Telecamere nei negozi: le regole e normative da seguire perché il telecontrollo di clienti e dipendenti sia legale

Le telecamere nei negozi sono strumenti preziosi per la sicurezza, ma il loro impiego è disciplinato da regole stringenti su privacy, trasparenza e gestione dei dati. Normative, obblighi e limiti.

Autore: Marcello Tansini
pubblicato il 30/10/2025 alle ore 13:01

L'adozione di sistemi di videosorveglianza comporta delicate implicazioni legate alla tutela della privacy, richiedendo scelte consapevoli sia in termini tecnologici sia normativi. L'attuale scenario normativo pone al centro la necessità di un corretto bilanciamento tra esigenze di sicurezza e il rispetto dei diritti delle persone, come sancito dalla normativa europea e nazionale.

Adeguare la gestione degli impianti e le relative procedure consente di trarre vantaggio dalla videosorveglianza, riducendo il rischio di contestazioni e sanzioni.

Il quadro normativo: privacy, GDPR e autorizzazioni per le telecamere nei negozi

L'impiego di dispositivi di videosorveglianza deve rispettare una complessa cornice legislativa che comprende sia normative italiane sia regolamenti europei. In concreto, il regolamento (UE) 2016/679 (GDPR) e il Codice Privacy (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018) stabiliscono le condizioni per il trattamento delle immagini e la tutela dei dati personali. Ad ogni modo, le immagini raccolte da sistemi di sorveglianza costituiscono dati personali e il loro trattamento deve aderire ai seguenti principi:

• Lecità e trasparenza: la raccolta delle registrazioni può avvenire esclusivamente per scopi determinati, come protezione degli asset o sicurezza dei lavoratori, informando sempre gli interessati.

• Minimizzazione: gli impianti devono essere limitati alle sole aree indispensabili, senza inquadrare aree pubbliche o proprietà di terzi.

• Limitazione della conservazione: la durata di archiviazione delle riprese deve essere proporzionata e adeguatamente documentata, di norma tra le 24 e le 72 ore.

• Sicurezza dei dati: è obbligatorio adottare misure tecniche e organizzative che prevengano accessi non autorizzati e garantiscano la cancellazione delle registrazioni scaduti i termini previsti.

Quando il sistema coinvolge dipendenti, occorre anche rispettare lo Statuto dei lavoratori (art. 4 della legge 300/1970), che impone l'ottenimento di accordi sindacali o autorizzazione dell'Ispettorato del Lavoro, e non consente il controllo a distanza se non per finalità legittime e dichiarate. Inoltre, il Garante della Privacy, attraverso linee guida europee, chiarisce che la copertura deve evitare spazi estranei e vieta sistemi eccessivamente invasivi o l'uso per monitorare la produttività. La trasmissione o la registrazione audio, salvo rare eccezioni, non è ammissibile.

Occorre infine tenere aggiornato il registro dei trattamenti e, nei casi previsti dal GDPR (come videosorveglianza sistematica o tecnologie avanzate), condurre la valutazione d'impatto (DPIA) per garantire ulteriore tutela.

Una corretta gestione dei sistemi di videosorveglianza impone di assicurare trasparenza a chiunque entri nei locali sorvegliati. Questo si traduce nella predisposizione e nell'affissione di appositi cartelli informativi, da sistemare in posizione visibile e all'altezza degli occhi, prima di accedere all'area monitorata. Il cartello, obbligatorio per legge, deve contenere:

• la presenza del sistema di videosorveglianza;

• la finalità perseguita (es. tutela del patrimonio, sicurezza);

• gli estremi identificativi del titolare del trattamento;

• l'indicazione dei tempi di conservazione delle immagini;

• i diritti degli interessati e le modalità per ottenere informazioni complete.

A tale segnaletica, definita "informativa sintetica", si affianca l'obbligo di mantenere a disposizione una "informativa estesa", con tutti i dettagli previsti dal GDPR, accessibile su supporto cartaceo o digitale (ad esempio tramite QR Code). Lo stesso livello di trasparenza va garantito ai dipendenti: chi lavora nelle aree videosorvegliate deve essere informato formalmente attraverso documentazione specifica sulle modalità, finalità e tempi del trattamento. Ogni inadempienza è soggetta a controlli e sanzioni da parte del Garante.

Dove e come possono essere installate le telecamere nei negozi

La corretta installazione dei dispositivi di videosorveglianza si basa sul rispetto del principio di minimizzazione: solo le aree utili devono essere sottoposte a controllo. Gli apparati vanno posizionati, ad esempio, in corrispondenza di:

• ingressi e uscite del locale commerciale;

• punti cassa o pagamenti;

• magazzini e zone di stoccaggio;

• eventuali aree riservate ai dipendenti, purché non si tratti di servizi igienici o spogliatoi.

Le riprese devono sempre evitare di inquadrare vie pubbliche, spazi esterni non di pertinenza o aree a uso privato di terzi. Per particolari zone sensibili (ad esempio, accesso clienti o aree retrobottega) si può ricorrere alla funzione di privacy masking, così da oscurare porzioni dell'immagine non pertinenti. È vietato l'uso di telecamere fittizie e non è consentito un monitoraggio invasivo verso chiunque non sia coinvolto nell'attività. Le prospettive devono assicurare la massima copertura dei possibili rischi senza violare la sfera privata delle persone. L'uso di dispositivi tecnologici avanzati (come la registrazione audio o il riconoscimento facciale) è generalmente escluso.

Videosorveglianza e dipendenti: limiti, autorizzazioni e controlli leciti

Un aspetto regolamentato riguarda il rapporto tra videosorveglianza e presenza di lavoratori nel negozio. Il controllo a distanza sulle prestazioni dei dipendenti è vietato, salvo casi di necessità organizzative, produttive, di sicurezza o tutela del patrimonio e comunque sempre nel rispetto dello Statuto dei lavoratori (art. 4). Affinché il sistema sia installabile legittimamente, occorre una delle seguenti condizioni:

• stipula di un accordo sindacale con le rappresentanze interne (RSA/RSU);

• autorizzazione preventiva da parte dell'Ispettorato Nazionale del Lavoro.

L'assenza di tali adempimenti rende illecito l'impianto e potenzialmente sanzionabile il titolare dell'attività. Le immagini non devono mai essere utilizzate per verificare la produttività, la presenza o altre informazioni non strettamente collegate alla sicurezza del luogo o degli asset. Possono essere riprese solo le aree di pertinenza del negozio, escluse aree relax, servizi igienici o spogliatoi. In contesti privi di dipendenti (ad esempio attività individuali), permangono comunque gli obblighi di tutela della privacy della clientela.

Tempi di conservazione delle immagini e gestione dei dati registrati

Il principio di limitazione della conservazione stabilisce che le registrazioni devono essere mantenute solo per il periodo necessario al raggiungimento degli scopi dichiarati. Il termine massimo è compreso tra 24 e 72 ore, estendibile solo in casi documentati (per esempio, festività o eventi eccezionali).

Allo scadere del termine, il sistema deve cancellare automaticamente le immagini, salvo richieste specifiche da parte delle autorità giudiziarie. L'accesso alle registrazioni è riservato esclusivamente a personale precedentemente autorizzato, in base a procedure interne documentate. Le modalità di trattamento devono essere descritte nel registro dei trattamenti e, se necessario, oggetto di valutazione d'impatto. Qualunque trasmissione o archiviazione deve avvenire attraverso sistemi sicuri, con accessi protetti da credenziali uniche e adeguata autenticazione forte.

Violazioni più comuni e sanzioni per un uso illecito delle telecamere nei negozi

L'inosservanza delle normative in materia di videosorveglianza determina conseguenze sia per la reputazione della attività sia sul piano economico. Le violazioni più ricorrenti riguardano:

• assenza di segnaletica informativa corretta o trasparente;

• registrazione di aree pubbliche o proprietà altrui;

• conservazione dei dati oltre i termini consentiti;

• controllo dei dipendenti in assenza di accordi prescritti o autorizzazione dell'Ispettorato;

• registrazione audio non autorizzata;

• mancata adozione di misure di sicurezza dei dati.

Le sanzioni amministrative previste possono raggiungere milioni di euro o quote rilevanti del fatturato annuo (fino al 4%) secondo il GDPR, oltre a possibili sanzioni penali nei casi più gravi (art. 167 e ss. Codice Privacy). Sono inoltre previsti obblighi di rimozione dell'impianto e la distruzione delle registrazioni illegittime. L'attività rischia anche ispezioni ricorrenti e obbligo di adeguamento immediato agli standard imposti.