Introduzione
In un mondo dove la sicurezza e l’efficienza sono pilastri fondamentali del successo aziendale, l’adozione di tecnologie avanzate, come i sistemi di videosorveglianza, diventa una scelta strategica inevitabile. Questa guida intende navigare i responsabili aziendali attraverso il percorso necessario per l’implementazione di tali sistemi, garantendo il rispetto delle normative vigenti e la salvaguardia dei diritti dei lavoratori.
Nell’ambito lavorativo, l’adozione di sistemi di videosorveglianza è una pratica che sta diventando sempre più comune.
Questi sistemi non solo garantiscono la sicurezza sul posto di lavoro ma offrono anche un supporto nelle dinamiche organizzative e nella tutela del patrimonio aziendale.
La fase preliminare
Durante la fase iniziale di progettazione di un sistema di videosorveglianza, ancor prima che diventi operativo, le aziende sono tenute a rispettare i principi fondamentali di “privacy by design” e “privacy by default”, come delineato nell’articolo 25 del GDPR.
Il concetto di privacy by design implica l’integrazione della protezione dei dati personali fin dalla fase di progettazione del sistema, assicurando che siano adottate misure tecniche e organizzative adeguate al livello di rischio associato.
Ciò significa che, già prima dell’inizio del trattamento dei dati (in questo caso, la raccolta delle immagini), devono essere implementate adeguate precauzioni di sicurezza.
D’altra parte, il principio di privacy by default assicura che, per impostazione predefinita, siano trattati solo i dati strettamente necessari per ciascuna specifica finalità di trattamento.
Prima dell’installazione e dell’attivazione del sistema di videosorveglianza, è quindi cruciale che l’azienda conduca verifiche approfondite per assicurarsi che siano state prese adeguate misure di sicurezza, conformemente all’articolo 32 del GDPR. Queste misure devono essere mantenute durante tutte le fasi del trattamento dei dati.
Inoltre, in linea con il principio di minimizzazione dei dati e l’approccio “by default”, è necessario selezionare impostazioni e opzioni che limitino il trattamento dei dati al minimo indispensabile per raggiungere gli scopi specifici per cui il sistema di videosorveglianza è stato implementato.
Questo processo inizia con una riflessione approfondita sulla disposizione ottimale delle telecamere, per assicurare che la loro installazione sia non solo efficace ma anche conforme alle normative vigenti in materia lavoristica e di protezione dei dati personali
L’implementazione di un sistema di videosorveglianza all’interno di un’azienda solleva questioni importanti che richiedono una valutazione preliminare accurata.
Occorre considerare due ambiti normativi fondamentali e interconnessi: il diritto del lavoro e la tutela della privacy e dei dati personali.
L’ambito giuslavoristico
Per quanto riguarda l’ambito giuslavoristico, il punto di riferimento è l’articolo 4 dello Statuto dei lavoratori (legge 300/1970), secondo il quale l’uso della videosorveglianza nei luoghi di lavoro è consentito solo per motivi legati all’organizzazione e alla produzione, per necessità relative alla sicurezza sul lavoro, o per la protezione dei beni aziendali.
l’installazione e l’attivazione dei sistemi di videosorveglianza sono permesse unicamente dopo aver raggiunto un accordo collettivo con la rappresentanza sindacale unitaria o con le rappresentanze sindacali aziendali. In assenza di tale accordo, o in caso di mancanza delle rappresentanze sindacali, l’installazione può procedere solo con l’autorizzazione dell’Ispettorato nazionale del lavoro competente per territorio, o, per le imprese con più unità produttive in diverse aree, della sede centrale dell’Ispettorato nazionale del lavoro.
L’ ambito privacy
Per quanto riguarda la protezione dei dati personali, è importante riconoscere che attività come la visualizzazione, registrazione, conservazione e, più in generale, qualsiasi utilizzo di immagini che ritraggono individui identificabili costituiscono trattamenti di dati personali, secondo quanto definito agli articoli 1 e 2 del GDPR (Regolamento (UE) 2016/679).
Nonostante la normativa europea sulla privacy e il Codice privacy italiano (D. Lgs. 196/2003, successivamente aggiornato dal D. Lgs. 101/2018) rappresentino i pilastri di riferimento, ulteriori dettagli specifici sull’installazione dei sistemi di videosorveglianza possono essere trovati nel provvedimento del Garante per la protezione dei dati personali dell’8 aprile 2010, nelle FAQ pubblicate a dicembre 2020 dalla stessa autorità, e nelle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” emesse dal Comitato europeo per la protezione dei dati (EDPB).
Il provvedimento del Garante per la protezione dei dati personali dell’8 aprile 2010
Il Provvedimento del Garante per la protezione dei dati personali dell’8 aprile 2010 stabilisce le regole per l’uso dei sistemi di videosorveglianza in relazione al trattamento dei dati personali. Questo provvedimento è stato adottato per rispondere alle numerose richieste di chiarimenti, segnalazioni, reclami e richieste di verifica preliminare in materia di videosorveglianza che sono state presentate all’Autorità Garante.
Principi Generali
Il Provvedimento del Garante per la protezione dei dati personali dell’8 aprile 2010 stabilisce i principi generali per il trattamento dei dati personali mediante l’uso di sistemi di videosorveglianza. Questi principi sono fondamentali per garantire che l’uso della videosorveglianza sia conforme alle disposizioni generali in tema di protezione dei dati personali, rispettando i diritti e le libertà fondamentali degli individui.
In questo contesto, “dato personale” si estende a qualsiasi dettaglio che possa rivelare l’identità di una persona, direttamente o attraverso collegamenti con altre informazioni.
Esplorando vari usi, scopriamo che la videosorveglianza serve a scopi diversificati, che possono essere sintetizzati in quattro categorie principali:
1) La salvaguardia delle persone e la loro sicurezza, che abbraccia la protezione civica, la prevenzione e l’indagine crimini, migliorando al contempo i servizi pubblici per una maggiore sicurezza dei cittadini, secondo quanto stabilito dalla legge;
2) La tutela dei beni;
3) Il monitoraggio e la deterrenza di violazioni legali da parte delle autorità, nel rispetto delle loro prerogative legali;
4) La raccolta di prove.
La priorità è garantire che i diritti fondamentali e le libertà non siano compromessi dall’uso della videosorveglianza. Questo implica un utilizzo misurato che non invada indebitamente la sfera privata delle persone.
L’installazione di sistemi di videosorveglianza deve conformarsi non solo alle norme sulla privacy, ma anche ad altre leggi pertinenti, come quelle che regolano la privacy nella vita privata, la sorveglianza a distanza dei dipendenti, la sicurezza negli stadi e impianti sportivi, e le norme specifiche per musei, biblioteche, archivi statali, navi passeggeri, porti, stazioni ferroviarie, metropolitane e trasporti urbani.
Liceità del Trattamento
Il trattamento dei dati personali attraverso sistemi di videosorveglianza deve essere fondato su uno dei presupposti di liceità previsti dal Codice in materia di protezione dei dati personali. Per i soggetti pubblici, ciò include lo svolgimento di funzioni istituzionali, mentre per soggetti privati ed enti pubblici economici, può includere l’adempimento di un obbligo di legge, il consenso libero ed espresso dell’interessato, o il bilanciamento di interessi
Principio di Necessità
Il principio di necessità implica che il trattamento dei dati attraverso sistemi di videosorveglianza debba essere limitato ai dati strettamente necessari per realizzare le finalità per le quali sono raccolti. Ciò comporta un obbligo di configurare sistemi informativi e programmi informatici in modo da ridurre al minimo l’utilizzo di dati personali, privilegiando, ove possibile, l’impiego di dati anonimi
Principio di Proporzionalità
Il trattamento dei dati deve essere proporzionale alle finalità perseguite. Ciò significa che le modalità di ripresa e dislocazione delle telecamere, così come le varie fasi del trattamento dei dati, devono essere pertinenti e non eccedenti rispetto alle finalità dichiarate. Il principio di proporzionalità richiede quindi una valutazione attenta delle modalità di trattamento in relazione agli obiettivi specifici che si intendono raggiungere
Informazione e Trasparenza
La necessità di informare le persone sull’esistenza di sistemi di videosorveglianza nelle aree che frequentano è più che una cortesia; è un imperativo legale e morale. Questo principio si applica con uguale forza sia in contesti quotidiani che in occasioni speciali come concerti o eventi sportivi.
Per facilitare questa comunicazione, esiste un modello standard di informativa, concepito per essere conciso ma informativo, delineando chiaramente chi gestisce il sistema e a quale scopo.
Questo modello, benché flessibile per adattarsi a vari contesti, assicura che nessuno entri inconsapevolmente in un’area sorvegliata. La visibilità di tali avvisi è cruciale, richiedendo che siano collocati strategicamente per essere ben visibili, indipendentemente dall’ora del giorno o dalle condizioni di luce.
In situazioni dove la sicurezza pubblica è di primaria importanza, come nelle operazioni condotte dalle forze dell’ordine, le regole standard sull’informativa possono essere modificate.
Qui, il fine ultimo di proteggere l’ordine e la sicurezza pubblica può talvolta giustificare un approccio più riservato all’uso della videosorveglianza.
La mancata adesione a queste pratiche di informativa non è solo una questione di etica ma porta anche a conseguenze legali, sottolineando l’importanza di una comunicazione chiara e accessibile. Inoltre, queste linee guida riflettono un equilibrio delicato tra il mantenimento della sicurezza pubblica e il rispetto dei diritti individuali, un equilibrio che deve essere costantemente navigato con cura e considerazione.
Gli interessati devono essere sempre informati dell’esistenza di sistemi di videosorveglianza. Questo obbligo di informativa si estende anche ai casi di eventi e spettacoli pubblici.
Il Garante raccomanda l’uso di un modello semplificato di informativa che indichi il titolare del trattamento e la finalità perseguita, rendendo disponibile un testo completo contenente tutti gli elementi richiesti dall’art. 13 del Codice in materia di protezione dei dati personali
La valutazione di impatto
Nell’ambito dell’implementazione di sistemi di videosorveglianza, è fondamentale garantire la tutela della privacy e la dignità delle persone coinvolte. Questo processo inizia con una valutazione preliminare rigorosa, come delineato dall’Autorità competente.
Tale verifica è obbligatoria in situazioni dove l’uso dei dati personali, specialmente quelli di natura sensibile come i dati biometrici, potrebbe comportare rischi significativi per i diritti fondamentali e la dignità delle persone.
In particolare, i sistemi che combinano la raccolta di immagini con il riconoscimento facciale o altri tipi di dati biometrici richiedono un’attenzione particolare. Questo perché l’uso indiscriminato di tali informazioni potrebbe portare a conseguenze dannose, come l’abuso o l’utilizzo improprio dei dati. Pertanto, è essenziale prevenire queste eventualità attraverso misure preventive adeguate.
La verifica preliminare si estende anche ai sistemi di videosorveglianza “intelligenti”, capaci non solo di registrare immagini ma anche di identificare comportamenti o eventi insoliti in modo autonomo. Queste tecnologie avanzate, sebbene potenzialmente utili, sollevano questioni etiche e di privacy a causa della loro capacità di influenzare e modificare il comportamento delle persone, rendendo il loro utilizzo giustificabile solo in circostanze eccezionali e dopo un’attenta valutazione di necessità e proporzionalità.
La verifica è altresì necessaria per l’uso di sistemi integrati di videosorveglianza che si discostano dalle pratiche standardizzate precedentemente definite.
Un esempio specifico riguarda la proroga dei termini di conservazione delle immagini registrate oltre il limite massimo di sette giorni, a meno che non sia richiesto esplicitamente da autorità giudiziarie o di polizia per indagini in corso.
Esclusione della verifica preliminare
In contesti dove i sistemi di videosorveglianza sono impiegati per la raccolta di dati personali, esistono situazioni in cui il processo di verifica preliminare da parte dell’Autorità garante non è necessario.
Questa esenzione si applica solo se sono soddisfatte tutte le condizioni elencate di seguito:
a) L’Autorità ha già fornito un parere attraverso un provvedimento di verifica preliminare per specifiche categorie di responsabili del trattamento o tipologie di trattamento dati;
b) La situazione specifica, incluse le finalità del trattamento, le caratteristiche e le modalità di utilizzo del sistema proposto, nonché le categorie di responsabili del trattamento, sono conformi a quelle già esaminate e approvate dall’Autorità;
c) Sono rispettate tutte le misure e le precauzioni indicate nel provvedimento dell’Autorità, sia quelle esplicitamente menzionate sia quelle implicitamente comprese.
È importante notare che l’utilizzo standard di un sistema di videosorveglianza, che non rientra nelle casistiche che richiedono una verifica preliminare come specificato nella sezione precedente, non necessita di una valutazione preventiva da parte dell’Autorità, purché sia gestito in conformità con le direttive stabilite.
Inoltre, è essenziale comprendere che l’invio all’Autorità di documentazione relativa a progetti di videosorveglianza, che spesso possono essere generici e non adeguatamente dettagliati per una valutazione a distanza, non implica un’approvazione tacita.
Difatti, l’assenza di una risposta esplicita da parte dell’Autorità non equivale a un consenso implicito, in quanto non si applica il principio di silenzio-assenso in questi casi.
La notifica
In particolare, l’Autorità ha chiarito che non necessitano di notifica i trattamenti dati effettuati con l’unico scopo di garantire la sicurezza, la protezione delle persone o dei beni, anche in caso questi dati si riferiscano a comportamenti illeciti o fraudolenti, a condizione che le informazioni raccolte (sia immagini che suoni) siano conservate solo per un periodo temporaneo.
L’articolo 37 del Codice della privacy è stato abrogato dal D.Lgs. 10 agosto 2018, n. 101
Sicurezza dei Dati
I dati raccolti mediante sistemi di videosorveglianza devono essere protetti con idonee misure di sicurezza, per prevenire rischi di distruzione, perdita, accesso non autorizzato o trattamento non consentito. Questo include l’adozione di misure tecniche ed organizzative adeguate per garantire la sicurezza e la riservatezza dei dati personali trattati
Queste precauzioni sono essenziali per minimizzare i rischi di danneggiamento, perdita accidentale, accesso non autorizzato o trattamento inappropriato dei dati, compresa la trasmissione di immagini. Per raggiungere questo obiettivo, è necessario implementare specifiche strategie tecniche e organizzative.
Queste strategie devono permettere ai responsabili dei dati di monitorare chi accede alle immagini e gestisce i sistemi di videosorveglianza. Dato l’ampio range di applicazioni e la diversità tecnologica dei sistemi di videosorveglianza, le misure di sicurezza possono variare notevolmente. Tuttavia, devono sempre aderire ai seguenti principi fondamentali:
a) Deve essere garantita una differenziazione nei livelli di accesso e trattamento delle immagini in base alle specifiche competenze degli operatori. Se possibile, questi soggetti dovrebbero disporre di credenziali di autenticazione personalizzate che limitino le operazioni alle sole funzioni loro attribuite.
b) Nei sistemi configurati per registrare e conservare le immagini, è cruciale limitare rigorosamente la possibilità per gli utenti autorizzati di visionare, cancellare o duplicare le registrazioni, sia in tempo reale che in differita.
c) Devono essere adottate misure tecniche o organizzative per assicurare l’eliminazione automatica delle registrazioni al termine del periodo di conservazione stabilito.
d) In caso di necessità di manutenzione, l’accesso alle immagini deve essere consentito solo se strettamente necessario per svolgere controlli tecnici e solo in presenza di personale con le adeguate credenziali di autenticazione.
e) I dispositivi di videosorveglianza digitali connessi a reti informatiche devono essere protetti da possibili accessi abusivi, in conformità con le disposizioni legali contro l’accesso illecito ai sistemi informatici.
f) La trasmissione di immagini attraverso reti pubbliche di comunicazione deve avvenire utilizzando tecniche crittografiche che ne assicurino la riservatezza, con la stessa attenzione rivolta alla trasmissione di immagini da dispositivi con connessione wireless.
Questi principi di sicurezza sono fondamentali per garantire che i dati personali raccolti tramite videosorveglianza siano trattati in modo responsabile e protetto da abusi o violazioni.
Le persone autorizzate
Prima di procedere con qualsiasi forma di trattamento delle immagini catturate dal sistema di videosorveglianza, compresa la loro condivisione con individui sia all’interno che all’esterno dell’organizzazione, è fondamentale per un’azienda stabilire procedure formali. Questo include la nomina ufficiale e la fornitura di istruzioni precise a coloro che avranno accesso alle immagini sotto l’autorità dell’azienda.
Nell’ambito della gestione dei sistemi di videosorveglianza, è essenziale che il titolare o il responsabile del trattamento dei dati personali identifichi chiaramente e per iscritto le persone autorizzate ad accedere ai locali delle postazioni di controllo e a utilizzare gli impianti.
Questo include, quando necessario per gli scopi perseguiti, la possibilità di visionare le immagini, come stabilito dall’articolo 30 del Codice sulla protezione dei dati personali. È importante limitare il numero di queste persone, soprattutto quando si coinvolgono collaboratori esterni, per garantire la sicurezza e la riservatezza dei dati raccolti.
Inoltre, è fondamentale stabilire diversi livelli di accesso che corrispondano alle specifiche funzioni assegnate a ciascun operatore. Ciò significa distinguere tra coloro che hanno il permesso solo di visualizzare le immagini e coloro che, sotto determinate condizioni, possono eseguire operazioni aggiuntive come la registrazione, la copia, la cancellazione, l’aggiustamento dell’angolo di visuale o dello zoom delle immagini.
Per il personale interno incaricato di visualizzare o consultare le immagini o le registrazioni, non solo è necessaria una formazione specifica, ma deve anche essere prevista una nomina formale che li designi o autorizzi esplicitamente al trattamento dei dati. Questa nomina deve includere istruzioni dettagliate sui doveri e i divieti relativi alla gestione delle immagini.
Per quanto riguarda le parti esterne, come le società di sicurezza o le aziende di manutenzione che necessitano di accedere al sistema per scopi di assistenza, è essenziale nominarle responsabili del trattamento dei dati conformemente all’articolo 28 del GDPR. Questo implica definire chiaramente, attraverso contratti o altri documenti legali, l’ambito delle attività che sono autorizzate a svolgere per conto dell’azienda, assicurando così la conformità con i principi di privacy e protezione dei dati.
La durata della conservazione
Quando si tratta della registrazione e successiva conservazione delle immagini catturate da un sistema di videosorveglianza, è cruciale determinare la durata di tale conservazione in modo riflessivo, considerando attentamente sia il contesto sia le finalità per cui le immagini sono state raccolte.
Originariamente, secondo le linee guida del Garante per la privacy del 2010, il periodo di conservazione in ambito privato era limitato a un massimo di 24 ore dopo la cattura delle immagini, eccezion fatta per casi specifici che richiedevano una conservazione prolungata, come durante le festività, la chiusura di uffici o in risposta a richieste investigative da parte delle autorità.
Tuttavia, aggiornamenti più recenti suggeriscono che, nella maggior parte dei casi, le immagini dovrebbero essere eliminate entro pochi giorni dall’acquisizione, idealmente attraverso processi automatizzati, per minimizzare il rischio di conservazione non necessaria.
Questo approccio enfatizza l’importanza dell’accountability e della responsabilizzazione, come delineato nel GDPR.
Di conseguenza, qualsiasi decisione di estendere il periodo di conservazione oltre il minimo necessario richiede una giustificazione ben argomentata e documentata da parte dell’azienda, per assicurare che tale scelta sia in linea con i principi di proporzionalità e necessità.
Queste eccezioni possono includere particolari necessità legate a festività, chiusura di uffici o esercizi commerciali, o specifiche richieste investigative da parte dell’autorità giudiziaria o di polizia. In circostanze particolari, come nel caso di mezzi di trasporto o attività con un alto livello di rischio (ad esempio, banche), può essere giustificato un periodo di conservazione esteso, ma sempre entro il limite massimo di una settimana.
Qualsiasi estensione del periodo di conservazione oltre la settimana richiede una verifica preliminare da parte del Garante per la protezione dei dati personali.
Tale estensione deve essere considerata eccezionale e giustificata da specifiche esigenze di sicurezza, legate a situazioni di rischio concrete e imminenti, e limitata al periodo in cui persiste tale necessità.
La congruità di un periodo di conservazione esteso può anche dipendere dalla necessità di rispondere a specifiche richieste dell’autorità giudiziaria o di polizia in relazione a indagini in corso.
I sistemi di videosorveglianza devono essere programmati per cancellare automaticamente tutte le informazioni al termine del periodo di conservazione prestabilito, attraverso meccanismi come la sovrascrittura, garantendo che i dati cancellati non siano più riutilizzabili.
Nei casi di tecnologia non digitale o in assenza di capacità di elaborazione per la cancellazione automatica, le immagini devono essere eliminate nel più breve tempo possibile una volta terminato il periodo di conservazione definito.
Il mancato rispetto dei termini di conservazione stabiliti e l’omissione dell’obbligo di cancellazione delle immagini oltre il limite temporale previsto comportano sanzioni amministrative come indicate dall’articolo 162, comma 2-ter, del Codice.
Diritti dell’Interessato
Il provvedimento sottolinea l’importanza dei diritti dell’interessato sui suoi dati personali, stabilendo che questi diritti devono essere esercitati senza formalità e gratuitamente, salvo in casi di richieste reiterate, eccessive o infondate.
È essenziale garantire che le persone identificabili coinvolte in sistemi di videosorveglianza possano esercitare efficacemente i propri diritti secondo quanto previsto dal Codice sulla protezione dei dati personali. Tra questi diritti fondamentali rientra la possibilità di accedere ai dati che li riguardano, per verificare le finalità, le modalità e la logica sottostante al loro trattamento
Quando viene presentata una richiesta di accesso ai dati, la risposta deve includere tutte le informazioni relative all’individuo identificabile che ha fatto la richiesta. È possibile includere dati che riguardano terze parti solo nei limiti consentiti dal Codice. Questo significa che informazioni su terzi possono essere fornite solo se la separazione dei dati trattati o la rimozione di alcuni elementi non rende i dati personali dell’interessato incomprensibili.
Per quanto riguarda le immagini registrate, non è possibile esercitare il diritto di aggiornamento, rettificazione o integrazione a causa della natura intrinseca dei dati raccolti, che sono immagini catturate in tempo reale di eventi obiettivi.
Tuttavia, l’individuo ha il diritto di richiedere il blocco dei dati se questi sono stati trattati in violazione delle leggi. Questo riflette l’importanza di trattare i dati personali con la massima cura e in conformità con le normative vigenti, assicurando al contempo che le persone coinvolte possano esercitare i loro diritti legali.
SETTORI SPECIFICI
Rapporti di lavoro
Nel contesto lavorativo, è fondamentale rispettare il divieto di controllo a distanza delle attività dei lavoratori. Questo significa che l’installazione di sistemi di videosorveglianza non deve avere lo scopo di monitorare l’adempimento dei doveri lavorativi, come l’osservanza dell’orario di lavoro o la correttezza nell’esecuzione delle mansioni.
Ad esempio, non è consentito posizionare telecamere in modo da controllare l’uso dei badge dei dipendenti.
Tuttavia, l’utilizzo della videosorveglianza può essere giustificato da esigenze organizzative, produttive o per garantire la sicurezza sul lavoro. In questi casi, l’installazione di tali sistemi deve avvenire in accordo con le rappresentanze sindacali aziendali o, in loro assenza, con la commissione interna. Se non si raggiunge un accordo, l’Ispettorato del lavoro può intervenire, stabilendo le modalità di utilizzo dei sistemi di videosorveglianza.
Queste garanzie sono applicabili sia negli ambienti interni, come gli uffici, sia in contesti esterni, come i cantieri edili o i veicoli utilizzati per il trasporto pubblico o il servizio taxi.
In questi ultimi casi, le telecamere non devono focalizzarsi stabilmente sulla postazione di guida e le immagini raccolte per motivi di sicurezza o per accertare illeciti non possono essere usate per controllare l’attività lavorativa dei dipendenti.
Violare queste normative comporta sanzioni amministrative, come previsto dall’articolo 162, comma 2-ter, del Codice.
Inoltre, l’utilizzo di sistemi di videosorveglianza per il controllo a distanza dei lavoratori o per indagare sulle loro opinioni costituisce reato ai sensi dell’articolo 171 del Codice.
D’altro canto, le riprese effettuate nei luoghi di lavoro per scopi divulgativi, istituzionali o aziendali, coinvolgendo il personale, possono essere considerate trattamenti temporanei di dati personali per la pubblicazione occasionale. In questi casi, si applicano le norme relative all’attività giornalistica previste dal Codice, rispettando sempre la privacy e il diritto dei lavoratori di tutelare la propria immagine, anche opponendosi alla diffusione delle immagini per motivi legittimi.
Ospedali e case di cura
Nel contesto degli ospedali e dei luoghi di cura, l’uso di sistemi di videosorveglianza per il monitoraggio di ambienti sanitari e pazienti deve essere attentamente valutato, data la sensibilità dei dati che possono essere raccolti. Questa sorveglianza dovrebbe essere limitata esclusivamente ai casi in cui si dimostra una indispensabilità comprovata, legata a specifiche necessità di cura e alla tutela della salute degli individui coinvolti.
Per assicurare un adeguato livello di riservatezza e dignità per le persone malate, è necessario adottare tutte le precauzioni necessarie, seguendo anche le linee guida stabilite dal provvedimento generale del 9 novembre 2005, in attuazione dell’articolo 83 del Codice sulla protezione dei dati personali.
L’accesso alle immagini catturate per tali finalità deve essere riservato esclusivamente a personale specificamente autorizzato, come medici e infermieri.
Inoltre, deve essere prestata particolare attenzione alle modalità con cui terze parti legittimate (familiari, parenti, conoscenti dei pazienti) possono accedere alle riprese video, soprattutto in reparti dove la visita diretta non è consentita. A queste persone può essere permesso di vedere le immagini del proprio congiunto o conoscente, ma solo con adeguate misure tecniche che ne garantiscano la privacy.
La diffusione di immagini che possano rivelare lo stato di salute dei pazienti è rigorosamente vietata, come sancito dall’articolo 22, comma 8, del Codice.
È fondamentale evitare qualsiasi rischio che le immagini di persone malate possano essere esposte su monitor accessibili al pubblico.
Violare queste disposizioni comporta sanzioni amministrative secondo quanto previsto dall’articolo 162, comma 2-ter, del Codice. La diffusione non autorizzata di immagini, in violazione dell’articolo 22, comma 8, del Codice, oltre a determinare sanzioni amministrative come da articolo 162, comma 2-bis, costituisce anche un reato ai sensi dell’articolo 167, comma 2.
Le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” del Comitato Europeo per la Protezione dei Dati (EDPB)
L’European Data Protection Board (EDPB) fornisce raccomandazioni dettagliate per assicurare che i sistemi di videosorveglianza siano protetti sia da interferenze deliberate che accidentali. Queste linee guida includono:
- La protezione dell’intera infrastruttura del sistema di videosorveglianza, che comprende telecamere remote, cablaggi e alimentazione, per prevenire manomissioni fisiche e furti.
- L’assicurazione che la trasmissione dei filmati avvenga attraverso canali di comunicazione sicuri, resistenti alle intercettazioni.
- La cifratura dei dati per proteggere le informazioni sensibili da accessi non autorizzati.
- L’impiego di strumenti hardware e software, come firewall, antivirus o sistemi di rilevamento delle intrusioni, per difendersi contro gli attacchi informatici.
- Il monitoraggio costante per il rilevamento di eventuali guasti nei componenti, nel software e nelle interconnessioni del sistema.
- La disponibilità di strumenti capaci di ripristinare l’accesso e la disponibilità dei dati personali in caso di incidenti, sia di natura fisica che tecnica.
Queste misure sono essenziali per garantire la sicurezza e l’integrità dei sistemi di videosorveglianza, proteggendo così sia le infrastrutture che i dati personali trattati.
Principi Generali
Le linee guida sottolineano l’importanza di rispettare i principi fondamentali del GDPR quando si tratta di videosorveglianza, tra cui la liceità, la correttezza e la trasparenza del trattamento, la limitazione delle finalità, la minimizzazione dei dati, l’accuratezza, la limitazione della conservazione, l’integrità e la riservatezza, nonché la responsabilità del titolare del trattamento[3][4][5][6][7][8][9][10].
Finalità del Trattamento
Il trattamento dei dati personali attraverso dispositivi video deve essere effettuato per finalità legittime, specifiche ed esplicite, adeguatamente documentate per iscritto. Le finalità comuni includono la protezione della proprietà e di altri beni, la protezione della vita e dell’integrità fisica degli individui, e la raccolta di prove per cause civili. È fondamentale che le finalità del trattamento siano specificate per ogni telecamera di sorveglianza in uso e che gli interessati siano informati di queste finalità[6].
Trasparenza e Obblighi di Informazione
Gli interessati devono essere adeguatamente informati riguardo al trattamento dei loro dati personali attraverso dispositivi video. Ciò include la fornitura di informazioni chiare e accessibili sulle finalità del trattamento, sull’identità del titolare del trattamento, sui destinatari dei dati, sui diritti degli interessati e su come esercitarli. Le informazioni devono essere fornite in modo proattivo, ad esempio attraverso cartelli visibili nelle aree videosorvegliate
Limitazione della Conservazione
I dati personali raccolti attraverso la videosorveglianza devono essere conservati solo per il tempo strettamente necessario a raggiungere le finalità per le quali sono stati raccolti. Dopo tale periodo, i dati devono essere cancellati o resi anonimi in modo che gli interessati non siano più identificabili
Misure di Sicurezza
Le linee guida enfatizzano l’importanza di implementare misure tecniche e organizzative adeguate per garantire la sicurezza dei dati personali trattati attraverso dispositivi video. Ciò include la protezione contro l’accesso non autorizzato, la distruzione, la perdita o l’alterazione dei dati
Diritti dell’Interessato
Gli interessati hanno diritto di accedere ai dati personali che li riguardano, di richiederne la rettifica o la cancellazione, di opporsi al trattamento e di esercitare il diritto alla portabilità dei dati. Le linee guida specificano come questi diritti si applicano nel contesto della videosorveglianza e come i titolari del trattamento dovrebbero facilitarne l’esercizio[3][4][5][6][7][8][9][10].
In sintesi, le “Linee guida 3/2019” dell’EDPB forniscono una guida essenziale per garantire che l’uso di dispositivi video per la videosorveglianza sia conforme ai requisiti del GDPR, sottolineando l’importanza di rispettare i principi di protezione dei dati, di informare adeguatamente gli interessati e di adottare misure di sicurezza appropriate.
i primi passi
Prima di tutto, è cruciale verificare se la vostra azienda ha già avuto interazioni con enti ispettivi, in particolare per infrazioni legate all’articolo 4 della Legge 300/1970. Se è stato redatto un verbale, è importante annotarne il numero e la data. Questo passaggio preliminare aiuta a delineare il contesto in cui si inserisce la decisione di adottare un sistema di videosorveglianza.
Il cuore della questione riguarda le motivazioni che spingono all’installazione di tale sistema.
Queste devono essere chiaramente legate a necessità ben definite, come il miglioramento dell’organizzazione e della produttività, la sicurezza sul lavoro, o la protezione dei beni aziendali.
È fondamentale che queste ragioni siano non solo valide ma anche ben documentate.
Un altro aspetto da considerare è la dimensione umana dell’azienda, ossia il numero di persone che vi lavorano.
La procedura di richiesta per l’installazione di sistemi di videosorveglianza assume una rilevanza particolare solo quando l’azienda è animata da lavoratori. Questo dettaglio non è trascurabile, poiché pone le basi per un approccio che consideri l’impatto delle decisioni aziendali sulle persone.
Infine, la presenza o l’assenza di rappresentanze sindacali gioca un ruolo determinante nel processo decisionale.
Nel caso in cui esistano tali rappresentanze, è prioritario cercare di raggiungere un accordo condiviso prima di procedere con qualsiasi iniziativa. Solo se questo tentativo dovesse fallire, o in assenza di rappresentanze, si può considerare l’opzione di rivolgersi direttamente all’Ispettorato per ottenere l’autorizzazione necessaria.
In sintesi, l’introduzione di un sistema di videosorveglianza in azienda non è un passo da compiere alla leggera.
Richiede una riflessione approfondita su più fronti, dalla legalità alle implicazioni etiche, passando per il dialogo costruttivo con i lavoratori. Seguendo queste linee guida, le aziende possono navigare con sicurezza verso un futuro più sicuro e produttivo, nel pieno rispetto di tutti gli stakeholder coinvolti.
La domanda
Per le aziende interessate all’installazione di tali sistemi, è essenziale procedere con una richiesta formale di autorizzazione all’Ispettorato del Lavoro. Questo passaggio è obbligatorio in assenza di rappresentanze sindacali o quando, nonostante la loro presenza, non si giunge a un accordo.
La legge stabilisce che l’uso di dispositivi audiovisivi per monitorare i dipendenti può avvenire solo per motivazioni legate all’organizzazione e alla produttività, alla sicurezza sul lavoro o alla protezione del patrimonio aziendale.
La procedura per richiedere l’autorizzazione inizia con il download e la compilazione di un modulo specifico, reso disponibile dall’Ispettorato nazionale del lavoro sul proprio sito web.
Questo modulo richiede dati dettagliati sulla sede dell’azienda, sul legale rappresentante e sulle motivazioni alla base dell’installazione del sistema di videosorveglianza. È importante notare che la richiesta deve essere avanzata solo se vi sono lavoratori impiegati nell’azienda e deve specificare se esistono o meno rappresentanze sindacali.
La dichirazione di intenti
- Le telecamere cattureranno solo gli spazi dove l’attività lavorativa si svolge, in linea con le necessità espresse all’inizio del processo.
- Saranno rispettate le zone di privacy assoluta dei lavoratori, come i luoghi di riposo e i bagni, tenendoli fuori dalla sorveglianza visiva.
- Laddove fattibile, le postazioni di lavoro non saranno sotto osservazione costante, per mantenere un equilibrio tra sicurezza e privacy.
- Le registrazioni saranno custodite con cura, senza mai renderle pubbliche, salvo che per ordine diretto dell’autorità giudiziaria.
- I lavoratori saranno informati adeguatamente sull’uso delle telecamere e sulle procedure di controllo, in piena trasparenza e nel rispetto delle leggi sulla privacy.
- Sarà garantita la conformità con il Regolamento UE 670/2016, che tutela i dati personali e la loro integrità.
Gli allegati
La domanda andrà corredata dei seguenti allegati
1) Relazione dettagliata, firmata dal Legale Rappresentante, dalla quale si evincono le ragioni di
carattere organizzativo; produttivo; sicurezza sul lavoro ovvero di tutela del patrimonio
aziendale poste a fondamento dell’istanza;
2) Planimetria, in duplice copia, in formato massimo A3 dei locali ove sarà installato l’impianto,
firmata dal Legale Rappresentante, nella quale dovranno essere riportati i seguenti elementi:
a) numerazione e posizione delle telecamere interne ed esterne (indicare se fisse o rotanti);
b) Lunghezza focale e profondità di campo delle telecamere, espressa in metri;
c) raggio d’azione delle telecamere e ampiezza focale effettiva (angolo di campo) dei
dispositivi, espressa in gradi (evidenziare l’eventuale dotazione di dispositivo che consenta la
variazione dell’ampiezza del campo visivo);
d) esatta ubicazione delle postazioni fisse di lavoro (evidenziare sulla planimetria la posizione
delle postazioni fisse di lavoro con descrizione degli arredi e delle attrezzature – avendo cura
di escluderle per quanto possibile dal cono di ripresa delle telecamere);
e) posizione dei monitor e del dispositivo di registrazione.
3) Dettagliata relazione tecnico-descrittiva sulla gestione e l’utilizzo dell’impianto di
videosorveglianza, firmata dal Legale Rappresentante.
Poiché che la relazione di cui trattasi farà parte integrante, insieme alla planimetria, del provvedimento autorizzativo, essa dovrà
contenere tutti gli elementi già descritti nell’istanza tra i quali: modalità di funzionamento –modalità di conservazione dei dati e loro gestione –lavoratore/i designato/i, nonché i seguenti elementi:
- numero telecamere interne, distinte per fisse e rotanti, con loro caratteristiche tecniche di
cui al precedente punto 1) lett. b) e c); - numero telecamere esterne, distinte per fisse e rotanti con loro caratteristiche tecniche di
cui al precedente punto 1) lett. b) e c); - dispositivo di registrazione – tipo, dislocazione e caratteristiche;
- numero di monitor di visualizzazione/accesso in rete immagini e loro posizionamento;
- fascia oraria di attivazione dell’impianto;
- specifiche e modalità di funzionamento del sistema di videosorveglianza;
- 4) n. 1 marca da bollo da €16,00 per l’istanza e n. 1 marca da bollo da €16,00 per il rilascio del
provvedimento (in totale n. 2 marche da bollo da €16,00)8 da consegnarsi a mano o a mezzo
posta
- 5) n. 1 busta affrancata, se richiesto il recapito del provvedimento autorizzativo a mezzo posta.
La relazione allegata
La relazione allegata al documento deve illuminare due aree fondamentali:
Motivazioni Profonde: All’inizio, è essenziale delineare con precisione i bisogni che spingono l’azienda verso l’adozione di un sistema di videosorveglianza.
Questa sezione deve scavare nei dettagli, esplorando le ragioni organizzative, produttive, di sicurezza o di protezione dei beni che hanno sollecitato tale decisione.
È importante che questa analisi non solo elenchi le esigenze ma le descriva in maniera approfondita, fornendo esempi concreti per ciascuna categoria menzionata.
Inoltre, è cruciale ricordare che ogni passo verso l’installazione di questo sistema deve essere conforme ai principi di legittimità, necessità, proporzionalità e responsabilità, come evidenziato dall’Autorità Garante per la privacy.
Dettagli Tecnici e Gestionali:
Successivamente, la relazione deve passare a descrivere le specifiche tecniche e operative del sistema di videosorveglianza.
Questo include una spiegazione dettagliata delle componenti hardware e software, le modalità di registrazione, il numero e la disposizione dei monitor, gli orari di funzionamento dell’impianto e le politiche di conservazione dei dati.
Particolare attenzione deve essere rivolta ai tempi di conservazione delle immagini e alle eventuali ragioni che giustifichino un’estensione di questi periodi oltre le norme standard.
Questa parte della relazione si rivela più tecnica e potrebbe beneficiare di una collaborazione stretta con l’azienda o i tecnici che hanno installato il sistema, per includere schede tecniche dettagliate dei prodotti utilizzati.
La planimetria e la circolare n. 5/2018 dell’Ispettorato nazionale del lavoro
La Circolare n. 5/2018 dell’Ispettorato Nazionale del Lavoro (INL), datata 19 febbraio 2018, fornisce indicazioni operative riguardanti l’installazione e l’utilizzo di impianti audiovisivi e altri strumenti di controllo nei luoghi di lavoro. Questa circolare si occupa di delineare le condizioni e le modalità con cui tali strumenti possono essere impiegati, in conformità con la normativa vigente in materia di privacy e di tutela dei lavoratori.
La circolare chiarisce che l’uso di impianti audiovisivi e di sorveglianza biometrica deve essere giustificato da esigenze organizzative, produttive, di sicurezza del lavoro o di tutela del patrimonio aziendale. Inoltre, l’installazione di tali sistemi deve essere preceduta da una valutazione delle altre opzioni disponibili che siano meno invasive per la privacy dei lavoratori.
L’INL sottolinea l’importanza del rispetto dei principi di necessità, proporzionalità e minimizzazione dei dati, in linea con il Regolamento Generale sulla Protezione dei Dati (GDPR).
Prima dell’installazione di sistemi di videosorveglianza, è necessario informare i lavoratori e, ove presente, il rappresentante dei lavoratori per la sicurezza. Inoltre, è richiesta la consultazione preventiva con l’autorità garante per la protezione dei dati personali, qualora l’impianto di sorveglianza possa comportare rischi elevati per i diritti e le libertà degli individui.
La circolare affronta anche le modalità di istruttoria delle istanze presentate dalle aziende per l’installazione di tali sistemi, fornendo indicazioni su come il personale ispettivo debba procedere in caso di controlli.
Riferimenti Normativi
La circolare si inserisce nel contesto normativo che regola la materia del lavoro e della privacy, facendo riferimento a norme specifiche come l’articolo 4 dello Statuto dei Lavoratori, che regola l’uso di strumenti di controllo a distanza dei lavoratori, e il GDPR, che stabilisce le regole per il trattamento dei dati personali all’interno dell’Unione Europea.
Implicazioni per le Aziende
Le aziende devono quindi prestare particolare attenzione nel rispettare le disposizioni della circolare quando intendono installare sistemi di videosorveglianza o altri dispositivi di controllo. Devono assicurarsi di avere valide motivazioni, di informare i lavoratori, di consultare le autorità competenti e di rispettare i principi di protezione dei dati personali
La planimetria
La Circolare n. 5/2018 dell’Ispettorato Nazionale del Lavoro (INL) specifica che non è più necessario allegare la planimetria con la posizione delle telecamere nell’ambito delle richieste di autorizzazione per l’installazione di impianti di videosorveglianza.
Questa indicazione mira a semplificare le procedure per le aziende che intendono installare sistemi di videosorveglianza, riconoscendo che una dettagliata istruttoria basata su planimetrie potrebbe non essere rappresentativa del contesto lavorativo a causa delle continue modificazioni dello stato dei luoghi e del posizionamento delle merci o degli impianti produttivi.
Pertanto, la circolare suggerisce che l’analisi delle richieste di autorizzazione dovrebbe concentrarsi sulla verifica della sussistenza delle ragioni legittimanti il controllo, piuttosto che su dettagli tecnici come la planimetria
Le sedi dell’ispettorato del lavoro
Un impianto nuovo o un impianto già esistente
Al cuore del documento, si dipana una richiesta che si biforca lungo due sentieri possibili: da un lato, la nascita di un nuovo sistema di sorveglianza, dall’altro, il rinnovamento o l’ampliamento di uno preesistente.
Se si tratta di dare vita a un impianto inedito, è necessario specificare il luogo preciso, che sia la sede centrale dell’azienda o una delle sue filiali operative, dove questo prenderà forma. I
Per quanto riguarda l’aggiornamento o l’espansione di un sistema già operativo, è richiesto di fornire i dettagli del permesso originale che ha dato il via alla sua installazione.
La corretta compilazione e presentazione di questa documentazione è solo il primo passo. Le aziende devono essere consapevoli delle responsabilità che derivano dall’uso di sistemi di videosorveglianza, in termini di rispetto della privacy dei dipendenti e di conformità alle normative vigenti. In caso di mancato rispetto delle procedure richieste, le aziende si espongono a sanzioni che possono avere un impatto significativo sulla loro operatività.
La presentazione della domanda
Una volta completato il formulario in ogni sua sezione, inclusa quella finale dedicata al contatto per eventuali domande, l’ultimo passo consiste nell’inoltrare il tutto per ottenere l’approvazione necessaria.
Esistono due vie per la presentazione della domanda:
- Consegna Diretta: La documentazione può essere consegnata di persona presso l’ufficio competente dell’Ispettorato nazionale del lavoro, situato nella sede territoriale di riferimento.
- Invio Elettronico: Alternativamente, è possibile optare per una procedura telematica. In questo caso, per inviare le marche da bollo digitalmente, sarà necessario compilare e allegare il modulo “INL 1.4 – Dichiarazione sostitutiva per marca da bollo”, reperibile sul sito ufficiale. Un esempio di come procedere è illustrato nell’immagine 2 fornita come guida.
Le sanzioni privacy
Qualsiasi tentativo di installare o attivare impianti audiovisivi e altri strumenti di monitoraggio senza l’autorizzazione necessaria comporterà sanzioni, come specificato nell’articolo 38, comma 1, della Legge 300/70.
Questo implica che, fino all’acquisizione dell’autorizzazione ufficiale (o fino al raggiungimento di un accordo con le rappresentanze sindacali, se presenti), non è ammesso né installare fisicamente l’impianto né tantomeno tenerlo inattivo.
Secondo, per quanto riguarda la privacy, è essenziale sottolineare che l’installazione di un sistema di videosorveglianza aziendale non può dipendere dal consenso dei lavoratori.
Questo principio è rafforzato dal fatto che il consenso, secondo l’articolo 7 del GDPR e le Linee guida sul consenso 5/2020 dell’EDPB, deve essere l’espressione di una volontà libera da parte dell’interessato.
Data la naturale disparità di potere nel rapporto di lavoro tra datore di lavoro e lavoratore, qualsiasi consenso fornito da quest’ultimo non sarebbe considerato valido.
Come informare correttamente le persone soggette alla videosorveglianza
L’obbligo di trattare le registrazioni video che coinvolgono individui come dati personali implica l’adozione di misure conformi ai regolamenti europei sulla privacy.
Questo include l’importanza di aderire a principi chiave come la trasparenza e l’accountability. In pratica, ciò significa che le aziende devono impegnarsi attivamente a informare le persone sull’uso di telecamere di sicurezza e sulla presenza di aree monitorate da videosorveglianza. Questo requisito si applica sia ai membri interni dell’organizzazione, come i dipendenti, sia agli esterni, come clienti e fornitori.
Un esempio pratico di come le aziende possono soddisfare questo obbligo è l’uso di segnaletica chiara, come suggerito nelle FAQ del Garante per la protezione dei dati personali e nelle linee guida dell’European Data Protection Board, che forniscono un modello standardizzato per l’informativa breve.
Per conformarsi alle normative sulla privacy, in particolare all’articolo 13 del GDPR, è necessario che le aziende adottino una comunicazione chiara e diretta riguardo alla videosorveglianza.
Una strategia efficace prevede l’uso di cartelli informativi, i quali devono essere personalizzati in base a vari fattori come la dimensione dell’area monitorata e il tipo di registrazione effettuata.
Questi cartelli dovrebbero non solo avvisare della presenza di videosorveglianza ma anche indirizzare le persone a una fonte più dettagliata di informazioni, come il sito web dell’azienda, dove possono trovare una versione completa della politica di privacy conforme all’articolo 13 del GDPR.
Un metodo pratico per facilitare l’accesso a queste informazioni è l’inclusione di un QR code sulla segnaletica, che reindirizza direttamente al documento informativo sul sito web.
Questa soluzione enfatizza l’importanza di rendere l’informativa facilmente accessibile, in linea con quanto richiesto dall’articolo 12 del GDPR, che sottolinea la necessità di fornire informazioni in modo chiaro e diretto.
La posizione dei cartelli è altrettanto cruciale: devono essere collocati in modo da informare i visitatori dell’area videosorvegliata prima che vi accedano.
Sebbene non sia obbligatorio indicare la posizione esatta delle telecamere, è consigliabile informare le persone su quali aree sono monitorate. Questo permette ai soggetti di essere consapevoli della sorveglianza e, se lo desiderano, di modificare il proprio comportamento di conseguenza.
Già nel 2010, le linee guida sul corretto utilizzo dei cartelli informativi per la videosorveglianza stabilivano criteri precisi per garantire che le persone fossero adeguatamente informate sulla presenza e sul funzionamento dei sistemi di sorveglianza.
Questi criteri includevano la necessità di posizionare i cartelli in modo tale che fossero visibili prima di entrare nell’area di copertura delle telecamere, assicurando che fossero facilmente notabili anche da lontano e in qualsiasi condizione di luce, comprese le ore notturne quando il sistema potrebbe essere ancora attivo.
I cartelli dovevano essere disegnati non solo per attirare l’attenzione, ma anche per essere facilmente comprensibili.
L’uso di simboli universali o di immagini stilizzate era raccomandato per comunicare rapidamente e in modo inequivocabile la presenza di videosorveglianza, distinguendo tra sistemi che si limitano alla visione delle immagini e quelli che includono la registrazione.
Inoltre, se il sistema di videosorveglianza fosse collegato alle forze dell’ordine, questa informazione doveva essere chiaramente indicata nel cartello informativo, così come doveva essere menzionata nella documentazione informativa più dettagliata fornita ai soggetti interessati.
Come collocare le telecamere
L’efficacia di tali sistemi deve essere valutata caso per caso, attraverso un’analisi approfondita che coinvolga gli installatori, il Data Protection Officer (DPO) se presente, e considerando attentamente il contesto specifico di installazione e gli obiettivi perseguiti.
Nonostante la complessità e la varietà delle configurazioni possibili, l’adozione di misure di sicurezza avanzate, come la crittografia per proteggere la riservatezza delle immagini catturate e trasmesse, è universalmente riconosciuta come un elemento chiave per garantire l’efficacia di un sistema di videosorveglianza.
Questo approccio non solo è conforme ai principi di sicurezza stabiliti dalla normativa sulla privacy, ma è anche considerato una pratica efficace per migliorare sostanzialmente la funzionalità e l’affidabilità dei sistemi di sorveglianza.
Come già evidenziato, la scelta riguardante la collocazione e l’installazione fisica delle telecamere deve essere frutto di un’attenta analisi che tenga conto dello specifico contesto di utilizzo del sistema di videosorveglianza.
È fondamentale per le aziende, in fase di installazione, assicurarsi che i diritti e le libertà fondamentali delle persone siano protetti. Questo implica una valutazione preventiva sull’adeguatezza, la necessità e la proporzionalità delle misure di sorveglianza adottate, in linea con il principio di minimizzazione dei dati e la privacy by default, come stabilito dal GDPR.
La normativa sulla privacy, insieme ad altre leggi applicabili, deve guidare l’installazione dei sistemi di rilevazione delle immagini.
Ciò include il rispetto delle regole sul lavoro, così come le disposizioni del diritto civile e penale che tutelano contro le intrusioni illecite nella vita privata. In particolare, le telecamere non devono catturare immagini di proprietà private senza autorizzazione.
La sicurezza
Allo stesso modo in cui si valutano le specifiche tecniche, il posizionamento delle telecamere e la gestione delle registrazioni, la sicurezza di un sistema di videosorveglianza deve essere attentamente adattata al contesto specifico e alle caratteristiche dell’impianto.
L’articolo 32 del GDPR sottolinea l’importanza di selezionare misure di sicurezza tecniche e organizzative proporzionate allo stato dell’arte, ai costi di implementazione, nonché alla natura, allo scopo, al contesto e alle finalità del trattamento dei dati, considerando anche i rischi variabili per i diritti e le libertà delle persone.
Nella fase iniziale di concezione di un sistema di videosorveglianza, ancor prima che diventi funzionante, è fondamentale che le aziende aderiscano ai principi di “privacy by design” e “privacy by default”, come stabilito dall’articolo 25 del GDPR. Questo implica che la tutela della privacy e la protezione dei dati personali devono essere incorporate nel sistema sin dalla sua progettazione, assicurando che solo i dati strettamente necessari per lo scopo prefissato siano raccolti e trattati.
Il principio di privacy by design richiede l’implementazione di misure tecniche e organizzative adeguate fin dalle fasi preliminari, per prevenire rischi per la privacy prima che il trattamento dei dati abbia inizio. Ciò significa che, prima ancora di raccogliere le immagini, devono essere valutate e messe in atto le strategie di sicurezza appropriate.
D’altro canto, la privacy by default assicura che, per impostazione predefinita, il sistema tratti esclusivamente i dati indispensabili per ciascun fine specifico. Prima di procedere con l’installazione e l’attivazione del sistema, l’azienda deve pertanto verificare che siano state adottate misure di sicurezza adeguate, in linea con quanto previsto dall’articolo 32 del GDPR, e che queste siano operative in ogni fase del processo di trattamento.
In aggiunta, seguendo il principio di minimizzazione dei dati, è necessario che le impostazioni predefinite del sistema siano configurate in modo da limitare il trattamento dei dati al solo necessario per il conseguimento delle finalità di raccolta tramite il sistema di videosorveglianza.
La manutenzione
Per assicurare l’integrità e la sicurezza del sistema di videosorveglianza, e di conseguenza la protezione dei dati trattati, è fondamentale sottolineare l’importanza di una manutenzione e aggiornamento adeguati dell’impianto.
Questo non riguarda solo la manutenzione tecnica necessaria per mantenere le telecamere e le altre componenti in stato ottimale, ma include anche l’aggiornamento a versioni più avanzate o performanti del sistema.
Con i cambiamenti apportati al sistema di videosorveglianza, diventa essenziale rivedere e aggiornare la documentazione correlata.
Questo include l’aggiornamento dei segnali e delle informative per riflettere le nuove modalità di trattamento dei dati, nonché la revisione degli atti di nomina per i soggetti interni ed esterni, al fine di fornire istruzioni aggiornate che tengano conto delle modifiche apportate al sistema.
Inoltre, considerando l’obbligo di eseguire una Valutazione d’Impatto sulla Protezione dei Dati (Data Protection Impact Assessment, DPIA) per l’uso dei sistemi di videosorveglianza nel contesto lavorativo, come richiesto dall’articolo 35 del GDPR, è importante che anche questa valutazione sia aggiornata per riflettere qualsiasi cambiamento significativo nelle caratteristiche del sistema.
Questo assicura che tutte le misure di sicurezza e privacy siano sempre allineate con le ultime evoluzioni tecnologiche e normative, garantendo così una protezione efficace dei dati personali.
il controllo degli accessi
riveste un ruolo primario, assicurando che solo il personale designato o autorizzato, inclusi eventuali soggetti esterni come tecnici manutentori che hanno ricevuto una formazione specifica come richiesto dal GDPR, possano accedere alle immagini o alle registrazioni.
L’European Data Protection Board (EDPB) suggerisce una serie di misure per supportare il controllo sia fisico che logico degli accessi, tra cui:
- Proteggere i locali dove avviene il monitoraggio e dove sono conservate le registrazioni video, prevenendo l’accesso non autorizzato da parte di terzi.
- Posizionare i monitor in modo che solo il personale autorizzato possa visualizzare le immagini, ad esempio evitando aree aperte come la reception.
- Definire e applicare procedure chiare per la concessione, la modifica e la revoca dell’accesso.
- Implementare metodi affidabili di autenticazione e autorizzazione degli utenti, come password complesse e cambi frequenti delle stesse.
- Registrare e revisionare periodicamente le azioni eseguite dagli utenti, sia sul sistema che sui dati.
- Monitorare continuamente gli accessi per individuare e risolvere rapidamente eventuali anomalie o guasti.
Queste misure, sia tecniche che organizzative, possono essere adattate o rafforzate dal titolare del trattamento in base al contesto operativo specifico, per garantire un livello di sicurezza adeguato alla protezione dei dati personali trattati attraverso il sistema di videosorveglianza.
Le responsabilità del titolare l’articolo 83 GDPR
L’articolo 83 del Regolamento Generale sulla Protezione dei Dati (GDPR) stabilisce le condizioni generali per l’imposizione di sanzioni amministrative pecuniarie in caso di violazione delle disposizioni del regolamento. Questo articolo è fondamentale per garantire l’efficacia e il rispetto del GDPR, fornendo alle autorità di controllo uno strumento per punire le violazioni e incentivare la conformità.
Principi Generali
Le sanzioni amministrative pecuniarie previste dall’articolo 83 del GDPR devono essere “effettive, proporzionate e dissuasive”, tenendo conto della natura, gravità, durata della violazione, delle misure intese a mitigare il danno subito dagli interessati, del grado di responsabilità o di qualsiasi azione intrapresa dal titolare del trattamento o dal responsabile del trattamento per limitare i danni, e di eventuali precedenti violazioni[8][9].
Livelli di Sanzioni
L’articolo 83 distingue due livelli di sanzioni amministrative pecuniarie, a seconda della gravità della violazione:
- Per violazioni di minore gravità: fino a 10 milioni di EUR o, nel caso di un’impresa, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Queste sanzioni si applicano, ad esempio, per violazioni degli obblighi del titolare del trattamento e del responsabile del trattamento, degli obblighi dell’organismo di certificazione, e degli obblighi dell’organismo di controllo[5][6][7].
- Per violazioni più gravi: fino a 20 milioni di EUR o, nel caso di un’impresa, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Queste sanzioni si applicano per violazioni dei principi fondamentali per il trattamento, inclusi i requisiti per il consenso, i diritti degli interessati, i trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale, e altre violazioni specificate nell’articolo 83[5][6][7].
Fattori di Valutazione
Nell’imporre una sanzione amministrativa pecuniaria, l’autorità di controllo deve tenere conto di vari fattori, tra cui:
- La natura, gravità e durata della violazione.
- L’intenzionalità o negligenza della violazione.
- Qualsiasi misura adottata dal titolare del trattamento o dal responsabile del trattamento per mitigare il danno subito dagli interessati.
- Il grado di cooperazione con l’autorità di controllo per rimediare alla violazione e mitigare i possibili effetti negativi.
- Le categorie di dati personali interessate dalla violazione.
- Il modo in cui l’autorità di controllo è venuta a conoscenza della violazione.
- La conformità con misure ordinate precedentemente contro il titolare del trattamento o il responsabile del trattamento riguardo la stessa materia.
- L’adesione a codici di condotta approvati o meccanismi di certificazione[8][9].
In conclusione, l’articolo 83 del GDPR fornisce un quadro dettagliato per l’imposizione di sanzioni amministrative pecuniarie, sottolineando l’importanza di trattare i dati personali in modo responsabile e conforme alle norme del GDPR.
riassunto conclusivo – risposte veloci – le faq del 2020
L’installazione di sistemi di rilevazione delle immagini deve avvenire nel rispetto, oltre che della disciplina in materia di protezione dei dati personali, anche delle altre disposizioni dell’ordinamento applicabili: ad esempio, le vigenti norme dell’ordinamento civile e penale in materia di interferenze illecite nella vita privata, o in materia di controllo a distanza dei lavoratori.
Va sottolineato, in particolare, che l’attività di videosorveglianza va effettuata nel rispetto del cosiddetto principio di minimizzazione dei dati riguardo alla scelta delle modalità di ripresa e dislocazione e alla gestione delle varie fasi del trattamento. I dati trattati devono comunque essere pertinenti e non eccedenti rispetto alle finalità perseguite.
E’ bene ricordare inoltre che il Comitato europeo per la protezione dei dati (EDPB) ha adottato le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” allo scopo di fornire indicazioni sull’applicazione del Regolamento in relazione al trattamento di dati personali attraverso dispositivi video, inclusa la videosorveglianza.
No. Non è prevista alcuna autorizzazione da parte del Garante per installare tali sistemi.
In base al principio di responsabilizzazione (art. 5, par. 2, del Regolamento), spetta al titolare del trattamento (un’azienda, una pubblica amministrazione, un professionista, un condominio…) valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.
Il titolare del trattamento deve, altresì, valutare se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento.
Sì. Gli interessati devono sempre essere informati (ex art. 13 del Regolamento) che stanno per accedere in una zona videosorvegliata, anche in occasione di eventi e spettacoli pubblici (ad esempio, concerti, manifestazioni sportive) e a prescindere dal fatto che chi tratta i dati sia un soggetto pubblico o un soggetto privato.
L’informativa può essere fornita utilizzando un modello semplificato (anche un semplice cartello, come quello realizzato dall’EDPB e disponibile qui), che deve contenere, tra le altre informazioni, le indicazioni sul titolare del trattamento e sulla finalità perseguita. Il modello può essere adattato a varie circostanze (presenza di più telecamere, vastità dell’area oggetto di rilevamento o modalità delle riprese).
L’informativa va collocata prima di entrare nella zona sorvegliata.
Non è necessario rivelare la precisa ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza.
L’interessato deve poter capire quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario. L’informativa deve rinviare a un testo completo contenente tutti gli elementi di cui all´art. 13 del Regolamento, indicando come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento o affisso in bacheche o locali dello stesso).
Le immagini registrate non possono essere conservate più a lungo di quanto necessario per le finalità per le quali sono acquisite (art. 5, paragrafo 1, lett. c) ed e), del Regolamento). In base al principio di responsabilizzazione (art. 5, paragrafo 2, del Regolamento), spetta al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche. Ciò salvo che specifiche norme di legge non prevedano espressamente determinati tempi di conservazione dei dati (si veda, ad esempio, l’art. 6, co. 8, del D.L. 23/02/2009, n. 11, ai sensi del quale, nell’ambito dell’utilizzo da parte dei Comuni di sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico per la tutela della sicurezza urbana, “la conservazione dei dati, delle informazioni e delle immagini raccolte mediante l’uso di sistemi di videosorveglianza è limitata ai sette giorni successivi alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione”).
In via generale, gli scopi legittimi della videosorveglianza sono spesso la sicurezza e la protezione del patrimonio. Solitamente è possibile individuare eventuali danni entro uno o due giorni. Tenendo conto dei principi di minimizzazione dei dati e limitazione della conservazione, i dati personali dovrebbero essere – nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici) – cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione.
Ad esempio, normalmente il titolare di un piccolo esercizio commerciale si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si verificassero. Un periodo di conservazione di 24 ore è quindi sufficiente. La chiusura nei fine settimana o in periodi festivi più lunghi potrebbe tuttavia giustificare un periodo di conservazione più prolungato.
In alcuni casi può essere necessario prolungare i tempi di conservazione delle immagini inizialmente fissati dal titolare o previsti dalla legge: ad esempio, nel caso in cui tale prolungamento si renda necessario a dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad un’attività investigativa in corso.
La valutazione d’impatto preventiva è prevista se il trattamento, quando preveda in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per le persone fisiche (artt. 35 e 36 del Regolamento) (per approfondimenti si vedano le “Linee-guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento “possa presentare un rischio elevato” ai sensi del regolamento 2016/679” – WP248rev.01 del 4 ottobre 2017). Può essere il caso, ad esempio, dei sistemi integrati – sia pubblici che privati – che collegano telecamere tra soggetti diversi nonché dei sistemi intelligenti, capaci di analizzare le immagini ed elaborarle, ad esempio al fine di rilevare automaticamente comportamenti o eventi anomali, segnalarli, ed eventualmente registrarli. La valutazione d’impatto sulla protezione dei dati è sempre richiesta, in particolare, in caso di sorveglianza sistematica su larga scala di una zona accessibile al pubblico (art. 35, par. 3, lett. c) del Regolamento) e negli altri casi indicati dal Garante (cfr. “Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” dell’11 ottobre 2018).
Il datore di lavoro può installare telecamere esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto delle altre garanzie previste dalla normativa di settore in materia di installazione di impianti audiovisivi e altri strumenti di controllo (art. 4 della l. 300/1970).
Se le riprese video sono trattate per ricavare categorie particolari di dati, il trattamento è consentito soltanto se risulta applicabile una delle eccezioni di cui all’art. 9 del Regolamento (ad esempio, un ospedale che installa una videocamera per monitorare le condizioni di salute di un paziente effettua un trattamento di categorie particolari di dati personali).
In via generale, ogniqualvolta si installa un sistema di videosorveglianza si dovrebbe prestare particolare attenzione al principio di minimizzazione dei dati. Pertanto, il titolare del trattamento deve in ogni caso sempre cercare di ridurre al minimo il rischio di acquisire filmati che rivelino altri dati a carattere sensibile, indipendentemente dalla finalità.
Il trattamento di categorie particolari di dati richiede una vigilanza rafforzata e continua su taluni obblighi, ad esempio un elevato livello di sicurezza e una valutazione d’impatto sulla protezione dei dati, ove necessario (cfr. FAQ n. 7).
Sì. I cartelli che segnalano tali sistemi sono obbligatori, anche in base alla disciplina di settore. L’utilizzo di tali sistemi è lecito se sono raccolti solo dati pertinenti e non eccedenti per il perseguimento delle finalità istituzionali del titolare, delimitando a tal fine la dislocazione e l’angolo visuale delle riprese. La ripresa del veicolo non deve comprendere (o deve mascherare), per quanto possibile, la parte del video o della fotografia riguardante soggetti non coinvolti nell’accertamento amministrativo (es. eventuali pedoni o altri utenti della strada). Le fotografie o i video che attestano l’infrazione non devono essere inviati al domicilio dell’intestatario del veicolo, ma l’interessato, ossia la persona eventualmente ritratta nelle immagini, può richiederne copia oppure esercitare il diritto di accesso ai propri dati (fermo restando che dovranno essere opportunamente oscurati o resi comunque non riconoscibili i passeggeri presenti a bordo del veicolo).