Ordinanza ingiunzione o revoca n. 620 del 03/09/2026

Sanzione all’INRIM per l’attivazione di un impianto di videosorveglianza sul luogo di lavoro

Il provvedimento n. 620 del 3 settembre 2026 riguarda il trattamento di immagini dei lavoratori e di altre persone presenti presso la sede torinese dell’Istituto Nazionale di Ricerca Metrologica (INRIM). Il procedimento è stato avviato a seguito di due reclami connessi e si è concluso con l’accertamento dell’illiceità del trattamento e una sanzione amministrativa di 10.000 euro.

Fatti e procedimento

Il 16 maggio 2025 l’INRIM aveva stipulato con le rappresentanze sindacali un accordo ai sensi dell’art. 4 della legge 20 maggio 1970, n. 300, per un impianto di videosorveglianza perimetrale finalizzato alla tutela del patrimonio aziendale. L’accordo prevedeva riprese dei muri e delle recinzioni, secondo una planimetria condivisa, e indicava un massimo di 72 ore per la conservazione delle immagini registrate.

L’installazione, iniziata il 19 maggio e terminata il 30 ottobre 2025, ha riguardato 18 telecamere anziché le 10 indicate nella planimetria, con modifiche alla collocazione e alle aree di ripresa. L’impianto è stato attivato in modalità test il 31 ottobre 2025; dal 3 al 5 novembre è stato riattivato per alcune ore al giorno per tarature e verifiche. Secondo l’Istituto, in tali occasioni era attiva la sola visualizzazione, senza registrazione. Dal 6 novembre il sistema è stato inoltre attivato, per il collaudo, durante le ore notturne e nei giorni di chiusura, con registrazione subordinata all’attivazione dell’allarme. La fase di collaudo e il confronto con le rappresentanze sindacali non risultavano conclusi.

L’Istituto ha sostenuto che l’impianto non fosse ancora entrato in esercizio e che le attività fossero limitate a test tecnici, senza finalità di controllo dei lavoratori o disciplinari. Ha inoltre riferito che l’incontro con le rappresentanze sindacali si è tenuto il 12 giugno 2026 e che le parti avevano convenuto di acquisire ulteriori elementi tecnici prima di una successiva verifica congiunta. Il Garante ha ritenuto tali circostanze non idonee a superare le violazioni contestate.

Liceità e disciplina dei controlli a distanza

Il Garante ha ribadito che la videosorveglianza nei luoghi di lavoro, quando può riprendere i dipendenti, deve rispettare il quadro previsto dagli artt. 6, par. 1, lett. c), e 88 GDPR e dalle norme nazionali di garanzia. In particolare, l’art. 4 della legge n. 300/1970 consente l’installazione di impianti dai quali derivi la possibilità di controllo a distanza solo per esigenze organizzative e produttive, sicurezza del lavoro o tutela del patrimonio aziendale, previo accordo collettivo oppure, in mancanza, autorizzazione dell’Ispettorato nazionale del lavoro. Il rispetto di tale disciplina costituisce condizione di liceità del trattamento, in relazione anche agli artt. 2-ter e 114 del Codice privacy.

L’accordo sindacale autorizzava un impianto perimetrale e prevedeva che gli interventi tecnici non sostanziali non modificassero le zone di ripresa definite. L’incremento da 10 a 18 telecamere e la modifica della loro collocazione e delle aree riprese hanno invece determinato una configurazione difforme da quella concordata. Il successivo avvio del sistema nei giorni lavorativi non è stato reso lecito dalla finalità di test: anche la mera visualizzazione in tempo reale, senza registrazione, costituisce trattamento di dati personali.

Il Garante ha quindi accertato una violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) e parr. 2 e 3, e 88, par. 1, GDPR, nonché degli artt. 2-ter e 114 del Codice, in relazione all’art. 4 della legge n. 300/1970.

Non è stato invece accolto il rilievo sulla collocazione dei monitor. L’Istituto aveva dichiarato, sotto la propria responsabilità anche ai sensi dell’art. 168 del Codice, che i monitor erano nella portineria, accessibile al personale addetto alla portineria o alla vigilanza; aveva inoltre previsto di oscurare alcune vetrate prima dell’entrata in esercizio ordinario, per impedire la visione da parte di persone non autorizzate.

Trasparenza e informative

Ai sensi degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR, il titolare deve fornire agli interessati le informazioni sul trattamento in forma chiara, comprensibile e facilmente accessibile, prima che il trattamento abbia inizio. L’INRIM non aveva informato preventivamente i lavoratori, in attesa della definizione degli aspetti tecnico-funzionali, ma aveva comunque attivato l’impianto in giornate di apertura degli uffici. Il Garante ha precisato che la finalità di test non esonera dall’obbligo di informativa preventiva.

Per gli altri interessati, la segnaletica di primo livello è stata affissa soltanto il 17 novembre 2025, dopo le attivazioni del 31 ottobre e del 3-5 novembre. Inoltre, al momento del provvedimento non era stata resa disponibile un’informativa di secondo livello. Il cartello risultava comunque carente perché:

• riportava solo l’acronimo “INRIM”, senza recapiti o dati di contatto del titolare;
• indicava la finalità generica di “sicurezza”, anziché la tutela del patrimonio aziendale;
• non menzionava i diritti degli interessati né i tempi di conservazione;
• non chiariva che il QR Code consentiva di accedere all’informativa completa di secondo livello.

Il Garante ha richiamato le Linee guida EDPB 3/2019 sul trattamento dei dati personali attraverso dispositivi video, in particolare i paragrafi 7 e 114-115, il Provvedimento generale del Garante dell’8 aprile 2010 e la FAQ n. 4 in materia di videosorveglianza. Ha concluso che l’INRIM ha violato gli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Valutazione d’impatto sulla protezione dei dati

Il Garante ha ritenuto obbligatoria una valutazione d’impatto preventiva ai sensi dell’art. 35 GDPR, in ragione dei rischi specifici per i diritti e le libertà dei lavoratori. Sono stati considerati sia la particolare vulnerabilità degli interessati nel rapporto di lavoro, richiamata dal considerando 75 e dall’art. 88 GDPR, sia il carattere di monitoraggio sistematico del trattamento. Sono stati inoltre richiamati i criteri delle Linee guida WP 248 del 4 aprile 2017, tra cui il monitoraggio sistematico e il trattamento di dati relativi a soggetti vulnerabili, nonché il provvedimento del Garante n. 467 dell’11 ottobre 2018.

Poiché l’INRIM aveva rinviato la valutazione d’impatto a una fase successiva, ma aveva già attivato l’impianto, il Garante ha accertato la violazione dell’art. 35 GDPR.

Sanzione, criteri di quantificazione e misure disposte

Le violazioni, riferite a un’unica condotta o a trattamenti collegati, sono state valutate ai sensi dell’art. 83, par. 3, GDPR. Per le violazioni più gravi, riconducibili all’art. 83, par. 5, il limite massimo applicabile era di 20 milioni di euro. La sanzione è stata determinata considerando gli elementi dell’art. 83, par. 2, GDPR e le Linee guida EDPB 4/2022 del 24 maggio 2023:

• il trattamento è avvenuto per test, per alcune ore in quattro giornate lavorative, e senza piena conformità all’accordo sindacale;
• la violazione è stata ritenuta colposa e non ha riguardato categorie particolari di dati ai sensi dell’art. 9 GDPR;
• il livello di gravità è stato considerato basso;
• l’INRIM ha cooperato con l’Autorità e non risultavano precedenti violazioni pertinenti.

Tenuto conto anche della natura dell’INRIM, ente pubblico di ricerca di rilevanza nazionale ma operante su base locale e senza servizi direttamente rivolti all’utenza, il Garante ha irrogato una sanzione di 10.000 euro, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR. Poiché gli effetti della condotta si erano esauriti, dato che l’attivazione durante l’apertura degli uffici era avvenuta soltanto nelle quattro giornate indicate, non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul proprio sito internet, ai sensi dell’art. 166, comma 7, e dell’art. 154-bis, comma 3, del Codice e degli artt. 16, comma 1, e 37 del Regolamento del Garante n. 1/2019. Ha inoltre disposto l’annotazione delle violazioni nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR e dall’art. 17 del Regolamento n. 1/2019.

Pagamento e impugnazione

L’INRIM deve pagare 10.000 euro entro 30 giorni dalla notificazione, salvo definire la controversia pagando entro 30 giorni un importo pari alla metà della sanzione, ai sensi dell’art. 166, comma 8, del Codice. In caso di mancato pagamento, sono previsti gli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Il provvedimento può essere impugnato davanti all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, oppure entro 60 giorni per chi risiede all’estero, ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.