Videosorveglianza in azienda: cosa chiede il Regolamento (UE) 2016/679 (GDPR)

Quando un’azienda installa videocamere e le immagini rendono identificabili persone fisiche, entra nel campo di applicazione del Regolamento (UE) 2016/679 (GDPR). Perciò non basta invocare “esigenze di sicurezza”: l’impianto genera un trattamento di dati personali e va gestito con regole chiare, proporzionate e documentabili.

Informativa e cartelli: cosa serve davvero

Prima di entrare nell’area ripresa, chi transita deve essere informato in modo chiaro. Di conseguenza, la segnaletica va posizionata prima della zona sorvegliata e deve permettere di capire almeno:

• chi è il titolare del trattamento;

• qual è la finalità della videosorveglianza;

• dove trovare l’informativa estesa con tutti i dettagli (diritti, contatti, ecc.).

Inoltre, l’informativa completa deve indicare tempi di conservazione, basi giuridiche e modalità per esercitare i diritti.

Base giuridica e proporzionalità: evitare riprese “eccessive”

La videosorveglianza è ammissibile solo se esiste una base giuridica valida, come l’interesse legittimo (ad esempio tutela di beni e persone) o un obbligo di legge. Tuttavia, va sempre verificata la proporzionalità: riprendere tutto “per prevenzione” è un errore frequente.

In pratica, conviene limitare:

• angolo di ripresa e aree inquadrate;

• numero di telecamere;

• qualità/zoom quando non necessari;

• accessi alle registrazioni.

Tempi di conservazione: pochi giorni, salvo motivazioni documentate

Le registrazioni non possono essere conservate più del necessario rispetto alle finalità dichiarate. In genere, le indicazioni del Garante portano a una conservazione breve (spesso 24–72 ore), salvo esigenze specifiche e documentate che giustifichino periodi più lunghi.

Di conseguenza, il titolare deve:

• motivare la durata scelta;

• impostare cancellazione automatica e sicura;

• definire regole su estrazioni e copie delle immagini.

Proteggere le immagini significa impedire accessi non autorizzati e usi impropri. Per questo è opportuno prevedere credenziali individuali, permessi limitati e, quando possibile, log delle operazioni. Inoltre, misure come cifratura, backup e aggiornamenti riducono i rischi di violazioni e perdita di dati.

Nei luoghi di lavoro la questione è più delicata: oltre al GDPR entrano in gioco le regole sul controllo a distanza. Perciò i lavoratori devono essere informati e, in alcuni casi, può servire un passaggio sindacale o ispettivo. In parallelo, le telecamere vanno progettate evitando riprese non necessarie delle postazioni.

Per i privati non esiste un’autorizzazione preventiva generalizzata. Tuttavia, se la telecamera riprende anche aree pubbliche o spazi comuni, l’esclusione “domestica” può non valere più. Di conseguenza, informativa e cautele diventano essenziali anche in contesti non aziendali.

MODI S.R.L. assume l’incarico di DPO (Data Protection Officer) e supporta le aziende nella predisposizione dell’impianto privacy previsto dal Regolamento (UE) 2016/679, incluse informative, registri e, se necessario, DPIA con un risk assessment calibrato sulla realtà aziendale.

Scopri di più sul servizio di consulenza per la corretta realizzazione dell’intero impianto documentale privacy ai sensi del Regolamento Europeo GDPR 679/2016 e per l’assunzione dell’incarico di DPO, visitando il sito www.consulenzaprivacyregolamentoue679.it!