Attività ispettiva e sanzionatoria.

L’attività ispettiva condotta nell’ambito della videosorveglianza nel biennio 2021-2022 da parte dell’Autorità Garante per la protezione dei dati personali ha registrato un rilevante numero di non conformità, specie con riferimento ai sistemi di controllo installati nei luoghi di lavoro.

I controlli, effettuati anche a mezzo del Nucleo Speciale Tutela Privacy e Frodi Tecnologiche (NSTPFT), Reparto Speciale della Guardia di Finanzia, hanno messo in luce, tra gli altri, omissioni e carenze informative nei confronti degli interessati (in violazione del principio di trasparenza sancito dall’art. 5 del Regolamento UE 2016/679) nonché, in taluni casi, l’utilizzo dei sistemi di videosorveglianza per effettuare un controllo a distanza dei lavoratori (in violazione del divieto sancito dall’art. 4 della Legge n. 300/1970).

Non solo. L’attività ispettiva e sanzionatoria dell’Autorità ha evidenziato come la stessa non sia rivolta esclusivamente alle grandi aziende, bensì anche alle piccole e medie imprese, anch’esse destinatarie delle citate normative.

Adempimenti richiesti dallo Statuto dei Lavoratori.

Come noto, ai sensi del combinato disposto dell’art. 114 del D.Lgs. n. 196/2003 (Codice Privacy) e dell’art. 4 della Legge n. 300/1970 (Statuto dei Lavoratori – come modificato dal D.Lgs. n. 151/2015), le aziende che intendano installare nei luoghi di lavoro un impianto di videosorveglianza o altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori  devono procedere, in via alternativa a:

• stipulare un accordo con le rappresentanze sindacali unitarie o aziendali (RSU o RSA) ovvero, nel caso di imprese plurilocalizzate (con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni), con le organizzazioni sindacali comparativamente più rappresentative sul piano nazionale;
• ottenere una apposita autorizzazione per l’installazione e l’utilizzo dell’impianto, rilasciata dalla sede dell’Ispettorato Nazionale del Lavoro (INL) competente per territorio oppure, in caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell’INL.

Condizioni per il rilascio dell’autorizzazione / stipula dell’accordo.

Gli impianti audiovisivi (e gli altri strumenti dai quali derivi anche solo la possibilità di controllo a distanza dell’attività dei lavoratori) possono essere impiegati esclusivamente in presenza di specifiche ragioni giustificatrici, da indicarsi nel verbale di accordo sindacale o nella richiesta di autorizzazione all’INL:

• esigenze organizzative e produttive;
• sicurezza del lavoro;
• tutela del patrimonio aziendale.

Adempimenti richiesti dalla normativa privacy.

Il titolare dell’impianto, inoltre, in qualità di Titolare del trattamento dei dati raccolti tramite lo stesso, è tenuto al rispetto degli obblighi previsti dal GDPR (Regolamento UE 2016/679), nonché dagli eventuali provvedimenti/linee guida emessi in materia dalle Autorità competenti.

Tra questi adempimenti, ad esempio, vi è l’obbligo di fornire agli interessati un’apposita informativa ai sensi dell’art. 13 GDPR. L’informativa estesa dev’essere facilmente accessibile agli interessati, dunque essere posizionata o affissa presso uno snodo centrale, quale ad esempio la reception.

Poiché le persone devono essere informate della presenza delle telecamere prima di accedere alle aree videosorvegliate (esterne o interne), in prossimità di queste ultime deve essere altresì affissa un’informativa semplificata (ad es. mediante apposita cartellonistica).

Qualora il sistema di videosorveglianza preveda la possibilità di visionare le immagini da remoto da parte del fornitore dell’impianto o di società di videosorveglianza, tale soggetto deve essere nominato Responsabile esterno, ai sensi dell’art. 28 GDPR.

Se l’accesso alle immagini è possibile anche da parte di personale interno all’azienda, è inoltre necessario formalizzare nei confronti di tali soggetti la nomina ad autorizzato al trattamento,ai sensi dell’art. 29 GDPR.

L’autorizzazione alla visione delle immagini deve stabilire i termini e le modalità di accesso ai dati.

Tra gli altri adempimenti, si evidenzia che qualora il trattamento dei dati sia fondato sul legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR), quest’ultimo dev’essere adeguatamente valutato (mediante il c.d. “LIA” – Legitimate Interest Assessment) e documentato dall’azienda.

Dovrà inoltre essere condotta una specifica valutazione dei rischi ai sensi dell’art. 35 GDPR (c.d. “DPIA” – Data protection impact assessment) laddove il trattamento effettuato mediante il sistema di videosorveglianza presenti rischi elevati per i diritti e le libertà degli interessati.

Sanzioni.

Per l’installazione non autorizzata dell’impianto di videosorveglianza (a prescindere dal suo effettivo utilizzo) sono previste sanzioni penali. In particolare, la sanzione dell’ammenda da € 154 a € 1.549 oppure dell’arresto da 15 giorni ad un anno, salvo che il fatto non costituisca più grave reato (art. 38 Statuto Lavoratori – art. 171 Codice Privacy). Nei casi più gravi le pene dell’arresto e dell’ammenda sono applicate congiuntamente. Quando per le condizioni economiche del reo, l’ammenda stabilita nel primo comma può presumersi inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo.

Il trattamento di dati personali effettuato mediante sistemi di videosorveglianza in violazione delle disposizioni di cui al Regolamento Europeo 679/2016 è soggetto, inoltre, alle sanzioni amministrative pecuniarie di cui all’art. 83 GDPR.

Contributo a cura dell’avv. Elena Carboni