Videosorveglianza sul luogo di lavoro ai sensi GDPR / RODO / DSGVO

I sette obblighi previsti dal GDPR in materia di videosorveglianza sul luogo di lavoro

1. Base giuridica. L'articolo 6(1)(f) relativo all'interesse legittimo è l'unica opzione realistica: il consenso non è valido perché i dipendenti non possono rifiutare liberamente, e l'articolo 6(1)(b) (esecuzione del contratto) è troppo restrittivo. Il test di bilanciamento dell'interesse legittimo deve essere documentato e rivisto annualmente.
2. DPIA (articolo 35). La videosorveglianza sul luogo di lavoro costituisce "un monitoraggio sistematico su larga scala" e comporta l'obbligo di effettuare una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) in ogni giurisdizione dell'UE. La DPIA documenta lo scopo, il test di proporzionalità, le alternative considerate (e le ragioni del loro rifiuto) e le misure adottate per minimizzare l'impatto.
3. Trasparenza (articoli 13-14). Prima di iniziare un incarico, ogni dipendente deve essere informato su cosa viene registrato, dove, perché, da chi, per quanto tempo e come esercitare i propri diritti. Un'informativa sulla privacy nel manuale del personale e la segnaletica perimetrale sono sufficienti a soddisfare tale requisito.
4. Ritenzione. Il periodo minimo necessario, in genere da 7 a 30 giorni. La maggior parte degli accordi sulla protezione dei dati considera 30 giorni come periodo predefinito; periodi più lunghi richiedono una giustificazione specifica.
5. Segnaletica visibile. Pittogramma + nome del titolare del trattamento + contatto + base giuridica + periodo di conservazione + contatto del responsabile della protezione dei dati (DPO). Posizionare in ogni punto di accesso e a ogni piano degli edifici multipiano.
6. Accesso ai dati personali. Ogni dipendente può richiedere una copia dei filmati in cui compare. Il termine per la risposta è di 30 giorni.
7. Minimizzazione. FOV della telecamera deve essere il più ristretto possibile, pur garantendo la sicurezza desiderata. Le telecamere puntate verso le scrivanie, verso aree di riposo dedicate o che coprono uno spazio pubblico più ampio di quanto richiesto dalla sicurezza non superano automaticamente questo test.

Componenti aggiuntivi specifici per paese

Germania (DSGVO + BDSG + BetrVG). La cogestione del consiglio di fabbrica ai sensi del BetrVG §87(1)(6) è obbligatoria per qualsiasi tecnologia di monitoraggio dei dipendenti, inclusa la videosorveglianza. Il datore di lavoro non può installare, ampliare o modificare il sistema senza il consenso del consiglio di fabbrica. Le autorità di protezione dei dati a livello statale (16 Länder) comminano regolarmente sanzioni per la mancata consultazione. Il BDSG §26 stabilisce limiti di conservazione più rigorosi rispetto GDPR generico: il limite massimo tipico è di 72 ore.

Polonia ( RODO + Kodeks pracy). L'articolo 22² del Codice del Lavoro consente l'installazione di telecamere a circuito chiuso sul luogo di lavoro, ma solo per garantire la sicurezza, proteggere la proprietà, monitorare la produzione o preservare la riservatezza. L'installazione deve essere regolamentata dal regolamento aziendale (regulamin pracy) e comunicata ai dipendenti almeno 14 giorni prima dell'attivazione. L'UODO (Ufficio per la Protezione dei Consumatori) è sempre più attivo: le sanzioni per segnaletica inadeguata e per la conservazione ingiustificata delle telecamere sono frequenti.

Francia (orientamenti CNIL + Code du travail). La consultazione del consiglio di fabbrica è obbligatoria ai sensi dell'articolo L2312-38. La CNIL ha pubblicato linee guida vincolanti che limitano la conservazione delle registrazioni a 30 giorni, salvo casi specifici. Le telecamere non devono riprendere continuamente le postazioni di lavoro dei dipendenti e devono evitare completamente le aree di pausa. Le sanzioni della CNIL per le violazioni relative alla videosorveglianza sul luogo di lavoro variano da 1.000 a oltre 600.000 euro.

Italia (Garante + Statuto dei Lavoratori articolo 4). Uno dei regimi più rigidi. L'articolo 4 dello statuto del lavoro vieta l'installazione di apparecchiature di sorveglianza per il monitoraggio diretto dei dipendenti e richiede un accordo collettivo (con il consiglio di fabbrica o, in mancanza di questo, l'autorizzazione dell'Ispettorato del lavoro regionale) prima che qualsiasi sistema che registri incidentalmente l'attività dei dipendenti possa essere installato.

Regno Unito ( GDPR del Regno Unito + Data Protection Act 2018 + Codice di condotta sulle pratiche di impiego dell'ICO). La consultazione con il consiglio di fabbrica è consigliata ma non obbligatoria. Il Codice di condotta sulle pratiche di impiego dell'ICO è considerato una linea guida autorevole e viene spesso citato dalle autorità preposte all'applicazione del Data Protection Act (DPA). Il periodo di conservazione predefinito è di 30 giorni; per periodi più lunghi è necessario un incidente documentato.

Errori comuni di conformità (e i relativi costi)

• Telecamere nei bagni, negli spogliatoi o nelle aree di sosta: multe automatiche a sei cifre in tutta l'UE.
• Conservazione a tempo indeterminato o per oltre 90 giorni senza giustificazione documentata: frequenti multe di importo basso (nell'ordine di poche decine di migliaia di euro).
• Assenza di segnaletica o segnaletica in una sola lingua nei luoghi di lavoro multilingue: costi tipici compresi tra 5.000 e 25.000 euro.
• Nessuna DPIA registrata — sempre più spesso considerata un fattore aggravante che moltiplica la sanzione di base.
• Nessuna consultazione del consiglio di fabbrica in Germania/Francia/Italia: l'intera implementazione potrebbe essere annullata retroattivamente.
• La trasmissione in diretta accessibile ai gestori senza registrazione degli accessi viola sia il principio di minimizzazione che quello di responsabilità.
• Registrazione audio senza giustificazione separata: le registrazioni audio delle conversazioni sul luogo di lavoro sono soggette a un trattamento più rigoroso rispetto ai video.

Una lista di controllo pre-implementazione che resiste

Prima di posare il primo cavo: (1) redigere una DPIA che copra scopo, proporzionalità, alternative, minimizzazione FOV, conservazione; (2) aggiornare l'informativa sulla privacy e il manuale del personale con il nuovo trattamento; (3) consultare il consiglio di fabbrica/sindacato ove applicabile e ottenere l'accordo scritto; (4) progettare la mappa FOV che mostri la copertura esatta con il test di proporzionalità annotato per telecamera; (5) produrre la segnaletica in tutte le lingue del luogo di lavoro; (6) definire le regole di conservazione e il controllo tecnico che le applica; (7) nominare il responsabile del registro degli accessi; (8) formare il team di sicurezza sul flusso di lavoro di accesso ai soggetti.

CCTVplanner produce (4) direttamente: trascina le posizioni delle telecamere sulla planimetria, blocca i coni FOV, esporta un PDF etichettato con l'annotazione del test di proporzionalità per ogni telecamera e allegalo all'appendice DPIA. Il revisore DPA legge lo stesso artefatto che hai esaminato.