Telecamere & privacy: come cambia la Videosorveglianza con il GDPR? Qualche consiglio pratico

L’ingresso del GDPR cambia anche le regole della Videosorveglianza con alcune modifiche sostanziali.

Cerchiamo di sintetizzare lo stato dell’arte in materia, con qualche consiglio pratico per le aziende che, usando sistemi con telecamere, desiderano adeguarsi.

Le norme applicabili

La situazione attuale delle regole da applicare è questa:

• Provvedimento Generale dell’8 aprile 2010 del Garante Privacy
• Regolamento Europeo 2016/679/UE, per semplicità definito GDPR 

anche se, in effetti, c’è anche la complicazione che il Provvedimento del Garante si basa sul Codice Privacy (D.Lgs. 196/2003), del 2003 e quindi precedente al GDPR stesso, dove il Codice Privacy è stato poi “armonizzato” con il GDPR nello scorso mese di agosto (con il D. Lgs 101/2018). Non stupirebbe un intervento legislativo o, più probabilmente, dello stesso Garante per chiarire ulteriormente la materia.

Il Titolare del trattamento e la conseguente responsabilizzazione

L’azienda che tratta i dati personali mediante videosorveglianza è da considerare come “titolare del trattamento dei dati”, cioè come la persona (fisica o giuridica) che definisce le finalità nonché le modalità del trattamento e che ha la responsabilità delle scelte e delle azioni (secondo il principio di responsabilizzazione o di “accountability”, concetto fondamentale del GDPR, all’art. 5.2), diventando unico responsabile per qualsiasi trattamento non a norma di legge.

Le informazioni rese per il trattamento dei dati

L’argomento della videosorveglianza è caratterizzato, sin dal Provvedimento del Garante, dalla necessità di una doppia informativa:

• informativa minima (il cartello “Area videosorvegliata”), che trae la sua legittimità/esistenza dall’abrogato art. 13 comma 3 del vecchio Codice Privacy (che recitava: “Il Garante può individuare con proprio provvedimento modalità semplificate per l’informativa fornita in particolare da servizi telefonici di assistenza e informazione al pubblico”):
• informativa completa che deve essere resa conformemente a quanto disposto dal GDPR.

Informativa minima

Il modello è quello riportato nel Provvedimento dell’8 aprile 2010, in due versioni a seconda o meno della presenza di collegamento con le forze di polizia:

Da notare sia il riferimento (obsoleto) al Codice Privacy che i campi obbligatori da compilare.

La motivazione dell’informativa minima è molto semplice: il Garante privacy ha voluto fare in modo che gli interessati siano sempre informati del loro accesso ad una zona videosorvegliata. Questo segnale ha quindi il senso di una “informativa preventiva” con le informazioni essenziali (indicazione del titolare e della finalità del trattamento). L’informativa minima deve

• essere collocata prima del raggio di azione della telecamera o nelle immediate vicinanze e non necessariamente a contatto con gli impianti;
• avere un formato ed un posizionamento tale da essere chiaramente visibile in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno.

Informativa completa

A questa informativa minima deve necessariamente seguire l’informativa “completa” anche ai sensi dell’art. 13 del GDPR, con i seguenti contenuti:

• identità e dati di contatto del titolare del trattamento; nel caso in cui il titolare del trattamento sia una persona fisica inserire i dati anagrafici al posto della ragione sociale;
• dati di contatto del Responsabile della Protezione dei Dati (DPO), qualora nominato;
• finalità del trattamento: specificare a cosa serve la videosorveglianza e perché è necessaria. Il punto 2 del provvedimento del Garante privacy dell’8 aprile 2010, individua alcune finalità del trattamento in che possono essere utilizzate dai titolari, tra cui:
  • protezione e incolumità degli individui;
  • protezione della proprietà;
  • acquisizione di prove;
• base giuridica del trattamento: di norma l’interesse legittimo (GDPR art. 6, comma 1, lettera f). Il provvedimento del 2010 al punto 6.2.2, peraltro richiamato dal provvedimento del Garante del 22 Febbraio 2018, riporta che “la rilevazione delle immagini può avvenire senza consenso, qualora, con le modalità stabilite in questo stesso provvedimento, sia effettuata nell´intento di perseguire un legittimo interesse del titolare o di un terzo attraverso la raccolta di mezzi di prova o perseguendo fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo, o finalità di prevenzione di incendi o di sicurezza del lavoro”;
• destinatari del trattamento: i dati personali, oggetto delle riprese, sono comunicati a persone fisiche, giuridiche, autorità pubbliche o organismi? Vi sono soggetti interni o esterni (ad esempio il personale della vigilanza) che sono autorizzati al trattamento dei dati (anche solo la visione è un trattamento)? I dati sono comunicati anche alle forze dell’ordine?
• eventuali trasferimenti all’estero di dati verso paesi terzi o organizzazioni internazionali;
• periodo di conservazione dei dati o i criteri utilizzati per determinarne il periodo: uno dei punti “delicati” della videosorveglianza. Il GDPR ha introdotto l’obbligo di indicare questo periodo, ma al punto 3.4 del provvedimento del 2010 vi era già questa informazione; infatti è riportato che “nei casi in cui sia stato scelto un sistema che preveda la conservazione delle immagini, in applicazione del principio di proporzionalità anche l’eventuale conservazione temporanea dei dati deve essere commisurata al tempo necessario – e predeterminato – a raggiungere la finalità perseguita”. Inoltre “la conservazione deve essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria. Solo in alcuni casi, per peculiari esigenze tecniche (mezzi di trasporto) o per la particolare rischiosità dell´attività svolta dal titolare del trattamento (ad esempio, per alcuni luoghi come le banche può risultare giustificata l´esigenza di identificare gli autori di un sopralluogo nei giorni precedenti una rapina), può ritenersi ammesso un tempo più ampio di conservazione dei dati che, sulla scorta anche del tempo massimo legislativamente posto per altri trattamenti, si ritiene non debba comunque superare la settimana”. È sempre importante rispettare il principio di minimizzazione dei dati, dove si afferma che i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (art. 5.1 lett. c). Lo stesso provvedimento del 2010 dispone al punto 2 lett. b) che “ciascun sistema informativo ed il relativo programma informatico vengano conformati già in origine in modo da non utilizzare dati relativi a persone identificabili quando le finalità del trattamento possono essere realizzate impiegando solo dati anonimi”, visto che di solito i sistemi di videosorveglianza sono strumenti informatici questo 
• diritti dell’interessato: altra parte fondamentale dell’informativa privacy, dall’entrata in vigore del GDPR, secondo i diritti precisati agli artt. 15, 16, 17, 18 e 21. A questo proposito si sottolinea come sia importante fare poi riferimento ad una modalità “efficace” per le richieste di tali diritti (ad esempio attraverso l’apposito modulo predisposto dal Garante privacy).

Le misure di sicurezza da adottare

I riferimenti sono sia all’art. 32 del GDPR che al provvedimento del 2010, dove si possono riassumere così i concetti principali:

• i dati raccolti mediante sistemi di videosorveglianza devono essere protetti con adeguate misure di sicurezza, riducendo al minimo i rischi di distruzione, di perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta, anche in relazione alla trasmissione delle immagini;
• devono essere adottate specifiche misure tecniche ed organizzative che consentano al titolare del trattamento di verificare l’attività svolta da parte di chi accede alle immagini o controlla i sistemi di ripresa. È fatta salva la necessità di avere differenti livelli di visibilità e trattamento delle immagini (rilevazione, anche mediante videocitofono);
• sia i soggetti che rilevano (visualizzano le immagini in tempo reale), sia i soggetti che registrano devono possedere credenziali di autenticazione che permettano di effettuare, a seconda dei compiti attribuiti ad ognuno, unicamente le operazioni di propria competenza;
• laddove i sistemi siano configurati per la registrazione e successiva conservazione delle immagini rilevate, deve essere altresì attentamente limitata la possibilità, per i soggetti abilitati, di visionare non solo in sincronia con la ripresa, ma anche in tempo differito, le immagini registrate e di effettuare sulle medesime operazioni di cancellazione o duplicazione;
• per quanto riguarda il periodo di conservazione delle immagini (a prescindere dalla durata scelta) devono essere predisposte misure tecniche od organizzative per la cancellazione, anche in forma automatica, delle registrazioni, allo scadere del termine previsto (utilizzare la sovrascrittura);
• nel caso di interventi derivanti da esigenze di manutenzione, occorre adottare specifiche cautele: in particolare, i soggetti preposti alle predette operazioni possono accedere alle immagini solo se ciò si renda indispensabile al fine di effettuare eventuali verifiche tecniche ed in presenza dei soggetti dotati di credenziali di autenticazione abilitanti alla visione delle immagini;
• qualora si utilizzino apparati di ripresa digitali connessi a reti informatiche, gli apparati medesimi devono essere protetti contro i rischi di accesso abusivo di cui all´art. 615-ter del codice penale;
• la trasmissione tramite una rete pubblica di comunicazioni di immagini riprese da apparati di videosorveglianza deve essere effettuata previa applicazione di tecniche crittografiche che ne garantiscano la riservatezza. Le stesse cautele sono richieste per la trasmissione di immagini da punti di ripresa dotati di connessioni wireless (ad esempio, Wi-Fi).

[...] CONTINUA LA LETTURA DELL'ARTICOLO INTEGRALE NEL PDF