Le nuove FAQ videosorveglianza del Garante per la protezione dei dati personali: la centralità del principio di accountability

Le nuove FAQ videosorveglianza del Garante per la protezione dei dati personali: la centralità del principio di accountability

Avv. Giada Iovane, Studio Legale E-Lex

Il 5 dicembre 2020 il Garante per la protezione dei dati personali ha pubblicato le nuove FAQ in materia di videosorveglianza, rinvenibili sul sito dell’Autorità (https://www.garanteprivacy.it/faq/videosorveglianza): da tale pubblicazione emerge la centralità di uno dei principi cardine del Regolamento UE n. 679/2016 (c.d. “GDPR”), il principio c.d. di responsabilizzazione o accountability.

Perimetro normativo

Il Garante affronta innanzitutto il tema del perimetro normativo di riferimento da tenere in considerazione per l’installazione di un impianto di videosorveglianza che, oltre al rispetto della disciplina civilistica e penalistica in materia di interferenze illecite nella vita privata e in materia di controllo a distanza dei lavoratori, deve necessariamente fondarsi su quelli che rappresentano principi essenziali nel GDPR.

Oltre all’accountability ad essere menzionato è, infatti, il principio di minimizzazione dei dati.

L’accountability che trova la sua origine nell’art. 24 GDPR, impone al titolare del trattamento di mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al Regolamento medesimo; il principio di minimizzazione, sancito invece dall’articolo 5 GDPR, riassume al suo interno i concetti di pertinenza, adeguatezza e non eccedenza, con lo scopo ultimo di rendere il trattamento dei dati quanto più specifico possibile, minimizzando pertanto l’utilizzo alle finalità sottese al trattamento stesso.

In forza di tale principio – oltre che degli altri fondamentali principi che vivificano il diritto alla tutela dei dati personali quali liceità, correttezza, trasparenza, limitazione – nella raccolta delle immagini deve essere evitata la rilevazione di aree o attività che non sono soggette a pericoli concreti o rispetto alle quali non ricorre un’effettiva esigenza di controllo.

Un ulteriore richiamo normativo fornito dal Garante è dato dal riferimento alle Linee Guida 3/2019 dell’EDPB (European Data Protection Board) https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_it, in materia di trattamento dei dati personali mediante dispositivi video (in cui è, chiaramente, inclusa anche la videosorveglianza).

A seguito della delineazione delle norme di rilievo per il trattamento in esame, il Garante si interroga su quelle che sono problematiche “operative” connesse alla videosorveglianza.

Installazione e DPIA

Per l’installazione di un impianto di videosorveglianza non è necessaria un’autorizzazione da parte del Garante, ma il titolare (sia esso una persona fisica o una persona giuridica, una P.A…) deve sempre effettuare una valutazione sulla liceità e sulla proporzionalità del trattamento, stabilendo anche se sia necessaria o meno una valutazione d’impatto (DPIA).

La valutazione di impatto è prevista se il trattamento, quando preveda in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per le persone fisiche (artt. 35 e 36 del Regolamento).

Il fulcro centrale resta, pertanto, il principio di responsabilizzazione o accountability che pone in capo al titolare del trattamento una previsione, a monte, sulla necessità o meno dell’installazione dell’impianto di videosorveglianza, con le conseguenze eventuali che da essa possano derivare.

Corretta informativa

L’articolo 13 GDPR impone altresì una corretta “informazione” da rendere al c.d. soggetto interessato, che potrebbe essere quindi sottoposto a videosorveglianza, anche in caso di eventi pubblici ed indifferentemente dal fatto che il titolare sia un soggetto pubblico o privato.

A tal fine, l’informativa – come già disposto dalla normativa previgente – può essere fornita anche in via semplificata, mediante un cartello posto all’ingresso dell’area videosorvegliata che fornisca le seguenti informazioni:

• Titolare e finalità del trattamento;
• Periodo di conservazione dei dati;
• Eventuali contatti del Responsabile della protezione dei dati (DPO, ove applicabile);
• Indicazione di contatto per l’esercizio dei propri diritti;
• Indicazioni su dove reperire l’informativa completa.

L’interessato, poi, deve essere posto nella condizione di comprendere quale zona sia coperta da una telecamera, in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario.

Periodo di conservazione

Anche in riferimento al periodo di conservazione dei dati acquisiti mediante videosorveglianza il titolare resta l’unico soggetto deputato alla corretta individuazione della durata utile e conforme alla finalità sottesa al trattamento: la valutazione va effettuata tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche. Tale discrezionalità, dipendente sempre dal principio di accountability, viene ovviamente meno qualora sia la legge ad individuare un determinato tempo di conservazione.

Generalmente gli scopi che rendono lecito il trattamento effettuato mediante videosorveglianza sono spesso collegati alla sicurezza e protezione del patrimonio: in riferimento a tale finalità, il tempo di conservazione – teoricamente, ma andrà poi valutato caso per caso – non dovrebbe eccedere le 24 ore.

Il prolungamento dei tempi previsti potrebbe variare in funzione di eventuali indagini in corso o di richieste dell’Autorità giudiziaria.

Trattamenti specifici

Da ultimo, il Garante indica alcune particolari circostanze in cui potrebbe essere dubbia la liceità o meno di un trattamento effettuato mediante videosorveglianza:

• negli istituti scolastici l’installazione è consentita al fine di tutelare l’edificio e i beni scolastici da atti vandalici, circoscrivendo le riprese alle sole aree interessate. È inoltre necessario segnalare la presenza degli impianti con cartelli. Le telecamere che inquadrano l’interno degli istituti possono essere attivate solo negli orari di chiusura e devono rispettare la riservatezza degli studenti e degli altri soggetti interessati;
• il datore di lavoro pubblico o privato può installare videocamere esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto della normativa prevista per il controllo sui lavoratori (art. 4 l. n. 300/1970);
• le persone fisiche, per fini personali quali il monitoraggio della proprietà privata, possono installare videocamere nel rispetto dell’art. 615 bis c.p., limitando il trattamento ai soli spazi di propria esclusiva pertinenza, escludendo ogni forma di ripresa ad aree comuni ovvero a zone di pertinenza di soggetti terzi e ad aree pubbliche o di pubblico passaggio;
• la videosorveglianza condominiale è consentita previa assemblea condominiale e con il consenso della maggioranza dei millesimi;
• le telecamere “casalinghe” possono essere installate nella propria abitazione per finalità di controllo e sicurezza, previa informazione di eventuali soggetti interessati (es. lavoratori dipendenti – collaboratori) evitando l’installazione in luoghi da cui potrebbe derivare una lesione alla dignità personale (es. bagni);
• i Comuni possono installare telecamere per controllo di sicurezza e rispetto dell’ambiente (es. per controllo di zone di stoccaggio rifiuti), ma solo qualora non sia possibile un controllo alternativo. Non è consentito tale controllo in capo ai soggetti privati;
• il trattamento di particolari categorie di dati è consentito unicamente nel rispetto delle disposizioni dell’art. 9 GDPR e nel rispetto del principio di minimizzazione, garantendo altresì una vigilanza rafforzata sull’ottemperanza a tali disposizioni;
• le infrazioni inerenti il codice della strada, rilevate tramite sistemi elettronici vanno segnalate mediante apposita cartellonistica;
• la normativa in materia di protezione dei dati personali non si applica al trattamento di dati che non consentono di identificare le persone, direttamente o indirettamente, come nel caso delle riprese ad alta quota. Non si applica, inoltre, nel caso di fotocamere false o spente perché non c’è nessun trattamento di dati personali (fermo restando che, nel contesto lavorativo, trovano comunque applicazione le garanzie previste dall’art. 4 della l. 300/1970) o nei casi di videocamere integrate in un’automobile per fornire assistenza al parcheggio.

 

 

Approfondimenti:

La redazione di DIMT rimanda alla notizia del comunicato stampa da parte del Garante per la protezione dei dati personali:

Sistemi di videosorveglianza: le FAQ del Garante per la protezione dei dati personali