Sono numerosi i dubbi che sorgono in relazione agli impianti di rilevazione delle immagini, dalla loro installazione alle modalità di ripresa ma anche all’impiego dei video raccolti. Abbiamo provato a chiarire quelli più frequenti partendo dalle FAQ fornite dal Garante della privacy.
L’installazione di apparecchi di videosorveglianza prevede il rispetto della disciplina in materia di protezione dei dati personali, ma anche delle vigenti norme civili e penali in materia di interferenze illecite nella vita privata, e in materia di controllo a distanza dei lavoratori.
Tali indicazioni hanno naturalmente carattere generale e devono essere osservate sia da soggetti privati che da enti pubblici.
E’ opportuno inoltre sottolineare come non occorra alcuna autorizzazione da parte del Garante per installare tali sistemi.
Infatti in base al principio di responsabilizzazione (art. 5, par. 2, GDPR), spetta al titolare del trattamento valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.
Sulla falsariga delle FAQ recentemente pubblicate sul sito del Garante della privacy, abbiamo suddiviso le questioni per argomenti.
Sommario
Informativa
Tutte le persone che transitano in una area sottoposta a videosorveglianza devono essere al corrente della presenza delle telecamere, pertanto devono essere informati ai sensi dell’art. 13 GDPR, anche mediante un modello semplificato.
Il Garante ha specificato che è sufficiente anche un semplice cartello purché contenga, tra le altre informazioni, le indicazioni sul titolare del trattamento e sulla finalità perseguita e purché venga collocato prima di entrare nella zona videosorvegliata.
E’ disponibile sul sito dell’Authority il modello di informativa semplificata (in linea con quello proposto dall’EDPB) che può essere adattato a varie circostanze, qui di seguito riportato.
In ogni caso, l’interessato deve essere posto nelle condizioni di comprendere quale sia la zona coperta dalla telecamera al fini di eventualmente evitare la sorveglianza o adeguare il proprio comportamento, ove lo ritenga necessario.
A tale scopo il cartello informativo deve rimandare a un testo completo contenente tutti gli elementi di cui all´art. 13 GDPR, indicando come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento).
Data retention
Con riguardo ai tempi dell’eventuale conservazione delle immagini registrate, questi non possono essere più lunghi di quanto necessario per le finalità per le quali tali immagini sono acquisite (art. 5, par. 1, lett. c) ed e), GDPR).
Secondo il principio di accountability (art. 5, par. 2, GDPR), spetta al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.
A patto che non vi siano norme di legge che prevedano espressamente specifici tempi di conservazione dei dati.
In via generale, la videosorveglianza risponde ad esigenze di sicurezza e di protezione del patrimonio e per la rilevazione di eventuali danni sono sufficienti uno o due giorni.
Tenendo conto dei principi di minimizzazione dei dati e limitazione della conservazione, i dati personali dovrebbero essere, nella maggior parte dei casi, cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici.
Se il periodo di conservazione previsto si prolunga (soprattutto se superiore a 72 ore), l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione deve avere solide e giustificate argomentazioni.
E’ comunque possibile prolungare i tempi di conservazione delle immagini inizialmente fissati dal titolare o previsti dalla legge.
Si pensi all’ipotesi tale prolungamento si renda necessario per dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad attività investigativhe in corso.
Data Protection Impact Assessment (DPIA)
In linea generale è il titolare del trattamento che deve valutare se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento.
La valutazione d’impatto preventiva è prevista se il trattamento – qualora preveda, in particolare, l’uso di nuove tecnologie e considerati la natura, l’oggetto, il contesto e le finalità del trattamento – può presentare un rischio elevato per le persone fisiche (artt. 35 e 36 GDPR).
La DPIA è sempre richiesta, in particolare, in caso di sorveglianza sistematica su larga scala di una zona accessibile al pubblico (art. 35, par. 3, lett. c) del GDPR) e negli altri casi indicati dal Garant.e
In ogni caso può essere utile la consultazione dei seguenti documenti:
- Linee-guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento “possa presentare un rischio elevato” ai sensi del regolamento 2016/679” – WP248rev.01 del 4 ottobre 2017
- Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” dell’11 ottobre 2018
Luoghi di installazione
Scuola.
E’ possibile installare sistemi di videosorveglianza ma nel rispetto del diritto dello studente alla riservatezza.
E’ ammissibile l’utilizzo di tali sistemi in casi di stretta indispensabilità, al fine di tutelare l’edificio e i beni scolastici da atti vandalici, circoscrivendo le riprese alle sole aree interessate.
È inoltre necessario segnalare la presenza degli impianti con cartelli.
Le telecamere che inquadrano l’interno degli istituti possono essere attivate solo negli orari di chiusura, quindi non in coincidenza con lo svolgimento di attività scolastiche ed extrascolastiche.
Se le riprese riguardano l’esterno della scuola, l’angolo visuale delle telecamere deve essere opportunamente delimitato.
Leggi anche: La videosorveglianza nelle scuole dell’infanzia: e la privacy?
Luoghi di lavoro.
Il datore di lavoro pubblico o privato può installare un sistema di videosorveglianza nelle sedi di lavoro esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto delle altre garanzie previste dalla normativa di settore in materia di installazione di impianti audiovisivi e altri strumenti di controllo (art. 4 della L. 300/1970).
Leggi anche: Videosorveglianza sul Luogo di Lavoro: il consenso dei dipendenti non è sufficiente (Cass. Pen., Sez. III, 1733/2020)
Aree private.
L’installazione di sistemi di videosorveglianza può essere effettuata da persone fisiche per fini esclusivamente personali, atti a monitorare la proprietà privata ma al fine di evitare di incorrere nel reato di interferenze illecite nella vita privata (art. 615-bis c.p.), l’angolo visuale delle riprese deve essere comunque limitato ai soli spazi di propria esclusiva pertinenza, escludendo ogni forma di ripresa, anche senza registrazione di immagini, relativa ad aree comuni (cortili, pianerottoli, scale, parti comuni delle autorimesse) ovvero a zone di pertinenza di soggetti terzi.
È vietato altresì riprendere aree pubbliche o di pubblico passaggio.
Condominio.
E’ possibile installare un sistema di videosorveglianza condominiale ma è necessario in primo luogo che l’istallazione avvenga previa assemblea condominiale, con il consenso della maggioranza dei millesimi dei presenti (art. 1136 c.c.).
È indispensabile inoltre che le telecamere siano segnalate con appositi cartelli e che le registrazioni vengano conservate per un periodo limitato.
In ambito condominiale è comunque congruo ipotizzare un termine di conservazione delle immagini che non oltrepassi i 7 giorni.
Leggi anche: Le Regole di Privacy tra i Condòmini
Domicilio.
Non sussiste alcun impedimento all’installazione nonché all’utilizzo di telecamere di sorveglianza casalinghe c.d. smart cam.
A tal fine occorre precisare che il trattamento dei dati personali mediante l’uso di telecamere installate nella propria abitazione per finalità esclusivamente personali di controllo e sicurezza, rientra tra quelli esclusi dall’ambito di applicazione del Regolamento.
Eventuali dipendenti o collaboratori presenti (babysitter, colf, ecc.) dovranno comunque essere informati dal datore di lavoro.
Permane in ogni caso il divieto di monitoraggio di ambienti che ledano la dignità della persona (come bagni), proteggere adeguatamente i dati acquisiti (o acquisibili) tramite le smart cam con idonee misure di sicurezza (soprattutto se le telecamere sono connesse a Internet) e non diffondere i dati raccolti.
Discariche ed “eco piazzole”.
I Comuni possono utilizzare telecamere per controllare discariche di sostanze pericolose ed “eco piazzole” per monitorare le modalità del loro uso, la tipologia dei rifiuti scaricati e l’orario di deposito ma solo se non risulta possibile, o si riveli non efficace, il ricorso a strumenti e sistemi di controllo alternativi e comunque nel rispetto del principio di minimizzazione dei dati.
In questo caso, l’informativa agli interessati può essere fornita mediante affissione di cartelli informativi nei punti e nelle aree in cui si svolge la videosorveglianza, che contengano anche indicazioni su come e dove reperire un testo completo contenente tutti gli elementi ex art. 13 GDPR.
Tale monitoraggio non può essere posto in essere da soggetti privati.
Strade pubbliche.
I sistemi elettronici di rilevamento delle infrazioni inerenti violazioni del codice della strada vanno obbligatoriamente segnalate da cartello/informativa, anche in base alla disciplina di settore.
L’utilizzo di tali sistemi è lecito se sono raccolti solo dati pertinenti e non eccedenti per il perseguimento delle finalità istituzionali del titolare, delimitando a tal fine la dislocazione e l’angolo visuale delle riprese.
La ripresa del veicolo non deve comprendere (o deve mascherare), per quanto possibile, la parte del video o della fotografia riguardante soggetti non coinvolti nell’accertamento amministrativo (es. eventuali pedoni o altri utenti della strada).
Le fotografie o i video che attestano l’infrazione non devono essere inviati al domicilio dell’intestatario del veicolo, ma l’interessato, ossia la persona eventualmente ritratta nelle immagini, può richiederne copia oppure esercitare il diritto di accesso ai propri dati (fermo restando che dovranno essere opportunamente oscurati o resi comunque non riconoscibili i passeggeri presenti a bordo del veicolo).
Categorie particolari di dati
Quando le riprese video sono trattate per ricavare categorie particolari di dati, il trattamento è consentito soltanto se risulta applicabile una delle eccezioni di cui all’art. 9 GDPR.
In linea di principio, l’installazione di un sistema di videosorveglianza deve sempre attenersi al principio di minimizzazione dei dati. Pertanto, il titolare del trattamento deve in ogni caso cercare sempre di ridurre al minimo il rischio di acquisire filmati che rivelino altri dati a carattere sensibile, indipendentemente dalla finalità.
Per il trattamento di categorie particolari di dati è richiesta una vigilanza rafforzata e continua su taluni obblighi, ad es. un elevato livello di sicurezza e una valutazione d’impatto sulla protezione dei dati, ove necessario.
Eccezioni
La normativa in materia di protezione dati NON si applica:
- al trattamento di dati che NON consentono di identificare le persone, direttamente o indirettamente, come nel caso delle riprese ad alta quota (effettuate, ad es., mediante l’uso di droni);
- nel caso di fotocamere false o spente perché non c’è nessun trattamento di dati personali (fermo restando che, nel contesto lavorativo, trovano comunque applicazione le garanzie previste dall’art. 4 della L. 300/1970);
- nei casi di videocamere integrate in un’automobile per fornire assistenza al parcheggio (se la videocamera è costruita o regolata in modo tale da non raccogliere alcuna informazione relativa a una persona fisica, ad es. targhe o informazioni che potrebbero identificare i passanti).
Conclusione
Tutto ciò premesso l’attività di videosorveglianza quando è consentita va effettuata sempre nel rispetto del cosiddetto principio di minimizzazione dei dati riguardo alla scelta delle modalità di ripresa e dislocazione e alla gestione delle varie fasi del trattamento ed il titolare potrà trattare solo i dati pertinenti e non eccedenti rispetto alle finalità perseguite.
Spetta inoltre al titolare, in ossequio al principio di responsabilizzazione valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti e le libertà delle persone fisiche.
Il titolare del trattamento deve, inoltre, valutare se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento.
Per ulteriori chiarimenti si consiglia di prendere visione delle Linee guida 3/2019 adottate dall’EDPB sulla materia.
VP
