Nuove regole per la videosorveglianza: ufficializzato il cartello di avviso da esporre

In merito all’informativa agli interessati, l’Autorità ha chiarito che può essere utilizzato un modello semplificato contenente le informazioni più importanti e collocato prima di entrare nell’area sorvegliata, in modo che gli interessati possano capire quale zona sia coperta da una telecamera. Inoltre, è molto importante evidenziare, all’interno del cartello, come e dove reperire un’informativa completa contenente tutti gli elementi di cui all´art. 13 del Regolamento, ad es. sul sito Internet del titolare del trattamento o affisso in bacheche o locali predisposti dallo stesso.

Va precisato che il Regolamento Generale sulla Protezione dei dati 2016/679/UE ha introdotto nuove disposizioni e il provvedimento in materia di videosorveglianza, deliberato dal Garante l’8 aprile 2010, rimarrà valido fino a quando non sarà sostituito da un nuovo provvedimento, allineato alle nuove disposizioni prescritte dalla vigente normativa in materia di protezione dei dati. Da questa situazione di confusione, generata dal Regolamento del 2016 e dal provvedimento del 2010 non ancora allineato, emerge la necessità di capire come rendere l’impianto di videosorveglianza legittimo.

Tre sono gli aspetti da tenere in considerazione per la corretta implementazione di un sistema di gestione della protezione dei dati, in presenza di un impianto di videosorveglianza: giuridico, organizzativo e di sicurezza.

Nella fattispecie degli impianti di videosorveglianza si analizzano le finalità in relazione ai principi applicabili al trattamento (quali la limitazione della finalità, la minimizzazione dei dati, l’esattezza, la limitazione della conservazione, l’integrità e riservatezza, ecc.) e si valuta la base giuridica che rende l’impianto stesso conforme alle norme di riferimento. In questo contesto si valuterà se la situazione riscontrata richieda obbligatoriamente un accordo con le RSA/RSU/OO.SS. oppure un’autorizzazione all’ispettorato del lavoro, ai sensi dell’art. 4 della L. 300/1970 – Statuto dei lavoratori.

Inoltre, in relazione alle condizioni che determinano le finalità del trattamento si valuterà se si rientri nei casi in cui sia obbligatorio designare un Responsabile per la protezione dei dati oppure attuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento.

Individuate le finalità e le condizioni del trattamento, è possibile redigere correttamente la documentazione (quali a titolo esemplificativo informative agli interessati, completa e semplificata, relazione sulla valutazione d’impatto se necessaria, ecc.), nonché la relazione tecnica che definisce le modalità di ripresa e/o registrazione e il posizionamento delle telecamere (TVCC). Infatti, un impianto di videosorveglianza conforme, non può trascurare la posizione corretta delle TVCC in modo che siano inquadrate le sole aree di pertinenza, nei limiti di quanto necessario per le finalità perseguite, prestando attenzione affinché le TVCC stesse non inquadrino zone che richiedono massima riservatezza (come bagni o spogliatoi).

I tempi di conservazione delle immagini devono essere adeguate alle finalità della raccolta e, si precisa, che la particolare rischiosità dell’attività svolta dal titolare o le peculiari esigenze possono giustificare un tempo più ampio di conservazione dei dati, che non può superare comunque la settimana, a meno che non venga effettuata una specifica valutazione di impatto.

In questo ambito occorre definire i soggetti che gestiscono le immagini per conto del Titolare del trattamento (ad es. Istituti di vigilanza o tecnici che si occupano della manutenzione dei sistemi) attraverso un atto giuridico che regoli il rapporto con il Responsabile del trattamento, e le persone autorizzate ad accedere o visionare le immagini, i quali devono essere istruiti sulle operazioni di trattamento consentite.

Per il principio di Responsabilizzazione, art. 24 del Regolamento 2016/679/UE, il titolare del trattamento deve mettere in atto le misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento e, in particolare, a tutela di un livello di sicurezza adeguato al rischio.
A tal proposito non possono mancare procedure o misure di sicurezza prestando attenzione alla cifratura dei dati, alla gestione delle password, distinguendo l’accesso ai dispositivi per questioni tecniche dall’accesso alle immagini, al sistema di cancellazione delle immagini registrate allo scadere del termine previsto.
Importante è impostare una corretta procedura che cancelli automaticamente le immagini allo scadere dei termini di conservazione, per non incorrere a sanzioni per uso delle immagini oltre i tempi necessari, nonché definire in modo preciso dove affiggere i cartelli di avviso area videosorvegliata, in quanto i soggetti interessati devono essere informati prima di essere ripresi.
Per ultimo ma non per questo meno importante di tutto il resto, occorre verificare i sistemi e le procedure che consentono di rilevare eventuali violazioni dei dati personali, ossia violazioni di sicurezza che comportano – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso alle immagini, tenendo presente l’obbligo di notificare al Garante la violazione subita entro 72 ore, a meno che sia improbabile che la stessa comporti un rischio per i diritti e le libertà delle persone fisiche.

Il Team Privacy di AP&P resta a disposizione per ulteriori informazioni e chiarimenti.
Per consultare le FAQ sul sito del Garante della Privacy clicca qui.

Compila il form e richiedi il modello da utilizzare per redigere il cosiddetto “Cartello di Avviso Area Sorvegliata” ovvero l’Informativa da collocare nell’ingresso dell’area sottoposta a videoregistrazione dagli apparecchi di videosorveglianza