Il Garante per la protezione dei dati personali ha pubblicato una serie di FAQ sul proprio sito, consultabili dal 5/12/20, volte a fare chiarezza circa l’installazione di sistemi di videosorveglianza.
La precedente disciplina, rappresentata anche dal Provvedimento n. 99 del 29 aprile 2010, risulta eccessivamente datata rispetto alle odierne evoluzioni: considerando le linee-guida 03/2019, pubblicate lo scorso gennaio dal Comitato Europeo per la protezione dei dati personali (EDPB), e le novità introdotte dal GDPR, si potrà facilmente comprendere come chiarimenti sul tema siano effettivamente divenuti improcrastinabili.
Il Garante, dunque, ha stilato una lista di 16 domande, con annesse risposte, volte a fornire una guida pratica ai cittadini e alle imprese su alcuni quesiti particolarmente frequenti. Le FAQ, infatti, contengono indicazioni di carattere generale ispirate alle risposte fornite dall’Autorità a reclami, segnalazioni, quesiti recentemente ricevuti: il datore di lavoro può installare un sistema di videosorveglianza nelle sedi di lavoro? Occorre avere una autorizzazione del Garante per installare le telecamere? In che modo si fornisce l’informativa agli interessati? Quali sono i tempi dell’eventuale conservazione delle immagini registrate?
In primis, il Garante fa chiarezza sulle fonti normative volte a disciplinare l’installazione di sistemi di rilevazione delle immagini. Infatti, tale attività non deve avvenire esclusivamente nel rispetto della disciplina in materia di protezione dei dati personali, ma dovrà tener conto delle altre disposizioni dell’ordinamento: si pensi, ad esempio, alle disposizioni in materia penale e civile o ancora al diritto del lavoro.
Nel rispetto del principio di minimizzazione dei dati di cui l’art. 5 GDPR, inoltre, si sottolinea che i dati trattati devono comunque essere pertinenti e non eccedenti rispetto alle finalità perseguite.
Con il nuovo vademecum l’Autorità Garante ribadisce gli obblighi posti in capo al titolare del trattamento nel rispetto del principio di responsabilizzazione (accountability) su cui si fonda il GDPR. Ai sensi dell’art. 5 co 2 del Regolamento UE, infatti, spetta al titolare, sia esso un soggetto pubblico o privato, valutare la liceità e la proporzionalità del trattamento, considerando il contesto e le finalità nonché il rischio che potrebbe derivarne per i diritti e le libertà degli interessati. Il titolare del trattamento deve, inoltre, effettuare una valutazione d’impatto del trattamento sulla protezione dei dati personali, ai sensi di quanto previsto dall’art. 35 GDPR. È, infatti, necessaria una tale valutazione ogni qualvolta il trattamento, svolto attraverso l’uso di nuove tecnologie, possa determinare un rischio elevato per i diritti e le libertà delle persone fisiche. Alla luce di quanto detto, dunque, si evince che non è prevista alcuna autorizzazione da parte del Garante al fine di installare i sistemi di videosorveglianza.
Tra gli obblighi previsti dall’Autorità in capo al titolare del trattamento vi è, inoltre, l’obbligo di informativa: è compito del titolare del trattamento, infatti, informare in modo adeguato gli interessati del fatto che stiano per accedere ad una zona videosorvegliata.
L’informativa potrà essere fornita attraverso un mero cartello, collocato prima della zona sorvegliata, che dovrà contenere, tra l’altro, informazioni sul titolare del trattamento e sulla finalità dello stesso. Non sarà necessario indicare la precisa collocazione del dispositivo di videosorveglianza, purché sia chiaro quali aree siano effettivamente sorvegliate. Le informazioni così fornite rientrano nelle informazioni di primo livello, come definite dal Comitato Europeo per la protezione dei dati personali. Accanto a tale informativa deve essere fornito all’interessato un testo completo contenente tutti gli elementi previsti all´art. 13 del Regolamento UE, cd. informazioni di secondo livello. Le informazioni di secondo livello dovranno essere agevolmente consultabili dall’interessato, ad esempio attraverso una pagina informativa completa affissa in un luogo di facile accesso (reception, sportello informazioni, cassa). L’EDPB considera preferibile che nelle informazioni di primo livello si faccia riferimento ad una fonte digitale, quale un codice QR e/o un indirizzo web, attraverso cui attingere le informazioni di secondo livello.
Il Garante fa, inoltre, chiarezza circa la durata dell’eventuale conservazione delle immagini registrate. Nel rispetto dei principi cardine in materia di protezione dei dati personali, quali la minimizzazione dei dati e la limitazione delle finalità (art. 5, paragrafo 1, lett. c) ed e) GDPR), i contenuti non possono essere conservati più a lungo di quanto necessario per il fine per cui sono stati assunti. In base al principio di responsabilizzazione (art. 5, paragrafo 2, del Regolamento), invece, è compito del titolare del trattamento determinare il periodo di conservazione dei contenuti, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà degli interessati, ad eccezione dell’ipotesi in cui vi siano norme che lo definiscano espressamente.
Il Garante, inoltre, prevede che, laddove la videosorveglianza sia volta alla sicurezza e alla protezione del patrimonio, essendo possibile individuare eventuali danni entro uno/due giorni, le immagini siano, in via generale, eliminate dopo pochi giorni, se possibile utilizzando dei meccanismi automatici. Ovviamente quanto più ampio è il periodo di conservazione, soprattutto laddove superi le 72 ore, tanto più dovrà essere articolata l’analisi, formulata dal titolare del trattamento, circa la legittimità dello scopo e la necessità della conservazione delle immagini.
L’Autorità fornisce chiarimenti considerando che il titolare sia rappresentato dal datore di lavoro, pubblico o privato. Questi, dunque, potrà installare sistemi di videosorveglianza per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale purché rispetti quanto previsto dallo Statuto dei lavoratori. In particolare, l’art. 4 della l. 300/1970 dispone che tali sistemi possano essere installati “previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di accordo, gli impianti (..) possono essere installati previa autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell’Ispettorato nazionale del lavoro”.
Infine, il Garante prevede che, per quanto attiene alla videosorveglianza privata, quanto ripreso debba in ogni caso essere limitato ai soli spazi pertinenti e non estendersi anche ad aree pubbliche o di pubblico passaggio. Nel caso, invece, di installazione condominiale è necessario che la decisione di apporre un sistema di videosorveglianza sia assunta in sede di assemblea condominiale, che sia apposta una adeguata segnalazione della sussistenza di telecamere attraverso cartelli e che le registrazioni siano conservate per un periodo limitato, ipotizzabile in un termine che non sia superiore a sette giorni.
Marta Strazzullo
