Questa guida assume che la riunione e l'organizzazione ricadano principalmente sotto il diritto italiano. Una riunione transfrontaliera può richiedere regole ulteriori.
Informazioni generali, non consulenza legale. Riunioni disciplinari, sindacali, sanitarie, giudiziarie, regolamentate o coperte da segreto richiedono una valutazione specifica prima di registrare.
“Posso registrare?” contiene tre domande. Un partecipante può effettuare la registrazione? L'organizzazione ha una base giuridica e ha informato le persone per trattare i dati? Che cosa può poi conservare, consultare, trasferire o condividere? La risposta alla prima non risolve le altre.
La registrazione fatta da un partecipante
La giurisprudenza italiana ha distinto la registrazione fonografica compiuta da una persona che partecipa alla conversazione dall'intercettazione svolta da un terzo, riconoscendone in vari casi l'utilizzabilità come prova documentale. Questa distinzione riguarda soprattutto la natura della captazione e la prova; non crea una licenza generale per ogni riunione o utilizzo.
La riunione può essere riservata, svolgersi in un luogo con particolare aspettativa di riservatezza o contenere segreti e dati di terzi. La successiva diffusione è un atto distinto. L'articolo 617-septies del Codice penale riguarda la diffusione fraudolenta, finalizzata a danneggiare reputazione o immagine, di riprese o registrazioni di incontri privati o conversazioni svolte in presenza o con la partecipazione dell'autore, con eccezioni previste per alcuni usi.
Minimo legale: non confondere il fatto di essere presenti con il diritto di usare e diffondere il file senza limiti.
Pratica lavorativa più sicura: comunica la finalità, chiedi a tutti, offri un percorso senza registrazione e ferma l'audio prima delle conversazioni informali.
Il trattamento dell'organizzazione ha regole proprie
Voce, immagine, nome, trascrizione, profilo vocale e riepilogo sono dati personali quando riguardano persone identificabili. Registrazione, trascrizione, analisi, conservazione, consultazione, comunicazione e cancellazione sono operazioni di trattamento.
Il titolare deve stabilire prima la finalità e una base dell'articolo 6 GDPR. Può essere necessario esaminare obbligo legale, contratto, interesse pubblico o interesse legittimo con bilanciamento. Il consenso non va scelto automaticamente. Il Garante ribadisce che, nel lavoro, lo squilibrio contrattuale rende di regola il consenso del dipendente una base inidonea.
Se lo strumento consente un controllo a distanza dei lavoratori, entrano in gioco anche l'articolo 4 dello Statuto dei lavoratori e le relative garanzie collettive o autorizzative. Il consenso individuale non sostituisce tali procedure. Una riunione registrata occasionalmente per il verbale non è identica a una sorveglianza continua, ma finalità e funzionamento concreto devono essere valutati.
Informativa prima dell'inizio
L'informativa deve rendere comprensibili:
- titolare e contatti privacy o DPO;
- finalità precisa e base giuridica;
- audio, video, trascrizione, riepilogo e identificazione delle voci prodotti;
- destinatari e persone autorizzate;
- periodo o criteri di conservazione;
- fornitore, responsabili e sub-responsabili;
- luogo dei dati e trasferimenti fuori dallo Spazio economico europeo;
- diritti degli interessati e modalità per esercitarli.
Nel parere sulle riunioni del Consiglio AGCOM, il Garante ha distinto la partecipazione audio-video dall'ulteriore registrazione. Ha richiesto una disciplina della finalità, dei limiti, dei soggetti autorizzati, delle modalità, della conservazione e degli usi successivi, con informativa prima delle riprese. Il caso riguarda un'autorità pubblica e non si trasferisce automaticamente a un'impresa, ma mostra bene che la registrazione è un'operazione ulteriore da giustificare.
Conservazione, accesso e comunicazione
Non esiste “conservare per sicurezza” senza termine. La durata deve seguire la finalità. In un provvedimento del 2023, il Garante ha rilevato, fra le altre violazioni, l'assenza di base giuridica per una comunicazione e la conservazione di audio-video oltre i sette giorni che il Comune stesso aveva stabilito, senza presupposto idoneo.
Quel termine apparteneva al caso concreto e non è una regola per tutte le riunioni. Il principio utile è un altro: scegli una durata, motivala, applicala e cancella quando la finalità è conclusa. Per produrre un verbale di progetto, l'audio può spesso essere eliminato dopo verifica e correzioni; un obbligo normativo può richiedere un trattamento differente.
Limita l'accesso a chi prepara e approva il documento. La comunicazione a un altro reparto, società o consulente richiede una ragione compatibile. Il contratto con il fornitore deve disciplinare il trattamento per conto del titolare. Trasferimenti fuori SEE richiedono il meccanismo e le garanzie del capo V GDPR.
Riservatezza, lavoro e condivisione non scompaiono
Una registrazione può contenere salute, opinioni sindacali, valutazioni del personale, segreti industriali, strategia commerciale o dati di persone assenti. Le categorie particolari dell'articolo 9, i doveri di riservatezza, i contratti e il diritto del lavoro possono porre limiti ulteriori.
La finalità “redigere il verbale” non autorizza automaticamente a pubblicare il file, usarlo per valutare le prestazioni, addestrare un sistema o inviarlo a un cliente. Condividi le decisioni e le attività confermate, non l'audio grezzo.
Procedura pratica più sicura
- Documenta finalità e base giuridica.
- Informa nell'invito e ripeti l'avviso all'inizio.
- Chiedi l'accordo di tutti e offri appunti senza registrazione.
- Registra solo la parte necessaria.
- Consenti l'accesso a un gruppo ristretto.
- Controlla nomi, decisioni e attività nella trascrizione.
- Cancella l'audio appena la finalità lo consente.
- Distribuisci il verbale anziché la registrazione.
Riunioni internazionali
Per una riunione fra Milano, Parigi e San Paolo individua luoghi dei partecipanti, società coinvolte, titolare, archiviazione e trasferimenti. Valuta separatamente ogni disciplina potenzialmente applicabile: adottare internamente la procedura operativa più protettiva può ridurre il rischio, ma non risolve da solo i conflitti di legge. Se il quadro resta incerto, sospendi la registrazione e coinvolgi DPO, responsabile privacy o consulente legale.
Il minimo legale e la scelta più sicura non coincidono. Anche quando la registrazione è difendibile, spiegare, chiedere, consentire il rifiuto, limitare l'accesso, conservare il minimo e condividere il verbale protegge meglio persone e organizzazione.
