Il Garante per la protezione dei dati personali ha pubblicato sul proprio sito web (www.garanteprivacy. it/faq) le FAQ relative al trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti pubblici e privati, aggiornando così l’ultimo suo provvedimento in materia che risaliva al 2010.
- Quali sono le regole da rispettare per installare sistemi di videosorveglianza?
L’installazione di sistemi di rilevazione delle immagini deve avvenire
nel rispetto, oltre che della disciplina in materia di protezione dei dati
personali, anche delle altre disposizioni dell’ordinamento applicabili: ad
esempio, le vigenti norme dell’ordinamento civile e penale in materia di
interferenze illecite nella vita privata, o in materia di controllo a distanza
dei lavoratori.
Va sottolineato, in particolare, che l’attività di videosorveglianza va
effettuata nel rispetto del cosiddetto principio di minimizzazione dei
dati riguardo alla scelta delle modalità di ripresa e dislocazione e alla
gestione delle varie fasi del trattamento. I dati trattati devono comunque
essere pertinenti e non eccedenti rispetto alle finalità perseguite.
È bene ricordare inoltre che il Comitato europeo per la protezione dei
dati (EDPB) ha adottato le “Linee guida 3/2019 sul trattamento dei dati
personali attraverso dispositivi video” allo scopo di fornire indicazioni
sull’applicazione del Regolamento in relazione al trattamento di dati
personali attraverso dispositivi video, inclusa la videosorveglianza.
- Occorre avere un’autorizzazione da parte del Garante per installare
le telecamere?
No. Non è prevista alcuna autorizzazione da parte del Garante per
installare tali sistemi.
In base al principio di responsabilizzazione (art. 5, par. 2, del
Regolamento), spetta al titolare del trattamento (un’azienda, una
pubblica amministrazione, un professionista, un condominio…) valutare
la liceità e la proporzionalità del trattamento, tenuto conto del contesto
e delle finalità del trattamento, nonché del rischio per i diritti e le libertà
delle persone fisiche. Il titolare del trattamento deve, altresì, valutare se
sussistano i presupposti per effettuare una valutazione d’impatto sulla
protezione dei dati prima di iniziare il trattamento (cfr. FAQ n. 7).
- Le persone che transitano nelle aree videosorvegliate devono essere informate
della presenza delle telecamere?
Sì. Gli interessati devono sempre essere informati (ex art. 13 del
Regolamento) che stanno per accedere in una zona videosorvegliata,
anche in occasione di eventi e spettacoli pubblici (ad esempio, concerti,
manifestazioni sportive) e a prescindere dal fatto che chi tratta i dati sia
un soggetto pubblico o un soggetto privato.
- In che modo si fornisce l’informativa agli interessati?
L’informativa può essere fornita utilizzando un modello semplificato (anche
un semplice cartello, come quello realizzato dall’EDPB e disponibile qui),
che deve contenere, tra le altre informazioni, le indicazioni sul titolare del
trattamento e sulla finalità perseguita.
Il modello può essere adattato a varie circostanze (presenza di più
telecamere, vastità dell’area oggetto di rilevamento o modalità delle
riprese). L’informativa va collocata prima di entrare nella zona sorvegliata.
Non è necessario rivelare la precisa ubicazione della telecamera, purché
non vi siano dubbi su quali zone sono soggette a sorveglianza e sia
chiarito in modo inequivocabile il contesto della sorveglianza.
L’interessato deve poter capire quale zona sia coperta da una telecamera
in modo da evitare la sorveglianza o adeguare il proprio comportamento,
ove necessario. L’informativa deve rinviare a un testo completo
contenente tutti gli elementi di cui all´art. 13 del Regolamento, indicando
come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento
o affisso in bacheche o locali dello stesso).
- Quali sono i tempi dell’eventuale conservazione delle immagini registrate?
Le immagini registrate non possono essere conservate più a lungo
di quanto necessario per le finalità per le quali sono acquisite (art. 5,
paragrafo 1, lett. c) ed e), del Regolamento). In base al principio di
responsabilizzazione (art. 5, paragrafo 2, del Regolamento), spetta
al titolare del trattamento individuare i tempi di conservazione delle
immagini, tenuto conto del contesto e delle finalità del trattamento,
nonché del rischio per i diritti e le libertà delle persone fisiche.
Ciò salvo che specifiche norme di legge non prevedano espressamente
determinati tempi di conservazione dei dati (si veda, ad esempio, l’art. 6,
co. 8, del D.L. 23/02/2009, n. 11, ai sensi del quale, nell’ambito dell’utilizzo
da parte dei Comuni di sistemi di videosorveglianza in luoghi pubblici o
aperti al pubblico per la tutela della sicurezza urbana, “la conservazione
dei dati, delle informazioni e delle immagini raccolte mediante l’uso di
sistemi di videosorveglianza è limitata ai sette giorni successivi alla
rilevazione, fatte salve speciali esigenze di ulteriore conservazione”).
In via generale, gli scopi legittimi della videosorveglianza sono spesso
la sicurezza e la protezione del patrimonio. Solitamente è possibile
individuare eventuali danni entro uno o due giorni.
Tenendo conto dei principi di minimizzazione dei dati e limitazione della
conservazione, i dati personali dovrebbero essere – nella maggior
parte dei casi (ad esempio se la videosorveglianza serve a rilevare
atti vandalici) – cancellati dopo pochi giorni, preferibilmente tramite
meccanismi automatici.
Quanto più prolungato è il periodo di conservazione previsto (soprattutto
se superiore a 72 ore), tanto più argomentata deve essere l’analisi
riferita alla legittimità dello scopo e alla necessità della conservazione.
Ad esempio, normalmente il titolare di un piccolo esercizio commerciale
si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si
verificassero. Un periodo di conservazione di 24 ore è quindi sufficiente.
La chiusura nei fine settimana o in periodi festivi più lunghi potrebbe
tuttavia giustificare un periodo di conservazione più prolungato.
- È possibile prolungare i tempi di conservazione delle immagini?
In alcuni casi può essere necessario prolungare i tempi di conservazione
delle immagini inizialmente fissati dal titolare o previsti dalla legge: ad
esempio, nel caso in cui tale prolungamento si renda necessario a dare
seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia
giudiziaria in relazione ad un’attività investigativa in corso.
- Quali sistemi di videosorveglianza necessitano di valutazione
d’impatto preventiva?
La valutazione d’impatto preventiva è prevista se il trattamento, quando
preveda in particolare l’uso di nuove tecnologie, considerati la natura,
l’oggetto, il contesto e le finalità del trattamento, può presentare un
rischio elevato per le persone fisiche (artt. 35 e 36 del Regolamento) (per
approfondimenti si vedano le “Linee-guida concernenti la valutazione
di impatto sulla protezione dei dati nonché i criteri per stabilire se un
trattamento “possa presentare un rischio elevato” ai sensi del regolamento
2016/679” – WP248rev.01 del 4 ottobre 2017).
Può essere il caso, ad esempio, dei sistemi integrati – sia pubblici che
privati – che collegano telecamere tra soggetti diversi nonché dei sistemi
intelligenti, capaci di analizzare le immagini ed elaborarle, ad esempio
al fine di rilevare automaticamente comportamenti o eventi anomali,
segnalarli, ed eventualmente registrarli.
La valutazione d’impatto sulla protezione dei dati è sempre richiesta, in
particolare, in caso di sorveglianza sistematica su larga scala di una zona
accessibile al pubblico (art. 35, par. 3, lett. c) del Regolamento) e negli
altri casi indicati dal Garante (cfr. “Elenco delle tipologie di trattamenti
soggetti al requisito di una valutazione d’impatto sulla protezione dei dati
ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” dell’11
ottobre 2018).
- Il datore di lavoro pubblico o privato può installare un sistema di videosorveglianza nelle
sedi di lavoro?
Sì, esclusivamente per esigenze organizzative e produttive, per la
sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto
delle altre garanzie previste dalla normativa di settore in materia di
installazione di impianti audiovisivi e altri strumenti di controllo (art. 4
della l. 300/1970).
- Si può utilizzare un sistema di videosorveglianza per trattare categorie
particolari di dati?
Se le riprese video sono trattate per ricavare categorie particolari di
dati, il trattamento è consentito soltanto se risulta applicabile una delle
eccezioni di cui all’art. 9 del Regolamento (ad esempio, un ospedale
che installa una videocamera per monitorare le condizioni di salute di un
paziente effettua un trattamento di categorie particolari di dati personali).
In via generale, ogniqualvolta si installa un sistema di videosorveglianza
si dovrebbe prestare particolare attenzione al principio di minimizzazione
dei dati. Pertanto, il titolare del trattamento deve in ogni caso sempre
cercare di ridurre al minimo il rischio di acquisire filmati che rivelino altri
dati a carattere sensibile, indipendentemente dalla finalità.
Il trattamento di categorie particolari di dati richiede una vigilanza
rafforzata e continua su taluni obblighi, ad esempio un elevato livello
di sicurezza e una valutazione d’impatto sulla protezione dei dati, ove
necessario (cfr. FAQ n. 7).
- Ci sono casi di videosorveglianza in cui non si applica la normativa
in materia di protezione dati?
Sì. La normativa in materia di protezione dati non si applica al trattamento
di dati che non consentono di identificare le persone, direttamente o
indirettamente, come nel caso delle riprese ad alta quota (effettuate,
ad esempio, mediante l’uso di droni). Non si applica, inoltre, nel caso
di fotocamere false o spente perché non c’è nessun trattamento di dati
personali (fermo restando che, nel contesto lavorativo, trovano comunque
applicazione le garanzie previste dall’art. 4 della l. 300/1970) o nei casi
di videocamere integrate in un’automobile per fornire assistenza al
parcheggio (se la videocamera è costruita o regolata in modo tale da
non raccogliere alcuna informazione relativa a una persona fisica, ad
esempio targhe o informazioni che potrebbero identificare i passanti).