MODI S.R.L. supporta le aziende nella conformità privacy collegata alla videosorveglianza, anche assumendo l’incarico di DPO (Data Protection Officer), predisponendo la documentazione richiesta dal Regolamento (UE) 2016/679 e realizzando, quando necessario, la DPIA con risk assessment calibrato sull’organizzazione.

Il Regolamento (UE) 2016/679 (GDPR) impone un principio semplice: quando un’azienda riprende persone con telecamere, deve proteggere i dati e rispettare regole precise.

Per questo la videosorveglianza non si gestisce “a intuito”: servono base giuridica, trasparenza, tempi di conservazione coerenti e misure di sicurezza adeguate.

Informativa e cartelli: cosa deve vedere chi entra

La prima regola riguarda la trasparenza. Prima di entrare nell’area ripresa, chi transita deve trovare un cartello chiaro che segnali la presenza delle telecamere e rimandi all’informativa completa. Nel cartello vanno indicati almeno il titolare, la finalità e un riferimento per ottenere i dettagli (informativa estesa).

Base giuridica e proporzionalità: non riprendere “più del necessario”

Subito dopo, l’azienda deve motivare la videosorveglianza con una base giuridica corretta (spesso interesse legittimo legato alla sicurezza, ma va valutato caso per caso).

Inoltre deve rispettare la proporzionalità: riprendere solo ciò che serve, evitare aree non pertinenti e limitare angoli di ripresa, accessi e visibilità delle immagini.

Le linee guida europee insistono proprio su questa valutazione preventiva e sull’uso di misure meno invasive quando bastano.

Conservazione delle immagini: tempi brevi e motivati

Anche la retention è un punto critico. In generale, un periodo di 24 ore risulta di norma sufficiente; chiusure nel weekend o festività possono giustificare un tempo maggiore.

Se l’azienda supera soglie più alte (in particolare oltre 72 ore), deve motivare in modo più solido la necessità e documentare meglio l’analisi. 

Sicurezza degli accessi: chi vede le immagini e come le protegge

Le registrazioni richiedono misure di sicurezza coerenti con il rischio. Quindi servono credenziali personali, profili autorizzativi, tracciamento degli accessi e configurazioni che riducano l’uso improprio. Quando ha senso, l’azienda può aggiungere anche cifratura e segmentazione dei sistemi.

In parallelo, conviene definire regole interne su chi può estrarre immagini e in quali casi.

Lavoratori e controllo a distanza: attenzione all’art. 4 statuto

Se le telecamere possono comportare anche indirettamente un controllo a distanza dell’attività lavorativa, entrano in gioco gli adempimenti dell’art. 4 dello Statuto dei Lavoratori: di regola serve un accordo con RSA/RSU o, in alternativa, l’autorizzazione dell’Ispettorato competente nei casi previsti. La Nota INL n. 2572 del 14/04/2023 fornisce indicazioni operative proprio su questo punto. 

Data breach: prepararsi prima, non quando succede consiglio dai DPO di MODI 

Infine, la gestione degli incidenti non può restare improvvisata. Una procedura interna deve stabilire chi fa cosa, come si valuta l’evento e quali canali si usano per le comunicazioni. Così l’azienda reagisce in modo rapido e documentato, limitando impatti e contestazioni.