Un datore di lavoro scopre che dalla cassa spariscono soldi ogni settimana. Installa una telecamera nascosta, la dipendente viene ripresa mentre sottrae denaro ai clienti, e il procedimento penale si conclude con condanna. Fin qui tutto coerente. Ma nel frattempo il Garante Privacy apre un'istruttoria, constata che le telecamere erano prive di accordo sindacale e di informativa conforme al GDPR, e irroga una sanzione di decine di migliaia di euro. Le stesse immagini che hanno incastrato la ladra rischiano di incastrare anche il datore di lavoro.
Questo non è un caso ipotetico. È la fotografia esatta della tensione giuridica irrisolta che attraversa oggi il tema della videosorveglianza sul lavoro, e che impone a ogni imprenditore e responsabile HR di conoscere con precisione le regole — tutte, non solo quelle che fanno comodo.
Il doppio binario: Cassazione e Garante non si parlano
La Cassazione, con la sentenza n. 28613 del 5 agosto 2025 (Cass. Pen., Sez. V, Pres. Catena, Rel. Belmonte), riconferma un principio ormai consolidato: lo Statuto dei Lavoratori vieta in generale i controlli a distanza sull'attività lavorativa, ma ammette i cosiddetti "controlli difensivi", finalizzati a proteggere il patrimonio aziendale in caso di sospetti concreti verso i dipendenti. La pronuncia afferma la legittimità dell'installazione di videocamere occulte, purché mirata e successiva all'insorgere di un fondato sospetto di illeciti lesivi del patrimonio aziendale.
Il caso era cristallino nei fatti: una dipendente di una farmacia era stata condannata dalla Corte d'Appello per il delitto di furto continuato aggravato dalla destrezza. Dalle videoriprese emergeva che la dipendente, in più occasioni, si impossessava di somme di denaro ricevute dai clienti. Il datore di lavoro aveva provveduto a far installare una telecamera nascosta puntata nella zona della cassa.
Il punto critico — e raramente esplicitato con chiarezza — è che il principio è motivato attraverso un dettagliato richiamo sistematico ai precedenti della Sezione Lavoro, e per questo non resta confinato al diritto penale. Significa che la logica dei "controlli difensivi" attraversa anche il contenzioso lavoristico. Tuttavia, questo non mette al riparo il datore di lavoro dal versante della protezione dei dati personali.
Il Garante Privacy ha costruito, nel biennio appena trascorso, un orientamento radicalmente diverso e per certi versi impermeabile alla logica dei controlli difensivi. Con il provvedimento n. 628 del 23 ottobre 2025 (doc. web n. 10196164), il Garante per la protezione dei dati personali ha sanzionato il Comune di Curtarolo con una multa complessiva di 15.000 euro per gravi violazioni del GDPR nell'utilizzo di sistemi di videosorveglianza. Il caso assume particolare rilievo perché intreccia profili di protezione dei dati personali, disciplina dei controlli a distanza dei lavoratori e tutela della dignità della persona.
La violazione accertata era di struttura: il Comune aveva trattato i filmati di videosorveglianza per una finalità — l'accertamento e la contestazione di condotte rilevanti sul piano disciplinare — che non può ritenersi compatibile con quella per cui il sistema era stato installato, ovvero la tutela della sicurezza urbana. La sanzione è stata articolata in 5.000 euro per le violazioni relative alla videosorveglianza sulla pubblica via e in 10.000 euro per le violazioni in ambito lavorativo, ritenute più gravi per le conseguenze prodotte, culminate nel licenziamento della dipendente.
Nello stesso periodo, il Garante è intervenuto con una serie ravvicinata di provvedimenti che tracciano un quadro unitario e severo. Con il provvedimento n. 70 del 12 febbraio 2026 (doc. web n. 10226611), il Garante ha concluso che il trattamento dei dati personali dei lavoratori era stato posto in essere in maniera non conforme al principio di "liceità, correttezza e trasparenza", nonché in assenza di un idoneo presupposto di liceità. Il principio ribadito è netto: i trattamenti di dati personali effettuati tramite impianti di videosorveglianza nell'ambito del rapporto di lavoro devono essere conformi ai principi generali dell'art. 5 del GDPR; l'attivazione della procedura prevista dall'art. 4 dello Statuto dei Lavoratori costituisce una condizione indefettibile per l'installazione dell'impianto e un presupposto di liceità del trattamento.
Il punto che molti sottovalutano — e che genera il paradosso — riguarda la perimetrazione spaziale delle telecamere. La disciplina tutela la persona che lavora non solo quando i dispositivi di sorveglianza siano posti all'interno dei locali di lavoro, ma anche nel caso in cui siano sottoposte a videosorveglianza aree di pertinenza della sede datoriale, anche esterne o perimetrali, in cui comunque transitano i lavoratori. Il Garante ribadisce che se lo strumento è idoneo anche solo potenzialmente a consentire un controllo a distanza, si applicano le garanzie (accordo sindacale o autorizzazione). L'intenzione soggettiva e l'uso "di fatto" non bastano a escludere il perimetro.
Un ulteriore tassello normativo, spesso ignorato dai datori di lavoro, è arrivato proprio in apertura del 2026: la Circolare INL n. 0001511 del 16 febbraio 2026 ha affrontato la questione dell'applicazione dell'art. 4 della legge 300/1970 anche per le guardie giurate, estendendo ulteriormente il perimetro soggettivo della disciplina autorizzativa.
Il rischio più sottovalutato: prove inutilizzabili e licenziamento annullato
La riflessione che qui si propone va oltre il mero catalogo delle violazioni. Il nodo giuridico realmente insidioso per i datori di lavoro non è la sanzione amministrativa del Garante — per quanto dolorosa — ma la inutilizzabilità processuale delle prove raccolte tramite un impianto non conforme. Ignorare anche uno solo dei livelli normativi espone il datore di lavoro a sanzioni penali, sanzioni amministrative e, dettaglio che molti sottovalutano, alla nullità delle prove raccolte tramite le stesse telecamere.
Questo significa che un licenziamento per giusta causa fondato su immagini acquisite senza accordo sindacale, senza informativa GDPR o con finalità incompatibile con quella dichiarata, può essere impugnato con successo dal lavoratore davanti al giudice del lavoro. Il filmato che mostra la condotta illecita del dipendente non potrà essere prodotto in giudizio come prova legittima, e il licenziamento rischia l'annullamento con reintegra e risarcimento.
Qui emerge la contraddizione sistemica: la Cassazione penale ammette il controllo difensivo occulto in presenza di fondati sospetti, ma il Garante Privacy non prevede una "scorciatoia difensiva" equivalente nel sistema GDPR. Il legittimo interesse ex art. 6 del Regolamento UE non consente di derogare alla procedura dell'art. 4 Stat. Lav., che rimane una condizione autonoma e pregiudiziale di liceità. Le due discipline operano su piani diversi e non si sostituiscono a vicenda.
Come scriveva Rudolf von Jhering, "il diritto senza la forza è una parola vuota; la forza senza il diritto è pura tirannia": ma nel caso della videosorveglianza aziendale, il vero paradosso è che anche la forza — cioè la prova filmata — può diventare vuota se raccolta senza diritto.
Il brocardo vigilantibus iura subveniunt — il diritto soccorre chi è vigilante — acquista qui un significato doppio: vale per il datore di lavoro che vuole tutelare il proprio patrimonio, ma vale anche per il lavoratore che pretende il rispetto delle garanzie procedurali prima che le telecamere vengano accese.
Cosa deve fare concretamente il datore di lavoro
Il quadro normativo e giurisprudenziale appena descritto impone una sequenza operativa precisa, che non ammette approssimazioni.
Il primo passo è sempre la procedura autorizzativa ex art. 4 Stat. Lav.: accordo con le rappresentanze sindacali aziendali (RSA/RSU) oppure, in loro assenza o in caso di mancato accordo, autorizzazione dell'Ispettorato Nazionale del Lavoro. L'informativa ai lavoratori è un adempimento distinto dall'accordo sindacale o dall'autorizzazione INL, non li sostituisce e non li assorbe. Deve essere consegnata per iscritto prima dell'attivazione dell'impianto e contenere tutti gli elementi dell'art. 13 GDPR — finalità, base giuridica, tempi di conservazione, soggetti autorizzati, diritti degli interessati — ed essere abbinata a cartelli informativi visibili all'ingresso delle aree riprese.
Il secondo passo è la coerenza tra finalità dichiarata e utilizzo effettivo. Questo è il punto che più frequentemente genera violazioni: un sistema installato per la sicurezza degli asset non può essere riconvertito a uso disciplinare senza che venga attivata una nuova procedura. L'uso delle tecnologie di sorveglianza deve avvenire nel rispetto rigoroso dei principi di proporzionalità, trasparenza e legalità.
Il terzo passo — spesso dimenticato — riguarda la conservation policy: i tempi di conservazione delle immagini devono essere predeterminati e rispettati. Il Garante sanziona anche la conservazione prolungata oltre i termini dichiarati nell'informativa.
Solo qualora sussistano fondati e specifici sospetti di comportamenti illeciti nei confronti di uno o più lavoratori individuati — e non in via preventiva e generalizzata — è possibile valutare il ricorso ai controlli difensivi, ma sempre documentando le ragioni che hanno determinato l'installazione, il momento in cui è sorto il sospetto concreto, e limitando la ripresa alla zona pertinente. Anche in questo caso, la conformità al GDPR rimane un requisito autonomo e non derogabile.
Il panorama attuale, segnato da una serie intensa di provvedimenti del Garante tra il 2025 e i primi mesi del 2026, indica una direzione chiara: l'enforcement si è intensificato, le sanzioni non sono più simboliche, e la soglia di tolleranza verso l'improvvisazione tecnologica si è azzerata. Per i datori di lavoro, il tema della videosorveglianza non è più una questione di buon senso o di prassi aziendali: è una questione di compliance integrata, che richiede la lettura congiunta del diritto del lavoro, del diritto della privacy e della giurisprudenza — anche quella in apparente contraddizione con sé stessa.
Redazione - Staff Studio Legale MP
