La videosorveglianza, anche nei luoghi di lavoro

"Big Brother is watching you"

1. La videosorveglianza e la normativa a tutela dei dati personali - elementi generali

Preliminarmente occorre chiarire che con il termine videosorveglianza si intende l'acquisizione, in modo continuativo, di immagini, eventualmente associate a suoni, relative a persone identificabili, la quale potrebbe anche implicare la contestuale registrazione e/o la successiva conservazione dei dati rilevati.

Tanto appreso, è evidente come il soggetto ripreso potrebbe essere esposto ad una violazione del proprio diritto alla riservatezza e, pertanto, si renda necessario contemperare le esigenze di sicurezza con i diritti del singolo garantiti dalla normativa a tutela della privacy, la quale prevede la comminazione di gravi sanzioni in capo ai trasgressori.

Soprattutto in ambito giuslavoristico, qualora presso un luogo di lavoro venga installato un sistema di videosorveglianza, si rende più che mai necessaria l'indagine della normativa a tutela dei dati personali del lavoratore eventualmente ripreso, onde adottare tutte le precauzioni necessarie per porre in essere un trattamento lecito.

In un simile contesto diviene quindi imprescindibile procedere all'analisi delle fonti normative del diritto di riservatezza del singolo nell'ambito della videosorveglianza e, in particolare, interpretare le previsioni del Provvedimento generale emanato dal Garante della Privacy in data 8 aprile 2010, alla luce del Regolamento europeo n. 679/2016/UE (di seguito denominato anche solo "GDPR"), entrato in vigore il 26 maggio 2018, del Parere n. 2/2017 rilasciato in data 8 giugno 2017 dal Comitato Europeo per la protezione dei dati (cd. European Data Protection Board o EDPB) in tema di trattamento dei dati dei lavoratori nei luoghi di lavoro, della recente circolare dell'Ispettorato Nazionale del Lavoro n. 5 del 19 febbraio 2018 e infine delle Linee Guida 3/2019 su trattamento di dati personali attraverso Videosorveglianza adottato dall'EDPB.

2. Linee Guida 3/2019 su trattamento di dati personali attraverso Videosorveglianza adottate dall'EDPB

In primo luogo si segnala che le Linee Guida 3/2019 sanciscono che il GDPR non si applichi in caso di videoriprese relative a soggetti non identificabili, né direttamente né indirettamente. Per l'effetto, è naturale che le tutele del citato Regolamento europeo non si applichino nel caso in cui vengano installate telecamere finte o non connesse ad alcun sistema o a impianti cd. Park Assist, volti a svolgere unicamente la funzione di lettura delle targhe apposte sulle autovetture in ingresso ed uscita.

In secondo luogo, viene sancito dal noto Comitato che il GDPR non si applichi nemmeno al caso in cui le videocamere riprendano esclusivamente attività domestiche e luoghi privati.

Il Comitato precisa come, in ogni caso, sia obbligatorio dimostrare la necessità dell'installazione di un impianto di videosorveglianza prima di procedervi, ossia che tale misura si rappresenti come l'unica soluzione per tutelare la finalità perseguita laddove tutti gli altri presidi siano falliti.

2.1 Gli adempimenti generici

Dall'analisi complessiva della normativa suesposta emerge, in primo luogo, il dovere, sancito dal Provvedimento generale del Garante della Privacy datato 8 aprile 2010 in capo a chiunque intenda attivare qualsivoglia sistema di videosorveglianza, di effettuare riprese:

- lecite (e quindi non vietate dalla legge);

- necessarie (indispensabili per raggiungere le finalità perseguite);

- proporzionate (ossia che non implichino un trattamento dei dati eccessivo rispetto al raggiungimento dello scopo perseguito);

- chiare nei fini perseguiti (espressamente definite e non fraintendibili);.

In ossequio a quanto prescritto dall'art. 5, par. 2 del GDPR (cd. principio di accountability), qualora il titolare del trattamento (ossia il soggetto, pubblico o privato, che tratta dati personali mediante gli installati sistemi di videosorveglianza) non rispetti tali precauzioni nella scelta dei presidi messi in campo, quest'ultimo è tenuto a rispondere dell'eventuale indebita violazione della riservatezza dell'individuo ripreso.

In alcune ipotesi, peraltro, sarà altresì necessario che il soggetto che intenda installare un sistema di videosorveglianza si preoccupi di effettuare una valutazione d'impatto, ai sensi dell'art. 35 del GDPR2, al fine di verificare se il connesso trattamento dei dati non incida in modo ingiustificato ed eccessivo sui diritti e sulle libertà degli individui ripresi.

Inoltre, vige l'obbligo in capo al titolare del trattamento di informare i soggetti che potrebbero essere ripresi dell'imminente ingresso in una zona videosorvegliata, e ciò predisponendo:

- un'informativa cd. minima (il cartello "Area videosorvegliata"), ossia un modello semplificato della policy estesa che la richiami e, collocata prima del raggio di azione della telecamera - anche nelle immediate vicinanze della stessa -, indichi i dati identificativi del titolare del trattamento, la finalità perseguita da quest'ultimo (ad esempio, la sicurezza del patrimonio aziendale) e contenga un simbolo o una stilizzazione di esplicita e immediata comprensione per il soggetto interessato dal trattamento. Tuttavia l'EDPB, con linee guida n. 3/2019, ha precisato che Il cartello dovrebbe contenere anche tutte le informazioni che potrebbero impressionare l'interessato, quali la trasmissione di dati a terzi, soprattutto se Extra UE, o il relativo periodo di conservazione: in assenza di tale ultima informazione, l'interessato potrebbe ad esempio presumere di essere sottoposto ad un mero monitoraggio in tempo reale (senza alcuna registrazione o trasmissione di dati).

Tale segnaletica deve inoltre essere posizionata a distanza ragionevole dai luoghi monitorati e in modo che, anche in considerazione del formato prescelto, ne consenta la visione in ogni condizione di illuminazione ambientale, e quindi anche in orario notturno, permettendo all'interessato di poter facilmente riconoscere la presenza del sistema di videosorveglianza prima di entrare nell'area monitorata. In ogni caso non è necessario specificare l'ubicazione precisa della telecamera, dovendo l'interessato unicamente essere messo nelle condizioni di intuire quale sia l'area interessata dalla rilevazione.

È infine consigliabile che le informazioni di primo livello (la segnaletica resa in forma minima) facciano riferimento alle informazioni di secondo livello (informativa estesa, il cui contenuto verrà successivamente trattato) mediante una fonte digitale (es. QR-Code o indirizzo di un sito web);

- un'informativa estesa, redatta ai sensi dell'art. 13 del GDPR, la quale dovrà essere immediatamente esibita, su richiesta dell'interessato, e in ogni caso resa disponibile in un luogo facilmente accessibile all'interessato, nella quale verranno indicati:

i) i dati identificativi del titolare del trattamento;

ii) le finalità che si intendano perseguire mediante il trattamento (quali, a titolo esemplificativo, la protezione del patrimonio aziendale, dell'incolumità degli individui, l'acquisizione di prove di un illecito et similia);

iii) la base giuridica su cui si fondi il trattamento, ossia l'interesse legittimo;

iv) il novero dei soggetti che possano essere eventualmente interessati dalle riprese;

v) il periodo di conservazione dei dati (rectius delle immagini) acquisiti;

vi) l'eventuale possibilità che i dati trattati vengano trasferiti verso paesi terzi non facenti parte dell'Unione Europea od organizzazioni internazionali;

vii) esplicitare i diritti dell'interessato nell'ambito del trattamento3;

viii) specificare, ai sensi dell'art. 22 del GDPR, quali siano le modalità del trattamento (se manuali o mediante processi decisionali automatizzati);

ix) precisare infine se la comunicazione di dati personali sia obbligo imposto dalla legge o ex contractu, contestualmente rendendo edotto l'interessato di quali siano le conseguenze nel caso di diniego opposto alla loro comunicazione.

L'attenzione serbata nell'ambito della fase preparatoria alla messa in funzione del sistema di videosorveglianza deve essere parimenti impiegata anche una volta venga messo in funzione l'impianto, assicurandosi che i dati personali conseguentemente raccolti vengano protetti mediante adeguate misure di sicurezza, nel rispetto dell'art. 32 del GDPR5.

Al fine di proteggere in maniera efficace i dati trattati, alle tutele tecniche appositamente apprestate nell'ambito del sistema di videosorveglianza se ne accompagnano altre, basilari e di carattere generale, dirette a permettere alle prime di spiegare appieno la propria efficacia (tra le quali si ricordano, a titolo esemplificativo, l'obbligo di proteggere con username e password, incedibili ad altri utenti, gli accessi alle postazioni dei personal computer di ogni singolo operatore del sistema di videosorveglianza, l'obbligo in capo ad ogni utente di disconnettere il proprio terminale ogni volta si abbandoni la propria postazione di lavoro, l'obbligo di secretare gli archivi elettronici mediante tecniche di crittografia e/o pseudonimizzazione et similia).

In particolare, il titolare del trattamento dovrà verificare l'attività svolta da parte di chi prenda visione e acceda alle immagini acquisite, soggetti che, di conseguenza, dovranno essere muniti di credenziali di autenticazione che permettano a costoro di effettuare, a seconda dei compiti attribuiti ad ognuno, unicamente le operazioni di propria competenza. In particolare, devono essere predisposte e osservate particolari cautele nell'ipotesi in cui si proceda all'esecuzione degli interventi di manutenzione sugli installati impianti, nell'ambito dei quali potranno intervenire unicamente tecnici adeguatamente formati, anche con riguardo alla normativa a tutela dei dati personali, e debitamente vincolati alla riservatezza con riguardo ad ogni informazione con la quale, nell'ambito di tale attività, possano venire in contatto.

Dovrà altresì essere fissato un periodo massimo di conservazione delle immagini che non superi quello previsto dalla legge (e stabilito in 24 ore, salva la possibilità, in casi di particolare esigenza - i quali devono essere adeguatamente giustificati -, di conservarle fino a 72 ore e, al più, fino a 7 giorni6), al termine del quale sarà necessario si attivino le misure tecniche od organizzative per la relativa cancellazione.

Il titolare del trattamento dovrà anche predisporre le misure più opportune al fine di informare l'interessato di un eventuale - e mai auspicato - avvenuto data breach (entro e non oltre le 72 ore successive alla sua conoscenza) e rimuoverne nella maniera più efficace le conseguenze pregiudizievoli, adoperandosi al fine di ripristinare lo status quo ante, per quanto in sua facoltà, nel minor tempo possibile.

Infine, si ricorda che, qualora si provveda ad installare un sistema di videosorveglianza, il titolare del conseguente trattamento debba inserire nel cd, registro dei trattamenti, ai sensi dell'art. 30, par. 1 del GDPR, un'apposita sezione al medesimo dedicata.

Va altresì ricordato che, ai sensi dell'art. 30 GDPR, qualsiasi soggetto che, nell'ambito del funzionamento - o dell'esecuzione dei necessari interventi di manutenzione - di un sistema di videosorveglianza, esegua un trattamento dei dati per conto del titolare del trattamento deve garantire sufficienti requisiti di expertise tecnico-professionale ed essere formalmente nominato responsabile del trattamento, ai sensi dell'art. 28 del GDPR, con i conseguenti obblighi normativamente previsti.

3. La videosorveglianza nei luoghi di lavoro - gli adempimenti specifici

La questione si complica - e non poco - qualora sia il datore di lavoro a voler installare un impianto di videosorveglianza nei luoghi di lavoro, a cagione della presenza in loco dei lavoratori dipendenti..

Ciò in quanto, in primo luogo, il Garante della Privacy, con proprio recente provvedimento8, ha sancito l'obbligo di provvedere alla succitata valutazione d'impatto ex art. 35 del GDPR con riguardo ad ogni trattamento effettuato "nell'ambito del rapporto di lavoro mediante sistemi tecnologici (anche videosorveglianza e geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell'attività dei dipendenti".

Le considerazioni testé esposte riverberano i propri effetti anche con riguardo alla disciplina dettata dalla L. n. 300 del 1970 (cd. Statuto dei lavoratori), mediante la quale, precisamente all'art. 4, il legislatore ha vietato nella maniera più assoluta il controllo a distanza dei lavoratori, cd. intenzionale.

Da tanto ne discende, pertanto, che il datore di lavoro non possa mai utilizzare un sistema di videosorveglianza per sottoporre a controllo diretto l'attività dei propri lavoratori, se non commettendo un illecito.

Non solo, ma la normativa vigente contempla, al comma secondo dell'articolo in esame, alcuni limiti anche con riguardo alla possibilità di installare nei luoghi di lavoro sistemi di videosorveglianza, preposti alla tutela delle esigenze organizzative produttive, di sicurezza sul lavoro e/o tutela del patrimonio aziendale, i quali in potenza consentano, anche solo indirettamente, di porre in essere un controllo a distanza sull'attività dei lavoratori (i cd. controlli preterintenzionali). In tutte queste ipotesi, tali impianti potranno essere installati unicamente:

- previo accordo con le rappresentanze sindacali aziendali oppure, in loro assenza, con la commissione interna;

- Nell'ipotesi in cui, invece, non sia stato raggiunto un simile accordo (o non ne sia possibile la stipula), sarà opportuno che il datore di lavoro presenti apposita istanza all'Ispettorato Nazionale del Lavoro (cd. I.N.L.), al fine di permettere a quest'ultimo di rilasciare un provvedimento autorizzativo e stabilire, ove ne ravvisi la necessità, le modalità per l'uso del sistema. Nell'ambito della descritta procedura, l'I.N.L. dovrà eseguire un giudizio di bilanciamento tra i due contrapposti interessi: la tutela del patrimonio aziendale, perseguita dal datore di lavoro, e il diritto alla riservatezza dei propri lavoratori.

In ogni caso, anche nell'ambito della realizzazione degli impianti di videosorveglianza finalizzati al soddisfacimento delle esigenze organizzative, produttive, di sicurezza sul lavoro e di tutela del patrimonio aziendale, i medesimi dovranno essere configurati in maniera tale che il potenziale controllo sull'attività produttiva del lavoratore appaia meramente accidentale, alla stregua di conseguenza non intenzionalmente perseguita.

Resta inteso che gode di una corsia autorizzativa preferenziale l'installazione dei sistemi di allarme nei luoghi di lavoro che implichino meccanismi di videosorveglianza nell'ambito dei quali le videocamere si attivino esclusivamente al momento dell'inserimento dell'impianto di antifurto. Costituisce massima di comune esperienza, infatti, che in questi casi, data l'assenza di personale dipendente all'interno dei locali controllati, un siffatto sistema non paventi alcun rischio di controllo, nemmeno indiretto, dei dipendenti9.

3.1 Le indicazioni operative dell'Ispettorato Nazionale del Lavoro in materia di videosorveglianza

Rivestono importanza cruciale, nell'ambito della videosorveglianza nei luoghi di lavoro, le indicazioni operative fornite al personale ispettivo dalla circolare dell'Ispettorato Nazionale del Lavoro n. 5 datata 19 febbraio 2018, interpretate alla luce delle linee guida 3/2019 rese dall'EDPB, le quali rappresentano, anche per il datore di lavoro interessato, prontuario in merito a ciò che sia permesso e ciò che invece sia vietato

In particolare, l'atto in esame precisa che:

- le uniche finalità che rendano legittima l'installazione del sistema di videosorveglianza implicante il cd. controllo preterintenzionale del dipendente, ai sensi dell'art. 4 dello Statuto dei lavoratori, sono individuabili nelle esigenze di:

a) organizzazione e/o produttività;

b) tutela del patrimonio aziendale;

c) sicurezza sul lavoro.

In ogni caso, qualora le videoriprese siano basate sul legittimo interesse del datore di lavoro, sarà necessario che quest'ultimo possa dimostrare sempre, in concreto, la realità e l'attualità dell'esigenza (ad esempio tramite la tenuta di un diario degli incidenti o dei danni subiti che dimostri l'effettiva sussistenza del pericolo di danno).

- l'accesso da remoto alle immagini debba essere in ogni caso debitamente autorizzato sulla base di motivi precisi e, in particolare:

a) qualora si tratti di immagini acquisite in tempo reale, può essere autorizzato unicamente nel caso in cui ricorrano ipotesi eccezionali;

b) qualora le immagini siano registrate, ogni accesso deve essere tracciato mediante la creazione di un log e, conseguentemente, deve essere conservata traccia dell'accesso mediante la tenuta di un apposito elenco, che dovrà contenere uno storico degli eventi di durata non inferiore a sei mesi;

- non sia più necessario prevedere una doppia chiave fisica o logica per l'utilizzo e l'accesso al sistema;

- le norme sulla videosorveglianza si applichino anche ai luoghi aziendali esterni con accesso occasionale;

- ancorché sia stata ottenuta l'autorizzazione dall'I.N.L., si renda necessario informare pedissequamente i lavoratori in merito all'installazione dell'impianto di videosorveglianza, alla finalità che ne ha reso necessaria l'installazione e, inoltre, dell'esatta collocazione delle videocamere presso i locali aziendali;

- non sia in ogni caso possibile sostituire alla descritta procedura autorizzativa il consenso del lavoratore all'installazione dell'impianto, ancorché espresso in forma scritta10.

In sintesi, diviene possibile installare un impianto di videosorveglianza nel luogo di lavoro solo qualora l'installazione sia:

- lecita, ossia connessa alla protezione del patrimonio aziendale, alla sicurezza del lavoro o a specifiche esigenze lavorative e non violi le suesposte prescrizioni autorizzative;

- necessaria, ossia non si possa tutelare il legittimo interesse del datore di lavoro impiegando mezzi meno invasivi per le libertà dei lavoratori;

- proporzionata, ossia non eccedente quanto necessario a proteggere l'interesse datoriale;

- chiara nella predeterminazione degli scopi.

Da tanto ne discende che sia vietata l'installazione nel luogo di lavoro di videocamere fasulle per carenza del requisito di necessità. Ciò in quanto, in una simile ipotesi, sarebbe di solare evidenza l'inutilità dell'impianto (installare telecamere non funzionanti implica, di per ciò solo, la non necessarietà del sistema di videosorveglianza).

Le suesposte considerazioni, peraltro, nell'ottica di rafforzare la tutela apprestata al lavoratore nei confronti del datore di lavoro, sono state dall'I.N.L. mutuate in larga parte dal parere dell'EDPB emanato in data 8 giugno 2017, allineando la prassi nazionale agli orientamenti europei.

3.2 L'orientamento della Suprema Corte in merito ai "controlli difensivi" del datore di lavoro

Un'annosa questione continua tutt'ora ad impegnare la giurisprudenza di legittimità: il datore di lavoro, qualora abbia il sospetto che il proprio lavoratore dipendente abbia commesso un illecito in occasione della prestazione lavorativa e paventi il timore che quest'ultimo lo reiteri, può procedere all'installazione di una o più videocamere dirette a controllarne l'operato?

La risposta a siffatta domanda è tutt'altro che univoca e, per una più compiuta e ordinata risoluzione della problematica testé esposta, occorre esaminare il contrasto giurisprudenziale conseguentemente generatosi.

In un primo momento, la Suprema Corte aveva sancito il diritto del datore di lavoro di installare un impianto di videosorveglianza qualora abbia fondato motivo di ritenere che, all'interno della propria azienda, si stiano consumando condotte illecite o se, in considerazione dell'attività esercitata, si abbia motivo di credere che, in assenza di un attento controllo, vi sia il rischio concreto si verifichi di un grave danno aziendale.

In particolare, a mente dell'orientamento in parola, il datore di lavoro, avendo riscontrato un ammanco di cassa reiterato nel tempo e nel timore della reiterazione del danno subito, "può legittimamente installare nei locali della propria azienda telecamere per esercitare un controllo a beneficio del patrimonio aziendale, messo a rischio da possibili comportamenti infedeli dei lavoratori, in quanto la legge tutela sì la riservatezza dei lavoratori ma non fa divieto dei cosiddetti controlli difensivi del patrimonio aziendale e non vieta il loro utilizzo in sede processuale"

La Cassazione, pertanto, nel caso in esame riconosceva la legittimità della condotta del datore di lavoro, ritenendo che l'installato impianto, alla luce delle finalità perseguite, non si potesse considerare alla stregua di uno strumento per controllare a distanza i dipendenti - e per ciò lesivo del diritto alla riservatezza dei lavoratori - ma, piuttosto, di un presidio in grado di smascherare l'autore di un illecito, al solo scopo di assicurare la difesa del patrimonio aziendale attraverso la documentazione di attività potenzialmente criminose.

Della questione in esame è tuttavia tornata ad occuparsi, di recente, la Suprema Corte, sezione III penale12, la quale, pronunciandosi con riguardo ad un caso analogo, ha fatto sapiente applicazione dei principi sin qui esposti ed argomentati ed ha invece ritenuto illegittima l'installazione dell'impianto di videosorveglianza.

Nel caso all'attenzione della Cassazione, in particolare, veniva confermata la sanzione comminata al datore di lavoro che aveva celato una videocamera all'interno di un condizionatore collocato nei locali aziendali, al fine di identificare l'autore del furto di alcuni documenti riservati.

Gli Ermellini hanno tuttavia ritenuto che, nonostante la commissione di un illecito da parte di taluno dei dipendenti, il datore di lavoro non potesse sottrarsi alla procedura autorizzativa facente capo all'Ispettorato Nazionale del Lavoro, o alla stipula di un accordo sindacale, e provvedere in autonomia all'installazione.

Ciò in quanto, come si legge nella motivazione della citata pronuncia, "la dignità e la riservatezza dei lavoratori rappresentano un limite invalicabile all'esercizio incondizionato di tutela del patrimonio aziendale da parte del datore di lavoro" e, pertanto, diviene possibile installare le apparecchiature di controllo solo a condizione che dalle stesse non derivi anche il controllo a distanza dell'attività dei propri dipendenti, circostanza rimessa al sindacato della competente Autorità ispettiva.

Nonostante il descritto contrasto giurisprudenziale in atto, non può revocarsi in dubbio che la tutela del patrimonio aziendale non possa diventare il pretesto per poter installare videocamere in ogni angolo.

La Suprema Corte, infatti, ha a più riprese precisato che le garanzie poste in materia di divieto di controlli a distanza dal secondo comma dell'art. 4 dello Statuto dei lavoratori siano applicabili anche ai cd. controlli difensivi, ossia quelli volti ad accertare comportamenti illeciti dei lavoratori nel caso in cui "tali comportamenti riguardino l'esatto adempimento delle obbligazioni che discendono dal rapporto di lavoro"13.

Da tanto ne discende che il datore di lavoro debba sempre rispettare i principi di determinatezza e proporzionalità del fine perseguito mediante l'installazione e, in ogni caso, debba provvedere a chiedere il rilascio dell'autorizzazione da parte dell'Ispettorato Nazionale del Lavoro o, in alternativa, a stipulare di un apposito accordo sindacale.

In altre parole, il datore che voglia dotarsi di simili impianti dovrà sempre valutare con cautela le tipologie di monitoraggio e informare le stesse al rispetto dei principi sopra ampiamente descritti, nella consapevolezza che i controlli più invasivi possano essere legittimati solo a fronte della rilevazione di specifiche anomalie (a titolo esemplificativo, nell'ipotesi in cui vengano commessi furti conclamati all'interno dei locali aziendali).

4. Considerazioni conclusive

In ragione di quanto sopra esposto e argomentato, è evidente che l'installazione di qualsivoglia sistema di videosorveglianza, soprattutto nell'ambito dei luoghi di lavoro, debba sempre essere preceduta da una valutazione d'impatto (Data Protection Impact Assestment - DPIA) ai sensi dell'art. 35 del GDPR, e il medesimo debba sempre rispettare il principio di minimizzazione del trattamento effettuato, al fine di evitare di porre in essere un trattamento ultroneo ed eccessivamente invasivo nei confronti degli interessati.

Tanto è stato precisato, peraltro, anche dall'EDPB, dapprima mediante il Parere n. 2/2017 rilasciato in data 8 giugno 2017, e da ultimo, in data 12 luglio 2019, nell'ambito delle linee guida n. 3/2019, precisando come qualsiasi titolare del trattamento effettuato mediante il sistema di videosorveglianza sia legittimato ad utilizzare tali presidi per la tutela del proprio patrimonio unicamente qualora vi sia "un legittimo interesse che non prevalga sui diritti e sulle libertà fondamentali dei soggetti ripresi". Ciò, naturalmente, nel rispetto della procedura autorizzativa facente capo all'I.N.L. o previa stipula di un accordo con le rappresentanze sindacali aziendali, ove presenti.

Avv. Nicolò Tognon