Videosorveglianza: ecco le FAQ relative al trattamento dei dati personali

Il Garante per la protezione dei dati personali ha pubblicato sul proprio sito web (www.garanteprivacy. it/faq) le FAQ relative al trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti pubblici e privati, aggiornando così l’ultimo suo provvedimento in materia che risaliva al 2010.

1. Quali sono le regole da rispettare per installare sistemi di videosorveglianza?
   
   L’installazione di sistemi di rilevazione delle immagini deve avvenire
   nel rispetto, oltre che della disciplina in materia di protezione dei dati
   personali, anche delle altre disposizioni dell’ordinamento applicabili: ad
   esempio, le vigenti norme dell’ordinamento civile e penale in materia di
   interferenze illecite nella vita privata, o in materia di controllo a distanza
   dei lavoratori.
   Va sottolineato, in particolare, che l’attività di videosorveglianza va
   effettuata nel rispetto del cosiddetto principio di minimizzazione dei
   dati riguardo alla scelta delle modalità di ripresa e dislocazione e alla
   gestione delle varie fasi del trattamento. I dati trattati devono comunque
   essere pertinenti e non eccedenti rispetto alle finalità perseguite.
   È bene ricordare inoltre che il Comitato europeo per la protezione dei
   dati (EDPB) ha adottato le “Linee guida 3/2019 sul trattamento dei dati
   personali attraverso dispositivi video” allo scopo di fornire indicazioni
   sull’applicazione del Regolamento in relazione al trattamento di dati
   personali attraverso dispositivi video, inclusa la videosorveglianza.
   
   

2. Occorre avere un’autorizzazione da parte del Garante per installare
   le telecamere?
   
   No. Non è prevista alcuna autorizzazione da parte del Garante per
   installare tali sistemi.
   In base al principio di responsabilizzazione (art. 5, par. 2, del
   Regolamento), spetta al titolare del trattamento (un’azienda, una
   pubblica amministrazione, un professionista, un condominio…) valutare
   la liceità e la proporzionalità del trattamento, tenuto conto del contesto
   e delle finalità del trattamento, nonché del rischio per i diritti e le libertà
   delle persone fisiche. Il titolare del trattamento deve, altresì, valutare se
   sussistano i presupposti per effettuare una valutazione d’impatto sulla
   protezione dei dati prima di iniziare il trattamento (cfr. FAQ n. 7).
   
   
3. Le persone che transitano nelle aree videosorvegliate devono essere informate
   della presenza delle telecamere?
   
   Sì. Gli interessati devono sempre essere informati (ex art. 13 del
   Regolamento) che stanno per accedere in una zona videosorvegliata,
   anche in occasione di eventi e spettacoli pubblici (ad esempio, concerti,
   manifestazioni sportive) e a prescindere dal fatto che chi tratta i dati sia
   un soggetto pubblico o un soggetto privato.
   
   
4. In che modo si fornisce l’informativa agli interessati?
   
   L’informativa può essere fornita utilizzando un modello semplificato (anche
   un semplice cartello, come quello realizzato dall’EDPB e disponibile qui),
   che deve contenere, tra le altre informazioni, le indicazioni sul titolare del
   trattamento e sulla finalità perseguita.
   Il modello può essere adattato a varie circostanze (presenza di più
   telecamere, vastità dell’area oggetto di rilevamento o modalità delle
   riprese). L’informativa va collocata prima di entrare nella zona sorvegliata.
   Non è necessario rivelare la precisa ubicazione della telecamera, purché
   non vi siano dubbi su quali zone sono soggette a sorveglianza e sia
   chiarito in modo inequivocabile il contesto della sorveglianza.
   L’interessato deve poter capire quale zona sia coperta da una telecamera
   in modo da evitare la sorveglianza o adeguare il proprio comportamento,
   ove necessario. L’informativa deve rinviare a un testo completo
   contenente tutti gli elementi di cui all´art. 13 del Regolamento, indicando
   come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento
   o affisso in bacheche o locali dello stesso).
   
   
5. Quali sono i tempi dell’eventuale conservazione delle immagini registrate?
   
   Le immagini registrate non possono essere conservate più a lungo
   di quanto necessario per le finalità per le quali sono acquisite (art. 5,
   paragrafo 1, lett. c) ed e), del Regolamento). In base al principio di
   responsabilizzazione (art. 5, paragrafo 2, del Regolamento), spetta
   al titolare del trattamento individuare i tempi di conservazione delle
   immagini, tenuto conto del contesto e delle finalità del trattamento,
   nonché del rischio per i diritti e le libertà delle persone fisiche.
   Ciò salvo che specifiche norme di legge non prevedano espressamente
   determinati tempi di conservazione dei dati (si veda, ad esempio, l’art. 6,
   co. 8, del D.L. 23/02/2009, n. 11, ai sensi del quale, nell’ambito dell’utilizzo
   da parte dei Comuni di sistemi di videosorveglianza in luoghi pubblici o
   aperti al pubblico per la tutela della sicurezza urbana, “la conservazione
   dei dati, delle informazioni e delle immagini raccolte mediante l’uso di
   sistemi di videosorveglianza è limitata ai sette giorni successivi alla
   rilevazione, fatte salve speciali esigenze di ulteriore conservazione”).
   In via generale, gli scopi legittimi della videosorveglianza sono spesso
   la sicurezza e la protezione del patrimonio. Solitamente è possibile
   individuare eventuali danni entro uno o due giorni.
   Tenendo conto dei principi di minimizzazione dei dati e limitazione della
   conservazione, i dati personali dovrebbero essere – nella maggior
   parte dei casi (ad esempio se la videosorveglianza serve a rilevare
   atti vandalici) – cancellati dopo pochi giorni, preferibilmente tramite
   meccanismi automatici.
   Quanto più prolungato è il periodo di conservazione previsto (soprattutto
   se superiore a 72 ore), tanto più argomentata deve essere l’analisi
   riferita alla legittimità dello scopo e alla necessità della conservazione.
   Ad esempio, normalmente il titolare di un piccolo esercizio commerciale
   si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si
   verificassero. Un periodo di conservazione di 24 ore è quindi sufficiente.
   La chiusura nei fine settimana o in periodi festivi più lunghi potrebbe
   tuttavia giustificare un periodo di conservazione più prolungato.
   
   
6. È possibile prolungare i tempi di conservazione delle immagini?
   
   In alcuni casi può essere necessario prolungare i tempi di conservazione
   delle immagini inizialmente fissati dal titolare o previsti dalla legge: ad
   esempio, nel caso in cui tale prolungamento si renda necessario a dare
   seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia
   giudiziaria in relazione ad un’attività investigativa in corso.
   
   
7. Quali sistemi di videosorveglianza necessitano di valutazione
   d’impatto preventiva?
   
   La valutazione d’impatto preventiva è prevista se il trattamento, quando
   preveda in particolare l’uso di nuove tecnologie, considerati la natura,
   l’oggetto, il contesto e le finalità del trattamento, può presentare un
   rischio elevato per le persone fisiche (artt. 35 e 36 del Regolamento) (per
   approfondimenti si vedano le “Linee-guida concernenti la valutazione
   di impatto sulla protezione dei dati nonché i criteri per stabilire se un
   trattamento “possa presentare un rischio elevato” ai sensi del regolamento
   2016/679” – WP248rev.01 del 4 ottobre 2017).
   Può essere il caso, ad esempio, dei sistemi integrati – sia pubblici che
   privati – che collegano telecamere tra soggetti diversi nonché dei sistemi
   intelligenti, capaci di analizzare le immagini ed elaborarle, ad esempio
   al fine di rilevare automaticamente comportamenti o eventi anomali,
   segnalarli, ed eventualmente registrarli.
   La valutazione d’impatto sulla protezione dei dati è sempre richiesta, in
   particolare, in caso di sorveglianza sistematica su larga scala di una zona
   accessibile al pubblico (art. 35, par. 3, lett. c) del Regolamento) e negli
   altri casi indicati dal Garante (cfr. “Elenco delle tipologie di trattamenti
   soggetti al requisito di una valutazione d’impatto sulla protezione dei dati
   ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” dell’11
   ottobre 2018).
   
   
8. Il datore di lavoro pubblico o privato può installare un sistema di videosorveglianza nelle
   sedi di lavoro?
   
   Sì, esclusivamente per esigenze organizzative e produttive, per la
   sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto
   delle altre garanzie previste dalla normativa di settore in materia di
   installazione di impianti audiovisivi e altri strumenti di controllo (art. 4
   della l. 300/1970).
   
   
9. Si può utilizzare un sistema di videosorveglianza per trattare categorie
   particolari di dati?
   
   Se le riprese video sono trattate per ricavare categorie particolari di
   dati, il trattamento è consentito soltanto se risulta applicabile una delle
   eccezioni di cui all’art. 9 del Regolamento (ad esempio, un ospedale
   che installa una videocamera per monitorare le condizioni di salute di un
   paziente effettua un trattamento di categorie particolari di dati personali).
   In via generale, ogniqualvolta si installa un sistema di videosorveglianza
   si dovrebbe prestare particolare attenzione al principio di minimizzazione
   dei dati. Pertanto, il titolare del trattamento deve in ogni caso sempre
   cercare di ridurre al minimo il rischio di acquisire filmati che rivelino altri
   dati a carattere sensibile, indipendentemente dalla finalità.
   Il trattamento di categorie particolari di dati richiede una vigilanza
   rafforzata e continua su taluni obblighi, ad esempio un elevato livello
   di sicurezza e una valutazione d’impatto sulla protezione dei dati, ove
   necessario (cfr. FAQ n. 7).
   
   
10. Ci sono casi di videosorveglianza in cui non si applica la normativa
    in materia di protezione dati?
    
    Sì. La normativa in materia di protezione dati non si applica al trattamento
    di dati che non consentono di identificare le persone, direttamente o
    indirettamente, come nel caso delle riprese ad alta quota (effettuate,
    ad esempio, mediante l’uso di droni). Non si applica, inoltre, nel caso
    di fotocamere false o spente perché non c’è nessun trattamento di dati
    personali (fermo restando che, nel contesto lavorativo, trovano comunque
    applicazione le garanzie previste dall’art. 4 della l. 300/1970) o nei casi
    di videocamere integrate in un’automobile per fornire assistenza al
    parcheggio (se la videocamera è costruita o regolata in modo tale da
    non raccogliere alcuna informazione relativa a una persona fisica, ad
    esempio targhe o informazioni che potrebbero identificare i passanti).