Il tema dell’informativa videosorveglianza obbligatoria è tornato al centro dell’attenzione con il recente provvedimento del Garante per la protezione dei dati personali n. 167 del 12 marzo 2026. L’Autorità ha ribadito un principio fondamentale del Regolamento (UE) 2016/679: l’utilizzo di sistemi di videosorveglianza comporta sempre un trattamento di dati personali e, in assenza di un’idonea informativa, tale trattamento deve considerarsi illecito. La questione assume una rilevanza ancora maggiore quando la videosorveglianza riguarda luoghi aperti al pubblico o comporta, anche indirettamente, un controllo a distanza dei lavoratori. Per imprese, esercizi commerciali ed enti, il rispetto degli obblighi informativi non è quindi un mero adempimento formale, ma una condizione essenziale di legittimità del trattamento.

Videosorveglianza e trattamento dei dati personali secondo il GDPR
Il Regolamento (UE) 679/2016 qualifica come dato personale qualsiasi informazione che consenta l’identificazione, anche indiretta, di una persona fisica. Le immagini raccolte da un sistema di videosorveglianza rientrano pienamente in questa definizione, come chiarito in modo costante dal Garante e dal Comitato europeo per la protezione dei dati. Ne deriva che l’installazione e l’utilizzo di telecamere attivano tutti gli obblighi previsti dal GDPR, a partire dai principi di liceità, correttezza e trasparenza di cui all’articolo 5. In questo quadro, l’informativa rappresenta lo strumento principale attraverso cui l’interessato viene messo in condizione di conoscere l’esistenza del trattamento e le sue caratteristiche essenziali.

Il principio di trasparenza e l’obbligo di informativa
L’obbligo di fornire un’informativa chiara e comprensibile discende direttamente dagli articoli 12 e 13 del GDPR. Il principio di trasparenza impone al titolare del trattamento di rendere l’interessato consapevole del fatto che è in corso una raccolta di immagini, delle finalità perseguite e dei diritti esercitabili. Il Garante ha più volte sottolineato che, in materia di videosorveglianza, l’informativa non può essere surrogata da presunzioni o comportamenti concludenti. Anche se la presenza delle telecamere è percepibile, l’assenza di un cartello informativo rende il trattamento illecito, come confermato da numerosi provvedimenti sanzionatori adottati negli ultimi anni.

Il provvedimento del Garante n. 167/2026 e i profili di illiceità
Nel provvedimento del marzo 2026, l’Autorità ha accertato diverse violazioni, tra cui la mancanza dell’informativa, l’assenza di un’autorizzazione dell’Ispettorato territoriale del lavoro e la carenza di credenziali di accesso per gli addetti autorizzati. Il Garante ha tuttavia concentrato l’attenzione soprattutto sulla violazione del principio di trasparenza, ritenuta particolarmente grave poiché la videosorveglianza era attiva in un pubblico esercizio, quindi in ambienti frequentati quotidianamente da clienti e visitatori. La successiva regolarizzazione dell’autorizzazione ai sensi dell’articolo 4 dello Statuto dei lavoratori non ha infatti sanato l’illecito originario derivante dalla mancata informazione degli interessati.

Videosorveglianza nei luoghi di lavoro e Statuto dei lavoratori
Quando le telecamere sono installate in contesti lavorativi, la disciplina diventa ancora più stringente. L’articolo 4 della legge n. 300 del 1970, come modificato dal Jobs Act, consente l’uso di strumenti di controllo a distanza solo in presenza di specifiche garanzie, tra cui l’accordo sindacale o l’autorizzazione dell’Ispettorato del lavoro. Tuttavia, anche in presenza di tali presupposti, l’informativa videosorveglianza obbligatoria resta imprescindibile. La giurisprudenza di merito e la prassi del Garante hanno chiarito che l’autorizzazione lavoristica e l’informativa privacy operano su piani distinti e complementari, entrambi necessari per la liceità del trattamento.

Il sistema a due livelli dell’informativa
Le linee guida 3/2019 del Comitato europeo per la protezione dei dati, recepite dal Garante, hanno definito un modello di informativa articolato su due livelli. Il primo livello consiste in cartelli di avvertimento ben visibili, collocati prima dell’area ripresa e ad altezza d’uomo, che devono indicare le informazioni essenziali, come le finalità del trattamento, l’identità del titolare e il richiamo ai diritti dell’interessato. Il secondo livello contiene le informazioni più dettagliate previste dall’articolo 13 del GDPR e deve essere facilmente accessibile, ad esempio tramite un documento disponibile presso la reception, un link web o un codice QR. L’assenza di uno dei due livelli compromette la validità complessiva dell’informativa.

Sanzioni e conseguenze in caso di informativa assente o inadeguata
La mancata predisposizione dell’informativa espone il titolare del trattamento a sanzioni amministrative significative, ai sensi dell’articolo 83 del GDPR. Il Garante, anche negli anni precedenti al 2026, ha più volte irrogato sanzioni a esercizi commerciali, condomìni e imprese per violazioni analoghe, valorizzando la diffusività del trattamento e il numero potenziale di interessati coinvolti. Oltre all’impatto economico, non va sottovalutato il rischio reputazionale e la possibile inutilizzabilità delle immagini raccolte, ad esempio in sede disciplinare o giudiziaria, per effetto dell’illiceità del trattamento.

Adeguare la videosorveglianza: un’esigenza organizzativa e strategica
Adeguare i sistemi di videosorveglianza agli obblighi del GDPR non significa soltanto installare cartelli informativi, ma richiede una valutazione complessiva del trattamento. È necessario verificare la base giuridica, le finalità, i tempi di conservazione delle immagini, le misure di sicurezza e le autorizzazioni interne. Un approccio strutturato consente di prevenire contestazioni e di dimostrare, in caso di controlli, l’adozione di misure adeguate ai sensi del principio di accountability.