Una telecamera all’ingresso può chiarire un accesso non autorizzato, tutelare il personale e proteggere beni aziendali. Ma può anche trasformarsi in una fonte di rischio se registra più del necessario, conserva immagini senza criterio o viene usata per controllare l’attività dei dipendenti. La videosorveglianza e privacy aziendale non sono quindi due esigenze contrapposte: una corretta progettazione permette di proteggere l’impresa rispettando persone, norme e rapporti di lavoro.

Per una PMI, il punto non è semplicemente installare telecamere. Occorre definire perché servono, dove devono essere collocate, chi può vedere le immagini e per quanto tempo possono essere conservate. Sono decisioni organizzative, tecniche e giuridiche che incidono direttamente sulla sicurezza, sulla continuità operativa e sull’esposizione a contestazioni o sanzioni.

Videosorveglianza e privacy aziendale: da dove partire

Il primo criterio è la proporzionalità. Un impianto deve rispondere a una finalità legittima e concreta: prevenire furti, intrusioni, danneggiamenti, aggressioni, accessi indebiti ad aree riservate oppure tutelare il patrimonio aziendale. La telecamera non deve essere installata perché “può tornare utile”, ma perché esiste un rischio reale da presidiare.

Questa valutazione cambia da impresa a impresa. Un magazzino con merci di valore, un laboratorio con accessi regolamentati o un’attività aperta al pubblico hanno esigenze differenti da un ufficio amministrativo. Anche la configurazione deve seguire il rischio: riprendere un varco, una zona di carico o una cassa può essere giustificato; inquadrare in modo continuativo una postazione di lavoro, invece, richiede estrema cautela e nella maggior parte dei casi non è una scelta adeguata.

Le riprese non devono interessare luoghi nei quali le persone hanno una ragionevole aspettativa di riservatezza, come bagni, spogliatoi, aree di pausa e locali analoghi. Vanno inoltre ridotte al minimo le riprese di spazi pubblici, proprietà confinanti e aree non pertinenti alla finalità dichiarata. Spesso bastano un’inquadratura più stretta, una diversa altezza di montaggio o strumenti di mascheramento digitale per evitare dati superflui.

Il rapporto con dipendenti e controllo a distanza

Quando le telecamere possono anche solo potenzialmente consentire il controllo a distanza dell’attività lavorativa, entra in gioco l’articolo 4 dello Statuto dei Lavoratori. La tutela del patrimonio aziendale e delle persone può giustificare l’impianto, ma non autorizza un monitoraggio indiscriminato delle prestazioni individuali.

In presenza di lavoratori, l’installazione richiede normalmente un accordo con le rappresentanze sindacali aziendali o, in mancanza, con le rappresentanze sindacali territoriali. Se l’accordo non viene raggiunto o non è applicabile, occorre richiedere l’autorizzazione all’Ispettorato Nazionale del Lavoro. Questo passaggio va affrontato prima dell’attivazione dell’impianto, non dopo l’installazione.

L’accordo o l’autorizzazione non sostituiscono gli obblighi previsti dalla normativa privacy. L’azienda deve comunque fornire ai lavoratori un’informativa chiara, definire le modalità di accesso alle immagini e adottare misure di sicurezza appropriate. Deve inoltre evitare che la videosorveglianza diventi uno strumento di controllo ordinario su puntualità, ritmo di lavoro, permanenza alla scrivania o singoli comportamenti.

È utile distinguere tra tutela e sorveglianza. Un sistema che registra l’accesso a un deposito fuori orario può essere proporzionato. Una telecamera puntata costantemente su un operatore, senza una ragione specifica e documentata, espone invece l’impresa a un rischio elevato. La differenza sta nella finalità effettiva, nell’angolo di ripresa e nelle regole di utilizzo, non solo nel nome assegnato al sistema.

Informativa, cartelli e trasparenza reale

Chi entra in un’area videosorvegliata deve essere avvisato prima di essere ripreso. Il cartello è il primo livello dell’informativa: deve essere ben visibile, comprensibile e collocato in prossimità degli accessi alle zone interessate. Non è un dettaglio formale. È ciò che consente a dipendenti, clienti, fornitori e visitatori di sapere che stanno entrando in un’area sottoposta a ripresa.

Il cartello, tuttavia, non basta. L’impresa deve rendere disponibile un’informativa completa ai sensi del GDPR, contenente almeno identità e contatti del titolare del trattamento, finalità, base giuridica, tempi di conservazione, categorie di destinatari, modalità per esercitare i diritti e, se prevista, l’eventuale presenza di trasferimenti di dati fuori dallo Spazio economico europeo.

La trasparenza non significa appesantire l’ingresso con documenti complessi. Significa organizzare informazioni accessibili: cartello sintetico sul posto e informativa estesa disponibile in reception, nei regolamenti interni o attraverso un canale indicato chiaramente. Per i dipendenti, l’informativa va integrata nella documentazione aziendale e coerente con quanto previsto dall’accordo sindacale o dall’autorizzazione.

Conservazione delle immagini: meno è spesso meglio

Uno degli errori più frequenti riguarda la durata di conservazione. Conservare le registrazioni “nel caso possano servire” per settimane o mesi non è una prassi prudente: è un trattamento più invasivo che deve essere giustificato. In via generale, il periodo dovrebbe essere limitato a 24 ore, con eventuali estensioni motivate da esigenze specifiche, come chiusure aziendali, tempi tecnici di verifica, particolari rischi o richieste delle autorità.

Non esiste una durata standard valida per qualsiasi organizzazione. Un’impresa che riceve merci solo in alcuni giorni o che opera durante festività e fine settimana può avere motivazioni differenti rispetto a un ufficio aperto dal lunedì al venerdì. Ciò che conta è documentare il ragionamento, fissare un tempo coerente e verificare che la cancellazione automatica funzioni davvero.

Le immagini non devono restare disponibili a un numero indefinito di persone. L’accesso va limitato a soggetti specificamente autorizzati e istruiti, ad esempio responsabili aziendali, addetti alla sicurezza o personale incaricato di gestire incidenti. Ogni accesso dovrebbe essere tracciabile, soprattutto se il sistema consente la consultazione remota da smartphone o computer esterni.

La sicurezza tecnica è parte della conformità

Una telecamera connessa alla rete è un dispositivo IT a tutti gli effetti. Se viene installata con password predefinite, firmware non aggiornato o accesso remoto esposto, può diventare una porta d’ingresso per attacchi informatici. In quel caso, l’impianto progettato per aumentare la sicurezza finisce per indebolire l’intera infrastruttura aziendale.

La protezione deve partire dall’architettura: rete dedicata o segmentata per telecamere e videoregistratori, credenziali individuali e non condivise, autenticazione a più fattori per l’accesso remoto, aggiornamenti programmati e copie di sicurezza adeguatamente protette. Sono altrettanto rilevanti la cifratura delle comunicazioni, la disattivazione dei servizi non necessari e il controllo dei log di accesso.

Particolare attenzione serve quando le immagini sono archiviate nel cloud o quando l’installatore può accedere da remoto per assistenza. In questi casi bisogna chiarire ruoli e responsabilità: il fornitore che tratta le immagini per conto dell’azienda deve essere nominato responsabile del trattamento con un accordo scritto conforme all’articolo 28 del GDPR. Il contratto deve disciplinare istruzioni, misure di sicurezza, assistenza in caso di violazione dei dati e gestione di eventuali subfornitori.

Anche la scelta del produttore conta. Un sistema economico senza aggiornamenti, supporto tecnico e documentazione affidabile può avere un costo iniziale ridotto, ma generare problemi ben più onerosi nel tempo. Per una PMI, valutare l’impianto insieme alla rete, alle policy di accesso e alla manutenzione è più efficace che acquistare dispositivi isolati.

Quando serve una valutazione d’impatto

Non tutte le installazioni richiedono automaticamente una valutazione d’impatto sulla protezione dei dati, nota come DPIA. Diventa però necessaria quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone, ad esempio in caso di monitoraggio sistematico su larga scala, uso di tecnologie particolarmente invasive, aree accessibili al pubblico sottoposte a controllo esteso o combinazione delle immagini con altri dati.

Anche quando la DPIA non è obbligatoria, una valutazione preventiva resta una buona pratica. Aiuta a verificare se la finalità è chiara, se esistono alternative meno invasive, se le telecamere sono orientate correttamente e se le misure tecniche sono sufficienti. È un metodo concreto per correggere gli errori prima che diventino un incidente, una contestazione sindacale o un problema con il Garante.

Un progetto che regge nel tempo

La conformità non termina con l’affissione del cartello o con il collaudo dell’impianto. Cambiano gli ambienti, le mansioni, i fornitori, la rete e le minacce informatiche. Per questo è utile riesaminare periodicamente finalità, inquadrature, autorizzazioni, tempi di conservazione, utenti abilitati e aggiornamenti dei dispositivi.

Un progetto di videosorveglianza ben gestito protegge l’azienda senza creare un clima di controllo permanente e senza lasciare punti deboli nella rete. Quando tecnologia, regole del lavoro, privacy e cybersecurity vengono affrontate insieme, la telecamera torna a fare ciò per cui è stata installata: offrire una tutela concreta a persone, beni e continuità produttiva.