Il 5 dicembre 2020 il Garante per la protezione dei dati personali ha pubblicato sul proprio sito www.garanteprivacy.it una serie di FAQ in materia di sorveglianza chiarendo alcuni dei principali dubbi relativi all’installazione delle telecamere in contesti pubblici e privati.
I principali quesiti
Le principali questioni con cui i titolari del trattamento (un’azienda, una pubblica amministrazione, un professionista, un condominio…) devono confrontarsi riguardano sia l’ambito lavorativo (il datore di lavoro cosa deve fare per installare nella propria sede un sistema di videosorveglianza?) sia il contesto privato (un soggetto privato può installare telecamere di sorveglianza per sorvegliare la propria abitazione?).
E’ dunque di fondamentale importanza distinguere il luogo di collocazione di un sistema di videosorveglianza e l’ambito nel quale questo sistema deve operare.
Una volta individuata la finalità di trattamento, il titolare dovrà poi essere in grado di applicare tutte le previsioni operative previste quali il limite di tempo per la conservazione delle immagini, le nomine dei soggetti coinvolti e l’eventuale necessità di una previa autorizzazione da parte degli appositi uffici.
Il Garante, con la pubblicazione delle proprie FAQ, ha quindi cercato di fornire dei chiarimenti ai suddetti quesiti principali alla luce Regolamento 2016/679 (“GDPR”) e delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” del Comitato europeo per la protezione dei dati anche per verificare la conformità con tali norme del già sussistente provvedimento emanato in materia nel lontano 2010.
I principi del trattamento
Per quanto riguarda i principi applicabili al trattamento di cui all’art. 5 del GDPR, il Garante ha chiarito che l’attività di videosorveglianza deve rispettare in primis il principio di minimizzazione dei dati per cui le immagini trattate devono essere adeguate, pertinenti e limitate a quanto necessario rispetto alle finalità di raccolta.
Il rispetto di tale principio si ripercuote necessariamente sulla scelta delle modalità di ripresa, sulla collocazione dell’impianto e sulla gestione delle varie fasi del trattamento.
Inoltre il titolare non solo deve rispettare i principi applicabili al trattamento ma deve essere anche in grado di comprovarlo (“accountability”). Il titolare dovrà quindi valutare la liceità e la proporzionalità del trattamento in relazione al contesto, alle finalità ed al rischio per i diritti e le libertà delle persone fisiche. Questo significa anche considerare, prima di iniziare il trattamento, se sia necessario o meno effettuare una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 del GDPR. Secondo il Garante ciò dovrebbe accadere per i sistemi integrati che collegano telecamere tra soggetti diversi nonché per i sistemi intelligenti, capaci di analizzare le immagini ed elaborarle oppure per il caso della sorveglianza sistematica su larga scala di una zona accessibile al pubblico.
L’informativa ex art. 13 del GDPR
Con riferimento all’obbligo del titolare del trattamento di fornire all’interessato tutte le informazioni di cui all’art. 13 del GDPR nelle forme prescritte dall’art. 12 del GDPR e dunque con una forma “concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro” il Garante ha confermato la possibilità di utilizzare un modello semplificato.
Tale modello può consistere in un semplice cartello da collocare prima dell’ingresso nell’area videosorvegliata ed in cui siano contenute le informazioni più importanti relative al trattamento tra cui le indicazioni sul titolare del trattamento e sulla finalità perseguita.
Tale informativa dovrà poi rinviare a un testo completo contenente tutti gli elementi di cui all´art. 13 del GDPR indicando come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento o affisso in bacheche o locali dello stesso). Il modello di informativa è consultabile al presente link.
La durata della conservazione
Un tema molto sentito dai titolari del trattamento che utilizzano sistemi di videosorveglianza è quello della durata del trattamento e dunque dei limiti temporali da rispettare prima di dover cancellare le immagini raccolte.
Rimangono fermi il principio di minimizzazione ed il “principio di limitazione della conservazione” di cui all’art. 5 par. 1 lett. e) del GDPR per cui le immagini dovranno essere conservate “in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità” per le quali sono trattate.
Il Garante ha chiarito che, salvo specifiche norme di legge che indichino una durata determinata, le immagini possono essere conservate per un tempo individuato dallo stesso titolare del trattamento in base alla valutazione preliminarmente effettuata sul contesto, sulle finalità e sul rischio per i diritti e le libertà delle persone fisiche. Ciò in applicazione del principio di “accountability”.
Un esempio di durata prevista direttamente da una norma di legge è quello dell’art. 6, c. 8, del D.L. 23/02/2009, n. 11 (“Misure urgenti in materia di sicurezza pubblica e di contrasto alla violenza sessuale, nonché in tema di atti persecutori”), ai sensi del quale, nell’ambito dell’utilizzo da parte dei Comuni di sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico per la tutela della sicurezza urbana, “la conservazione dei dati, delle informazioni e delle immagini raccolte mediante l’uso di sistemi di videosorveglianza è limitata ai sette giorni successivi alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione”.
Gli scopi legittimi della videosorveglianza sono spesso la sicurezza e la protezione del patrimonio ed in tali casi, secondo il Garante, è possibile individuare eventuali danni entro uno o due giorni. Le FAQ portano l’esempio del titolare di un piccolo esercizio commerciale che dovrebbe essere in grado di rilevare gli eventuali atti vandalici il giorno stesso dell’evento rendendo sufficiente un periodo di conservazione delle immagini di 24 ore. La chiusura nei fine settimana o in periodi festivi più lunghi potrebbe tuttavia giustificare un periodo di conservazione più prolungato.
Sempre per il Garante, più sarà prolungato il termine di conservazione (soprattutto se superiore a 72 ore) più il titolare dovrà essere in grado di argomentare la proporzionalità di una tale durata con la legittimità dello scopo e la necessità della conservazione.
In alcuni casi può essere necessario prolungare i tempi di conservazione delle immagini inizialmente previsti dal titolare o dalla legge come nel caso del prolungamento necessario a dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad un’attività investigativa in corso.
La procedura per installare un sistema di videosorveglianza
Il titolare del trattamento per installare legittimamente un sistema di videosorveglianza deve tenere conto non solo della normativa in ambito privacy ma anche delle altre norme coinvolte caso per caso quali le disposizioni civili e penali in materia di interferenze illecite nella vita privata o le disposizioni dello Statuto dei lavoratori (art. 4) in materia di controllo a distanza.
Ciò premesso, le FAQ chiariscono che non occorre avere un’autorizzazione da parte del Garante per installare le telecamere ferma sempre la necessità per il titolare del trattamento, che sia un soggetto pubblico o privato, di informare i soggetti che stanno per transitare nell’area videosorvegliata della presenza delle telecamere, anche in occasione di eventi e spettacoli pubblici (ad esempio, concerti, manifestazioni sportive). Sul punto si rammenta la necessità di considerare, per quanto riguarda i contesti lavorativi, lo statuto dei lavoratori (art. 4) e le autorizzazioni ivi previste.
Nel caso di videosorveglianza privata, vale a dire per fini esclusivamente personali, atti a monitorare la proprietà privata, per non configurare il reato di interferenze illecite nella vita privata (art. 615-bis c.p.), l’angolo visuale delle riprese deve essere comunque limitato ai soli spazi di propria esclusiva pertinenza, escludendo ogni forma di ripresa, anche senza registrazione di immagini, relativa ad aree comuni (cortili, pianerottoli, scale, parti comuni delle autorimesse) ovvero a zone di pertinenza di soggetti terzi. È vietato altresì riprendere aree pubbliche o di pubblico passaggio.
Per quanto riguarda il condominio, il Garante precisa che l’installazione deve necessariamente avvenire previa assemblea condominiale, con il consenso della maggioranza dei millesimi dei presenti (art. 1136 c.c.). È indispensabile inoltre che le telecamere siano segnalate con appositi cartelli e che le registrazioni vengano conservate per un periodo limitato ritenendosi congruo un termine di conservazione delle immagini che non oltrepassi i 7 giorni.
Con riferimento specifico alle telecamere di sorveglianza casalinghe c.d. “smart cam” le FAQ hanno cura di precisare che l’utilizzo è consentito ma che questo trattamento, svolto per finalità esclusivamente personali di controllo e sicurezza, è escluso dall’ambito di applicazione del Regolamento. Il Garante ricorda comunque che i dipendenti o collaboratori eventualmente presenti (babysitter, colf, ecc.) dovranno essere previamente informati dal datore di lavoro evitando ad ogni modo il monitoraggio di ambienti che ledano la dignità della persona (come bagni) e approntando idonee misure di sicurezza per proteggere adeguatamente i dati acquisiti che non dovranno in alcun modo essere diffusi.
I dati particolari
L’attività di videosorveglianza potrebbe riguardare anche le categorie particolari di dati di cui all’art. 9 GDPR. In tali casi l’utilizzo è consentito solo in presenza di una delle condizioni di legittimità del trattamento previste dallo stesso art. 9 come nell’esempio portato dalle FAQ del Garante dell’ospedale che installa una videocamera per monitorare le condizioni di salute di un paziente.
L’applicazione del principio di minimizzazione al trattamento di videosorveglianza deve riguardare anche questo ambito in quanto il titolare del trattamento deve sempre cercare di ridurre al minimo il rischio di acquisire filmati che rivelino categorie particolari di dati, indipendentemente dalla finalità.
Dovrà in questi casi essere attuata da parte del titolare del trattamento una cosiddetta “vigilanza rafforzata e continua” applicando ad esempio un elevato livello di sicurezza e una valutazione d’impatto sulla protezione dei dati.
I casi esclusi
Le FAQ del Garante chiariscono anche i casi di videosorveglianza in cui non si applicano le disposizioni in materia di protezione dei dati personali.
E’ il caso ad esempio del trattamento di dati che non consentono di identificare le persone, direttamente o indirettamente, come nel caso delle riprese ad alta quota (effettuate, ad esempio, mediante l’uso di droni). Con l’eccezione dell’ambito lavorativo per cui trovano sempre applicazione le norme dell’art. 4 dello Statuto dei lavoratori, la normativa non si applica nemmeno nei casi di fotocamere false o spente perché non c’è nessun trattamento di dati personali o nei casi di videocamere integrate in un’automobile per fornire assistenza al parcheggio. In tale ultimo caso, tuttavia, il Garante chiarisce che la videocamera deve essere regolata in modo tale da non raccogliere alcuna informazione relativa a una persona fisica, ad esempio targhe o informazioni che potrebbero identificare i passanti.