Con l’avvento del ben noto GDPR del 2016 e della Direttiva UE n. 680/2016 in materia di indagini e investigazioni di polizia (successivamente recepita in Italia tramite il D.lgs n. 51/2018), la normativa in materia di videosorveglianza è stata profondamente modernizzata e rivoluzionata.

Successivamente, a integrare il quadro normativo sono intervenute anche le linee guida n. 3/2019 dell’EDPB (Comitato Europeo per la Protezione dei Dati ).

Data la complessità della materia e i numerosi dubbi sorti tra gli operatori del settore, si è reso quindi necessario un intervento chiarificatore del Garante della Privacy, il cui ultimo contributo risaliva al 2010, con un provvedimento contenente prescrizioni parzialmente superate alla luce delle nuove norme.

Così, nel dicembre 2020 l’Autorità di Controllo italiana ha pubblicato sul proprio sito delle FAQ, ossia delle indicazioni generali che, rispondendo ai vari reclami e segnalazioni pervenuti all’Ufficio nei precedenti mesi, risultano estremamente utili per orientarsi nella vasta normativa del settore videosorveglianza.

Minimizzazione

Con le prime due risposte, il Garante ricapitola le norme applicabili in tema di videosorveglianza e i principi generali che governano la materia.

Oltre a rimandare alle più specifiche normative europee e nazionali sul punto, il Garante riafferma la vigenza e l’importanza delle norme civili e penali del nostro ordinamento relative alle interferenze illecite nella sfera privata e al controllo a distanza sul luogo di lavoro.

Il documento del Garante, inoltre, pone molta enfasi su due principi cardine del GDPR, ossia quello di Minimizzazione e quello di Responsabilizzazione.

Il Principio di Minimizzazione impone al titolare di scegliere modalità di ripresa e di gestione del trattamento meno invasive possibili e di trattare solo quei dati effettivamente pertinenti e non eccedenti le finalità perseguite. In poche parole, il titolare deve raccogliere e trattare solo quei dati di cui ha effettivamente bisogno.

La minimizzazione risulta fondamentale specialmente quando la videosorveglianza possa incidere su dati c.d. sensibili. In questo caso, il titolare del trattamento deve operare per minimizzare il rischio di acquisire immagini o filmati che rivelino questo tipo di dati, a prescindere dalle finalità.

Il trattamento dei dati sensibili è comunque consentito solo in circostanze eccezionali indicate dall’art. 9 del GPDR e impone al titolare una vigilanza rafforzata e costante.

Responsabilizzazione

Il Principio di Responsabilizzazione (c.d. Accountability), prevede, invece, che il titolare del trattamento sia investito della responsabilità di valutare la liceità e la proporzionalità del trattamento, analizzando il contesto, le finalità e i possibili rischi per diritti e libertà fondamentali.

Quindi, il titolare ha il potere di scegliere i mezzi e i fini del trattamento, ma è onerato della responsabilità di questa scelte e dovrà documentarle, così che ne possa eventualmente rendere conto a interessati e autorità di controllo.

L’accountability va esercitata a partire dalla scelta di installare o meno degli impianti di videosorveglianza. Difatti, le linee guida EDPB del 2019 (richiamate dallo stesso documento del Garante) affermano che l’adozione di sistemi di videosorveglianza non sia una scelta obbligata, laddove siano disponibili altri strumenti idonei al raggiungimento dei medesimi scopi.

Ulteriore estrinsecazione di tale principio è l’eventuale preventiva sottoposizione del trattamento a una valutazione di impatto sulla protezione dei dati, circostanza che viene ulteriormente approfondita nel punto 7.

Nell’enunciare il principio di Accountability, il documento ribadisce come non sia prevista nessuna autorizzazione del Garante della Privacy per installare sistemi di videosorveglianza.

Informativa agli interessati e tempo di conservazione delle immagini

Nel punto 3, il Garante rimarca l’obbligo di informare della presenza di telecamere i soggetti che transitano nelle aree interessate, anche in occasione di eventi pubblici e a prescindere dal soggetto, pubblico o privato che sia, che raccoglie e tratta le immagini.

Il punto seguente fornisce indicazioni pratiche su come predisporre tale informativa, offrendo altresì un modello semplificato da adattare a tutte le circostanze.

Per quanto riguarda i tempi di conservazione delle immagini, il Garante, in ossequio al principio di responsabilizzazione, chiarisce come questi, salvo diverse normative specifiche, vadano determinati dal titolare, valutando il contesto e le finalità del trattamento e i possibili rischi per diritti e libertà delle persone fisiche. In linea di massima, il documento sottolinea che i filmati andrebbero generalmente cancellati dopo pochi giorni, possibilmente in maniera automatica. Se il periodo di conservazione è particolarmente lungo (specialmente se eccede le 72 ore, limite indicato anche dalle linee guida EDPB) questa circostanza andrà opportunamente documentata e giustificata.

Conclusioni

Per altre utili indicazioni pratiche in tema di videosorveglianza, si rimanda alle ulteriori risposte fornite dal Garante e riportate sul sito web istituzionale.

Invece, per le aziende, le imprese e i liberi professionisti che vogliono aiuto e supporto nel mettersi in regola con il Regolamento Europeo n. 679/2016 il consiglio è quello di rivolgersi al network SeiSetteNove e richiedere una consulenza.

La 679 mette a disposizione del cliente una vera e propria task force di esperti del settore che gli fornirà un’idonea formazione e lo coadiuverà nell’adeguamento alla normativa europea e nella gestione dei vari adempimenti previsti, così da salvaguardare il patrimonio di dati aziendali, prevenire ogni rischio e implementare la propria competitività sul mercato.

Il team 679 valuta attentamente ogni specifica esigenza aziendale e imprenditoriale del cliente e gli propone un piano di azione personalizzato in grado di prevenire o risolvere ogni problema di natura tecnica e organizzativa. Il tutto all’insegna della multidisciplinarietà e della competenza.