Da Confindustria Venezia
L’Autorità Garante per la protezione dei dati personali ritorna ad occuparsi di trattamento dei dati compiuto mediante sistemi di videosorveglianza emanando un nuovo provvedimento generale che riscrive gli adempimenti a cui sono tenuti i titolari, pubblici o privati, che fanno uso di tali sistemi, peraltro con l’introduzione di alcune prescrizioni innovative rispetto a quelle del precedente provvedimento in materia del 2004
Approfondimenti
Il nuovo Provvedimento generale (1) sostituisce quello emanato in materia dallo stesso Garante nel 2004 (2), sebbene molti degli adempimenti previsti allora vengono confermati anche dal nuovo. Molti adempimenti in esso contenuti sono rivolti indistintamente sia a soggetti pubblici che privati; di seguito tratteremo però solo gli adempimenti più rilevanti a cui le imprese dovranno conformarsi nell’attivazione di un sistema lecito di videosorveglianza.
Adempimenti: gli obblighi di informativa.
Gli interessati devono essere sempre informati che stanno per accedere in una zona sottoposta a videosorveglianza. Il Garante, riprendendo l’oramai ben noto esempio di cartello proposto nel Provvedimento del 2004, ritiene che gli adempimenti in materia di informativa agli interessati possano venir assolti utilizzando il fac-simile di modello semplificato posto in allegato al Provvedimento stesso, identico a quello già proposto nel precedente provvedimento (3).
Il Garante precisa che, in presenza di più telecamere, circostanza che ritroviamo ad esempio nel caso di vastità dell’area oggetto di rilevamento, potranno venir installati anche più cartelli. Inoltre, il cartello deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti, e deve avere un formato ed un posizionamento tale da essere chiaramente visibile. Una novità introdotta dal provvedimento è quella di aver imposto la visibilità del cartello in ogni condizione di illuminazione (anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno). Viene confermato che il cartello dovrà inoltre specificare se attraverso la videosorveglianza si procede anche alla registrazione delle immagini ovvero alla semplice rilevazione.
L’informativa resa in forma così semplificata necessita poi di un rinvio ad un testo completo che contenga tutti gli elementi previsti dalla specifica norma del Codice della privacy (4) da porre a disposizione degli interessati con modalità facilmente accessibili, anche mediante strumenti informatici e telematici. Al riguardo, il Garante suggerisce le reti Intranet o siti Internet, le affissioni in bacheche o locali, gli avvisi e cartelli agli sportelli per gli utenti, i messaggi preregistrati disponibili digitando un numero telefonico gratuito. L’informativa potrebbe quindi venir resa, per il tramite di un incaricato, anche solo oralmente. In ambito aziendale si suggerisce, tuttavia, ‘adozione di una “policy” che descriva il sistema di videosorveglianza.
Una ulteriore novità relativa all’apposizione dei cartelli è stata introdotta per i sistemi di videosorveglianza direttamente collegati con le forze di polizia, per i quali deve essere resa un’informativa che renda noto agli interessati tale collegamento. A tal fine, il Garante suggerisce l’utilizzo dell’ulteriore modello semplificato di informativa “minima”, anch’esso allegato al nuovo provvedimento generale (5).
Ricordiamo che la violazione delle disposizioni riguardanti l’informativa, che potrà consistere nella sua omissione o inidoneità, viene punita con sanzione pecuniaria amministrativa (6).
Le misure di sicurezza
Nel rispetto della previsione del Codice della privacy (7), i dati raccolti mediante sistemi di videosorveglianza devono essere protetti con idonee e preventive misure di sicurezza, riducendo al minimo i rischi di distruzione, di perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta.
Le misure di sicurezza possono peraltro variare significativamente in considerazione delle molteplici finalità perseguite con l’adozione di un sistema di videosorveglianza nonché della varietà dei sistemi tecnologici utilizzabili. Il Garante ritiene però che, in ogni caso, vi debba essere il rispetto di alcuni precisi principi (8) che lo stesso va ad enunciare e che tengono conto, ad esempio, delle diverse competenze e responsabilità degli operatori addetti alla visione delle immagini, delle operazioni che possano venir compiute sulle immagini stesse, specie se conservate, della necessità di compiere interventi di manutenzione sul sistema e delle conseguenti cautele da adottare.
Tra queste misure tecniche-organizzative necessarie indicate dal Garante si possono evidenziare:
– la necessità di gestire, mediante differenti livelli di credenziali di autenticazione, le mansioni degli incaricati che debbono svolgere funzioni diverse rispetto al trattamento delle immagini, soprattutto per le funzioni di verifica delle immagini registrate e per le funzioni di cancellazione o duplicazione;
– la definizione delle procedure (preferibilmente mediante sistemi automatici) per garantire la cancellazione delle immagini allo scadere del periodo massimo di conservazione;
– la necessità di gestire mediante tecniche crittografiche la trasmissione su rete pubblica di comunicazione delle immagini (ipotesi che viene in rilevo nel caso di gestione di sistemi di videosorveglianza in remoto).
Resta pacifica la necessità che il titolare provveda a designare per iscritto (9) tutte le persone fisiche, incaricate del trattamento, autorizzate ad accedere ai locali dove sono situate le postazioni di controllo, ad utilizzare gli impianti ed a visionare le immagini. Deve comunque trattarsi di un numero delimitato di soggetti per i quali il titolare abbia anche individuato eventuali diversi livelli di attività in corrispondenza delle specifiche mansioni attribuite a ciascuno (10).
Anche in questo caso, il Garante ricorda le sanzioni a cui i titolari potrebbero andare incontro nel caso non rispettassero i principi sopra ricordati od omettessero la misure minime di sicurezza (11).
Durata dell’eventuale conservazione delle immagini
Se il sistema di videosorveglianza prevede la conservazione delle immagini, il Garante prescrive che questa venga limitata a poche ore o, al massimo, alle ventiquattro ore successive alla loro ripresa. Potrà essere previsto un termine più ampio di conservazione delle immagini solo in presenza di specifiche esigenze, quali ad esempio le festività o la chiusura di uffici od esercizi, oppure nel caso in cui si debba aderire ad una richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria.
In ulteriori casi (12), quali la particolare rischiosità dell’attività svolta, potrà anche essere ammesso un tempo più ampio di conservazione che comunque non dovrà superare la settimana. Un ulteriore allungamento dei termini, superiore quindi alla settimana, potrà avvenire solo se preliminarmente richiesto al Garante con atto di interpello (13) ed in considerazione di ben motivate esigenze.
Il Garante ribadisce alcune prescrizioni sulla cancellazione automatica delle immagini anche mediante sovraregistrazione (14). Il mancato rispetto dei tempi di conservazione delle immagini raccolte e del correlato obbligo di cancellazione di dette immagini oltre il termine previsto potrà comportare l’applicazione di sanzione pecuniaria amministrativa (15).
Settori specifici
Il Garante affronta il tema della videosorveglianza con riferimento anche ad alcuni specifici settori. In questo senso, non è nuovo il richiamo all’utilizzo della videosorveglianza nell’ambito del rapporto di lavoro, per il quale il Garante ricorda l’onere di rispettare il divieto di controllo a distanza dell’attività lavorativa, risultando infatti assolutamente vietata l’installazione di apparecchiature specificatamente preordinate a tale finalità (16). Nel caso in cui la videosorveglianza fosse resa necessaria da esigenze organizzative o produttive o per la sicurezza del lavoro, il Garante ricorda che ugualmente dovranno venir rispettate le procedure di accordo sindacale preventivo o di autorizzazione previste in materia dallo Statuto dei lavoratori (17).
Il Garante affronta poi, nel medesimo ambito, l’utilizzo di eventuali riprese televisive sui luoghi di lavoro, che vedano coinvolto il personale dipendente, per scopi divulgativi o di comunicazione istituzionale o aziendale. Il Garante conferma quanto già disposto nel precedente provvedimento generale del 2004 sull’assimilazione di questi trattamenti di dati a quelli temporanei finalizzati alla pubblicazione occasionale di articoli e saggi, trovando per essi applicazione le disposizioni sull’attività giornalistica contenute nel Codice della privacy (18) e la conseguente osservanza del codice deontologico per l’attività giornalistica. Resta peraltro fermo il diritto del lavoratore di tutelare la propria immagine opponendosi, per motivi legittimi, alla diffusione delle immagini che lo ritraggono (19).
Sistemi integrati di videosorveglianza
Di particolare interesse appaiono inoltre le nuove prescrizioni nel caso di utilizzo di sistemi integrati di videosorveglianza tra diversi soggetti, pubblici e privati, nonché di servizi centralizzati di videosorveglianza remota da parte di fornitori (società di vigilanza, Internet service providers, fornitori di servizi video specialistici, ecc.). Il Garante, elencando alcune delle tipologie di sistemi integrati di videosorveglianza più diffusi (20), detta una serie di prescrizioni tecniche – organizzative che i titolari dei dati dovranno necessariamente rispettare. Tra queste spicca il nuovo obbligo di sottoporre a registrazione almeno semestrale gli access log eseguiti dagli incaricati al trattamento delle immagini registrate, ed anche le operazioni compiute dagli stessi con i relativi riferimenti temporali.
Adempimenti ulteriori. La verifica preliminare del Garante mediante atto di interpello.
I trattamenti di dati personali nell’ambito di una normale attività di videosorveglianza devono essere effettuati rispettando le misure e gli accorgimenti prescritti dal Garante nel suo nuovo Provvedimento generale. Vi possono però essere dei casi in cui l’attività di videosorveglianza, specie in ragione degli strumenti tecnologici utilizzati, pone una serie di rischi per i diritti e le libertà fondamentali nonché per la dignità degli interessati, tali da necessitare una verifica preliminare del Garante (21). Tra i casi espressamente richiamati ci sono, ad esempio:
– quelli dei sistemi di raccolta delle immagini associate a dati biometrici;
– dei sistemi di videosorveglianza dotati di software che permetta il riconoscimento della persona tramite collegamento o incrocio o confronto delle immagini rilevate (es. morfologia del volto) con altri specifici dati personali;
– dei sistemi c.d. intelligenti, che non si limitano a riprendere e registrare le immagini, ma sono in grado di rilevare automaticamente comportamenti o eventi anomali, segnalarli, ed eventualmente registrarli;
– infine, i sistemi con registrazione delle immagini superiori ad una settimana.
In questi casi, il trattamento dei dati può avvenire solo previa autorizzazione del Garante, che viene normalmente attivata mediante apposito atto di interpello, oppure in quanto lo stesso Garante si fosse già espresso con un proprio provvedimento e siano rispettate dal titolare le misure e gli accorgimenti così prescritti in tale provvedimento.
Esonero dal consenso: videosorveglianza per la protezione delle persone, della proprietà, del patrimonio aziendale.
In merito all’obbligo del consenso al trattamento dei dati, il Garante ricorda l’istituto del “bilanciamento di interessi” (22) in attuazione del quale vengono individuati i casi in cui la rilevazione delle immagini può avvenire senza consenso dell’interessato, ma pur sempre nel rispetto delle prescrizioni contenute nel Provvedimento generale. In particolare, il Garante fa riferimento a concrete situazioni che giustificano l’installazione dei sistemi di videosorveglianza a protezione delle persone, della proprietà o del patrimonio aziendale. Nell’uso delle apparecchiature volte a riprendere, con o senza registrazione delle immagini, aree esterne ad edifici e immobili (perimetrali, adibite a parcheggi o a carico/scarico merci, accessi, uscite di emergenza), il trattamento deve però venir compiuto con modalità tali da limitare l’angolo visuale all’area effettivamente da proteggere, evitando, per quanto possibile, la ripresa di luoghi circostanti e di particolari che non risultino rilevanti.
Sanzioni
Oltre ai puntuali rinvii che lo stesso provvedimento compie alle specifiche sanzioni pecuniarie amministrative previste dal codice per l’inosservanza di determinati singoli obblighi quali quelli sull’informativa e sulle misure di sicurezza, si ricorda che la violazione delle prescrizioni operative dettate dal provvedimento generale determina, in ogni caso, l’applicazione di sanzioni pecuniarie amministrative. Inoltre si ricorda che il trattamento di dati personali in violazione dei principi generali sanciti dal codice (e richiamati dal provvedimento) determina l’inutilizzabilità dei dati stessi.
Applicazione del nuovo Provvedimento: i termini di adeguamento alle nuove prescrizioni
L’adozione di un sistema di videosorveglianza implica necessariamente il rispetto delle prescrizioni contenute nel nuovo Provvedimento. Diversamente il trattamento dei dati personali effettuato tramite sistemi di videosorveglianza deve considerarsi illecito, con tutte le conseguenze, anche sanzionatorie, che ne derivano (23).
In considerazione dell’introduzione di nuove prescrizioni rispetto al procedente provvedimento, il Garante indica però anche dei diversi termini di applicazione del Provvedimento stesso, in ragione dell’adozione di specifiche misure ed accorgimenti in esso previsti alle quali i titolari del trattamento dei dati devono conformarsi:
a) entro dodici mesi dalla pubblicazione del Provvedimento in Gazzetta ufficiale (entro il 29 aprile 2011), rendere l’informativa visibile anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno;
b) entro sei mesi (entro il 29 ottobre 2010), sottoporre a verifica preliminare i trattamenti che presentano rischi specifici per i diritti e le libertà fondamentali degli interessati;
c) entro dodici mesi (entro il 29 aprile 2011), adottare le misure di sicurezza a protezione dei dati registrati tramite impianti di videosorveglianza;
d) entro sei mesi (entro il 29 ottobre 2010), adottare le misure necessarie a garantire il rispetto di quanto indicato nel Provvedimento in merito ai sistemi integrati di videosorveglianza.
Note
(1) Provvedimento in materia di videosorveglianza dell’8 aprile 2010 (pubblicato nella Gazzetta Ufficiale n. 99 del 29 aprile 2010).
(2) Provvedimento generale del 29 aprile 2004.
(3) Vedi Allegato n. 1 al Provvedimento generale dell’8 aprile 2010.
(4) Ai sensi quindi dell’art. 13, comma 1°, del Codice della privacy (D.lgs. 30 giugno 2003 n. 196).
(5) Vedi Allegato n. 2 al Provvedimento generale dell’8 aprile 2010.
(6) Art. 161 del Codice della privacy che prevede la sanzione amministrativa del pagamento di una somma da seimila euro a trentaseimila euro.
(7) Articoli 31 e ss. del Codice della privacy.
(8) Vedi 3.3.1. del Provvedimento generale dell’8 aprile 2010.
(9) Secondo l’art. 30 del Codice della privacy. Vanno osservate le regole ordinarie anche per ciò che attiene all’eventuale designazione di responsabili del trattamento previste all’art. 29 del Codice della privacy.
(10) Distinguendo così coloro che sono unicamente abilitati a visionare le immagini dai soggetti che possono anche effettuare, a determinate condizioni, ulteriori operazioni, quali, per esempio, registrare, copiare o cancellare le immagini, spostare l’angolo visuale, modificare lo zoom, ecc.
(11) Il mancato rispetto dei principi indicati dal garante può venir colpito ai sensi dell’art.162, comma 2-ter, del Codice della privacy (inosservanza dei provvedimenti di prescrizione di misure necessarie) con la sanzione amministrativa del pagamento di una somma da trentamila euro a centottantamila euro. L’omessa adozione delle misure minime di sicurezza comporta l’applicazione della sanzione amministrativa stabilita dall’art. 162, comma 2-bis del Codice della privacy (pagamento di una somma da diecimila euro a centoventimila euro) ed integra la fattispecie di reato prevista dall’art. 169 del Codice stesso (l’arresto sino a due anni e possibilità, però, di godere del regime del ravvedimento operoso previsto dal comma 2° dello stesso articolo).
(12) Ad esempio, “per peculiari esigenze tecniche (mezzi di trasporto) o per la particolare rischiosità dell’attività svolta dal titolare del trattamento (ad esempio, per alcuni luoghi come le banche può risultare giustificata l’esigenza di identificare gli autori di un sopralluogo nei giorni precedenti una rapina).”.
(13) Ai sensi dell’art. 17 del Codice della privacy.
(14) Vedi 3.4. del Provvedimento generale dell’8 aprile 2010: ”Il sistema di conservazione delle immagini impiegato deve essere programmato in modo da operare al momento prefissato l’integrale cancellazione automatica delle informazioni allo scadere del termine previsto da ogni supporto, anche mediante sovra-registrazione, con modalità tali da rendere non riutilizzabili i dati cancellati. In presenza di impianti basati su tecnologia non digitale o comunque non dotati di capacità di elaborazione tali da consentire la realizzazione di meccanismi automatici di expiring dei dati registrati, la cancellazione delle immagini dovrà comunque essere effettuata nel più breve tempo possibile per l’esecuzione materiale delle operazioni dalla fine del periodo di conservazione fissato dal titolare.”.
(15) Art. 162, comma 2-ter, del Codice della privacy (sanzione amministrativa del pagamento di una somma da trentamila euro a centottantamila euro).
(16) Art. 4, comma 1°, della Legge n. 300 del 1970 (Statuto dei lavoratori). Il Garante ricorda che “non devono quindi essere effettuate riprese al fine di verificare l’osservanza dei doveri di diligenza stabiliti per il rispetto dell’orario di lavoro e la correttezza nell’esecuzione della prestazione lavorativa (ad es. orientando la telecamera sul badge).”.
(17) Vedi art. 4, comma 2°, della Legge n. 300 del 1970 secondo cui: “Gli impianti e le apparecchiature di controllo che siano richiesti da esigenze organizzative e produttive ovvero dalla sicurezza del lavoro, ma dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere installati soltanto previo accordo con le rappresentanze sindacali aziendali, oppure, in mancanza di queste, con la commissione interna. In difetto di accordo, su istanza del datore di lavoro, provvede l’Ispettorato del lavoro, dettando, ove occorra, le modalità per l’uso di tali impianti.”.
(18) Articoli 136 e ss. del Codice della privacy.
(19) Secondo l’art.7, comma 4, lett. a), del Codice della privacy.
(20) Vedi 4.6 del Provvedimento generale dell’8 aprile 2010.
(21) Attivata d’ufficio o a seguito di un interpello del titolare ex art. 17 del Codice della privacy.
(22) Art. 24, comma 1, lett. g), del Codice della privacy.
(23) Inutilizzabilità dei dati personali trattati in violazione della relativa disciplina (art. 11, comma 2, del Codice della privacy); adozione di provvedimenti di blocco o di divieto del trattamento disposti dal Garante (art. 143, comma 1, lett. c), del Codice della privacy), e di analoghe decisioni adottate dall’autorità giudiziaria civile e penale; applicazione delle pertinenti sanzioni amministrative o penali (artt. 161 e ss. del Codice della privacy).