Sono state pubblicate il 5 dicembre sul sito dell’Autorità Garante per la protezione dei dati personali le risposte alle domande più frequenti (FAQ) sui temi legati al trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti pubblici e privati. Vediamo quali sono i punti fermi ribaditi dall’Autorità e cosa cambia a seguito delle indicazioni maturate sulla base delle risposte fornite a reclami, segnalazioni e quesiti; che tengono conto delle nuove Linee guida emanate dal Comitato Europeo per la Protezione dei Dati (EDPB).
Punti fermi
Per installare un impianto di videosorveglianza, il titolare deve sempre effettuare una valutazione sulla liceità e sulla proporzionalità del trattamento, stabilendo anche se sia necessaria o meno una valutazione d’impatto (DPIA).
L’installazione di sistemi di rilevazione delle immagini, infatti, deve avvenire nel rispetto, oltre che della disciplina in materia di protezione dei dati personali, delle altre disposizioni dell’ordinamento applicabili: ad esempio, le norme dell’ordinamento civile e penale in materia di interferenze illecite nella vita privata o quelle in materia di controllo a distanza dei lavoratori. Non va trascurato, inoltre, il fatto che l’attività di videosorveglianza va effettuata nel rispetto del principio di minimizzazione dei dati riguardo alla scelta delle modalità di ripresa, dislocazione delle telecamere e gestione delle varie fasi del trattamento.
Gli interessati devono sempre essere informati (ex art. 13 del Regolamento) che stanno per accedere in una zona videosorvegliata, anche in occasione di eventi e spettacoli pubblici
L’informativa può essere fornita utilizzando un modello semplificato, che deve contenere, le indicazioni sul titolare del trattamento e sulla finalità perseguita. Un esempio è reperibile al seguente link: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9496244
Il cartello va collocato prima di entrare nella zona sorvegliata, mentre non è necessario rivelare la precisa ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza.
L’interessato deve poter capire quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario. L’informativa breve deve poi rinviare a un testo completo, indicando come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento o affisso in bacheche o locali dello stesso).
Cosa cambia
A seguito dell’impostazione data dal GDPR e dalle linee guida EDPB, la gestione di un impianto di videosorveglianza diventa l’esempio più calzante del principio di accountability (responsabilizzazione) attorno al quale è costruito il GDPR: infatti, non solo l’impostazione e l’analisi del processo che prevede l’istallazione dei sistemi di videocontrollo è responsabilità delle aziende, ma anche non spetta più alle Autorità di protezione dei dati personali dettare termini massimi di trattamento dei dati; anche se le loro indicazioni fornite nel tempo continuano ad avere validità come linee guida.
La logica conseguenza di tale impostazione è che anche alcuni dei termini di conservazione fissati dal Garante per la protezione dei dati personali prima dell’entrata in vigore del Regolamento possono, a seguito della dovuta analisi ed argomentazione delle necessità particolari, essere superati da scelte autonome e responsabili dei titolari del trattamento. In pratica, l’organizzazione è responsabile non solo per i trattamenti dei dati che effettua, ma anche delle modalità con cui li effettua in relazione alle sue esigenze, alle sue dimensioni aziendali, ai presidi di sicurezza che ha predisposto.
Tempi di conservazione
Conseguenza di quanto espresso sopra è che per i tempi di conservazione non c’è uno standard definito e ci si deve rifare all’articolo 5.2 del Regolamento: in altre parole, sarà necessario valutare le esigenze per cui è effettuata la videoripresa e parametrare a queste il tempo di conservazione.
In via generale, alla FAQ nr.5, viene evidenziato che gli scopi legittimi della videosorveglianza sono la sicurezza e la protezione del patrimonio, la cui eventuale compromissione è individuabile in uno o due giorni. Tenendo conto dei principi di minimizzazione dei dati e limitazione della conservazione, i dati personali dovrebbero essere – nella maggior parte dei casi– cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici.
Il Garante utilizza come esempio la finalità di tutela da atti vandalici per i negozi, per cui un tempo congruo può essere di 24 ore.
Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione, bilanciando correttamente le esigenze per le quali effettua le videoriprese con i tempi di conservazione e le cautele prese per evitare fughe di dati. In alcuni casi può essere necessario prolungare i tempi di conservazione delle immagini inizialmente fissati dal titolare o previsti dalla legge: ad esempio, per dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad un’attività investigativa in corso.
