Bodycam e vigilanza privata: bilanciamento tra sicurezza e privacy

di Diego Di Simone Perricone, Senior Security Manager Certificato UNI 10459 ed esperto ESRM. CISO e DPO

Il Garante della Privacy ha delineato le condizioni di liceità per l’uso di bodycam da parte delle Guardie Particolari Giurate (GPG). Gli istituti di vigilanza privata possono dotare il personale di videocamere indossabili, purché l’attivazione sia circoscritta a situazioni emergenziali, eventi reato o scenari in cui la ripresa sia strettamente necessaria quale ausilio alle indagini della polizia giudiziaria.

L'adozione delle bodycam nel settore della vigilanza privata richiede un rigido coordinamento normativo che intreccia la disciplina sulla protezione dei dati personali e il diritto del lavoro. La nota del Dipartimento Attività Economiche e Lavoro del Garante della Privacy (*) ha chiarito la necessità di non confondere i compiti delle Guardie Particolari Giurate (GPG) con le attività di law enforcement statale (regolate dal D.Lgs. 51/2018), riconducendo l'uso dei dispositivi sotto l'alveo del Regolamento (UE) 2016/679 (GDPR).

I dati raccolti tramite le bodycam sono utilizzabili a tutti i fini connessi al rapporto di lavoro (anche disciplinari) solo se il datore di lavoro ha fornito al dipendente una piena e adeguata informativa sulle modalità d'uso dei dispositivi e l'effettuazione dei controlli, nel rispetto di quanto previsto dal GDPR.

Le bodycam, pur essendo indossate dalle GPG per motivi di sicurezza, tutela dei beni e documentazione di illeciti, sono per loro natura strumenti tecnologici capaci di registrare immagini e audio relativi al lavoratore stesso, traducendosi in un potenziale controllo a distanza dell'attività lavorativa. Pertanto la legittimità dell'infrastruttura è rigidamente subordinata al rispetto dell'art. 4 della Legge n. 300/1970 (Statuto dei Lavoratori), come riformato dal Jobs Act (D.Lgs. 151/2015):

 1. Divieto di controllo intenzionale e presupposti: È tassativamente vietato l'uso di apparecchiature con la sola finalità di monitorare la prestazione del dipendente. L'installazione e l'impiego sono consentiti esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. Quindi, l'attività delle GPG (difesa di beni mobili e immobili) rientra pienamente in tali tutele.

 2. La procedura codeterminata (Accordo o Autorizzazione): Prima di mettere in esercizio i dispositivi, l'Istituto di vigilanza (Titolare del trattamento) ha l'obbligo tassativo di sottoscrivere un accordo collettivo con le rappresentanze sindacali aziendali (RSU/RSA).

 3. L'attivazione manuale da parte della GPG unicamente in presenza di un pericolo concreto o di un reato in corso, unita alla redazione di una relazione giustificativa dettagliata, rappresenta la misura organizzativa corretta per dimostrare che il sistema non effettua un monitoraggio massivo o ingiustificato da parte dell’operatore, rispettando i canoni di proporzionalità e necessità imposti sia dall'art. 4 dello Statuto sia dall'art. 35 del GDPR.

È consigliabile che la conservazione delle immagini non superi le 72 ore, termine oltre il quale si impone la cancellazione automatica. Sotto il profilo procedurale, la GPG è tenuta a redigere una relazione di servizio dettagliata che giustifichi l’impiego del dispositivo, esplicitando le ragioni e la necessità operativa della registrazione.

In un’ottica di privacy by design, la memorizzazione dei dati su server interni aziendali è preferibile rispetto a soluzioni cloud, poiché garantisce una maggiore robustezza e sicurezza della tenuta del sistema informatico contro le violazioni (data breach).

Pilastro della conformità resta l’obbligo in capo al Titolare di redigere e custodire la DPIA (Valutazione di Impatto). Se l’indice di rischio rilevato è basso o medio, il documento va conservato ed esibito in caso di controlli da parte dell’Autorità. Qualora l’indice sia alto, sarà necessario adire, per ottenere la prescritta autorizzazione preventiva, l’Ufficio del Garante ai sensi dell'art. 36 GDPR.

(*) GPDP.Ufficio.Protocollo:U:0141218.05/10/2026 – DAEL/LG/522419-1/ istanza relativa all’adozione di dispositivi di videoregistrazione individuale (“bodycam”). Invio chiarimenti.