosi con il licenziamento. Il Garante ha chiarito un principio essenziale, destinato a riverberarsi su tutte le situazioni analoghe: il profilo più grave riguarda l'uso delle immagini raccolte per finalità di sicurezza urbana a scopi disciplinari. Le finalità del trattamento sono incompatibili: i dati raccolti per uno specifico scopo non possono essere riutilizzati per finalità del tutto diverse. Il Garante ha censurato anche la condotta della Sindaca, che aveva incaricato un collaboratore comunale di riprendere con il telefono cellulare la dipendente durante il periodo di malattia, dopo aver ricevuto segnalazioni informali sulla sua presenza in un ristorante.
Il secondo caso è il provvedimento n. 70 del 12 febbraio 2026 (doc web n. 10226611), relativo al Comune di Coccaglio. Un dipendente aveva lamentato l'utilizzo di filmati di videosorveglianza a fini disciplinari: erano stati mossi specifici addebiti in relazione a fatti «documentati mediante estrazione ed esibizione delle immagini dell'impianto di videosorveglianza». Il reclamante contestava inoltre l'omessa informativa sul trattamento dei dati personali, la mancata determinazione dei tempi di conservazione dei filmati e la mancata esperienza delle procedure di garanzia previste dall'art. 4 della L. 300/1970. Il Garante ha rilevato la violazione, stigmatizzando in particolare il fatto che le pur legittime esigenze di tutela del patrimonio dell'Ente non possono di per sé sole legittimare il trattamento dei dati personali mediante strumenti dai quali può derivare anche la possibilità di controllo a distanza dei lavoratori, in assenza delle garanzie previste dall'art. 4, comma 1, L. n. 300/1970, che definisce limiti, condizioni e presupposti di liceità del relativo trattamento.
Il terzo caso — il più eclatante per dimensioni e risonanza mediatica — è il provvedimento n. 107 del 24 febbraio 2026, con cui il Garante ha adottato in via d'urgenza una misura di limitazione definitiva del trattamento nei confronti di Amazon Italia Logistica S.r.l. Il Garante ha vietato, in via d'urgenza e con effetto immediato, ad Amazon Italia Logistica il trattamento di dati personali di oltre 1.800 lavoratori impiegati nella piattaforma logistica di Passo Corese, in provincia di Rieti. Il provvedimento, emanato il 24 febbraio 2026 con numero 107, è il risultato delle ispezioni condotte dal 9 al 12 febbraio 2026 in collaborazione con l'Ispettorato Nazionale del Lavoro e il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza. Sul fronte specifico della videosorveglianza, dall'accertamento è emerso che presso il magazzino di Passo Corese erano installate quattro telecamere posizionate in prossimità di aree riservate — quali bagni e aree di ristoro — e, pur dotate di una funzione di mascheramento parziale delle immagini, consentivano l'identificazione dei soggetti che accedevano a tali locali. Le finalità per cui tali telecamere erano state installate non corrispondevano a quanto indicato nella policy interna di Amazon. Il Garante ha disposto la limitazione definitiva del trattamento con effetto immediato, estendendola a tutti gli stabilimenti italiani che utilizzano la piattaforma, non solo a Passo Corese.
Vi è poi, da ultimo, il provvedimento del Garante dell'11 settembre 2025, n. 493, che ha riguardato un esercizio commerciale con dipendenti. Il Garante, con il provvedimento n. 493 dell'11 settembre 2025, ha ribadito che la visione da remoto delle immagini inquadranti avventori o dipendenti non è un'operazione neutra. Si tratta a pieno titolo di un trattamento di dati personali che impone l'osservanza dei principi di liceità, correttezza e trasparenza. Le finalità di controllo del personale non possono essere surrettiziamente mascherate da esigenze di sicurezza o di tutela patrimoniale: in mancanza di accordo sindacale o di autorizzazione dell'Ispettorato del lavoro, l'intero sistema si colloca fuori dal perimetro di liceità previsto dal diritto europeo e nazionale.
Sul fronte giurisprudenziale, merita attenzione il filone aperto dalla Cassazione Penale, Sez. V, sentenza 5 agosto 2025 n. 28613, che ha affrontato il caso delle cosiddette telecamere difensive. La Cassazione Penale, con la sentenza n. 28613 del 5 agosto 2025, ha confermato e affinato la distinzione tra videosorveglianza ordinaria e controlli difensivi: il divieto dell'art. 4 cede il passo al diritto del datore di lavoro di tutelare il patrimonio aziendale quando ricorrono contestualmente tre condizioni, tra cui la sussistenza di elementi concreti di sospetto di condotte illecite dei dipendenti, come ammanchi sistematici o furti reiterati. Si tratta, tuttavia, di un'eccezione rigorosamente perimetrata: devono esserci elementi concreti di sospetto documentato (non un semplice dubbio), le telecamere devono essere installate dopo aver rilevato le irregolarità, e l'unico scopo deve essere documentare il comportamento illecito specifico.
L'antico brocardo vigilantibus iura subveniunt — il diritto soccorre chi veglia — descrive con precisione la condizione del lavoratore di fronte alla sorveglianza datoriale: solo chi conosce i propri diritti e li esercita tempestivamente riesce a farli valere. L'informativa preventiva, l'accordo sindacale, la proporzione tra finalità e mezzi di controllo non sono tecnicismi burocratici, ma le fondamenta di un rapporto di lavoro che rispetti la dignità della persona.
Dal punto di vista pratico, i nodi critici che emergono dalla casistica recente sono essenzialmente tre.
Il primo è la confusione tra finalità di sicurezza e finalità disciplinari. Come ribadito nel provvedimento sul Comune di Curtarolo, i dati raccolti per una finalità specifica non possono essere riutilizzati per scopi diversi: usare le immagini di una telecamera installata per la tutela del patrimonio al fine di sostenere un procedimento disciplinare è una violazione autonoma, che si aggiunge all'eventuale difetto di autorizzazione.
Il secondo nodo è la sottovalutazione del perimetro della tutela. Ai fini dell'art. 4 dello Statuto, è irrilevante che i lavoratori siano stati semplicemente preavvisati, che il controllo sia discontinuo o riguardi locali in cui i lavoratori si trovano solo saltuariamente, o che le telecamere siano "finte", installate a scopo solo dissuasivo.
Il terzo — e forse il più insidioso — è l'illusione della sanatoria postuma. L'istanza di autorizzazione all'Ispettorato del lavoro risultava trasmessa dal titolare in data successiva rispetto alle verifiche già effettuate. Regolarizzarsi dopo che il Garante o l'INL hanno già avviato un'istruttoria non azzera la violazione pregressa: può al limite essere valorizzato come circostanza attenuante nella quantificazione della sanzione, ma non cancella l'illiceità del trattamento.
Per il datore di lavoro che voglia muoversi correttamente, il percorso è chiaro nella sua sequenza: definire le finalità lecite prima di installare qualsiasi telecamera; verificare se sia necessario l'accordo sindacale o l'autorizzazione INL; redigere e consegnare ai dipendenti una specifica informativa privacy, distinta e autonoma rispetto alle altre comunicazioni aziendali; designare i responsabili del trattamento; stabilire tempi di conservazione proporzionati (di regola non superiori alle 24-72 ore, salvo specifiche esigenze documentate); e — ove il trattamento presenti rischi elevati — effettuare preventivamente una valutazione d'impatto (DPIA) ai sensi dell'art. 35 GDPR.
È utile segnalare che l'art. 5 del DDL Semplificazioni, approvato dal Consiglio dei Ministri il 4 agosto 2025, prevede la possibilità di installare dispositivi di videosorveglianza finalizzati esclusivamente alla sicurezza fisica dei lavoratori senza accordo sindacale né autorizzazione INL, pur rimanendo in vigore tutti gli obblighi GDPR e l'obbligo di informare i lavoratori. Al momento (aprile 2026) il DDL è ancora in discussione parlamentare e non è stato convertito in legge: chi anticipasse l'applicazione di questa norma prima della sua entrata in vigore ufficiale si troverebbe in una posizione di manifesta illiceità.
Per il lavoratore che ritenga di essere sottoposto a videosorveglianza illecita, gli strumenti di tutela sono molteplici e cumulabili: il reclamo al Garante Privacy ai sensi dell'art. 77 GDPR, che avvia un'istruttoria amministrativa; l'esercizio del diritto di accesso ai dati ai sensi degli artt. 15 e ss. del Regolamento; il ricorso al giudice del lavoro, con richiesta di inutilizzabilità delle prove raccolte in violazione dell'art. 4 St. Lav. e, ove sussistano i presupposti, con domanda di reintegrazione nel posto di lavoro; e infine la segnalazione all'Ispettorato Nazionale del Lavoro per la verifica delle condizioni di autorizzazione.
L'interrogativo di fondo che attraversa tutta questa materia è antico quanto il diritto del lavoro: fino a che punto il potere organizzativo del datore può comprimere la sfera di libertà e riservatezza del lavoratore? La risposta che emerge dalla normativa vigente e dalla prassi applicativa più recente è inequivoca: la tecnologia estende le possibilità di controllo, ma non amplia il perimetro della sua legittimità. Occhio elettronico o occhio umano, la sorveglianza resta sorveglianza, e i limiti che la governano restano fermi.
Redazione - Staff Studio Legale MP
