VIDEOSORVEGLIANZA – LE FAQ DEL GARANTE PRIVACY

Al decennale dall’entrata in vigore del Provvedimento del Garante Privacy sulla videosorveglianza, l’Autorità di controllo italiana torna a pronunciarsi in materia, chiarendo gli aspetti dubbi e recependo i contenuti delle Linee guida dell’EDPB 3/2019 sul trattamento dei dati personali effettuato attraverso dispositivi video, adottate il 20 gennaio 2020.

I chiarimenti dell’Autorità, fortemente attesi dagli esperti del settore, considerate le incompatibilità tra linee guida, contenenti criteri interpretativi sulla corretta applicazione del GDPR e Provvedimento del 2010, vengono esplicitati attraverso lo strumento delle FAQ, sempre più utilizzate dagli esponenti governativi per fornire supporto all’interpretazione delle disposizioni normative.

Applicazione della normativa sulla protezione dei dati personali

Ribadita la piena applicabilità della disciplina sulla protezione dei dati personali, il Garante precisa che gli adempimenti normativi non trovano applicazione per tutti i sistemi di videosorveglianza che non consentono di identificare direttamente o indirettamente le persone e tra questi cita a titolo esemplificativo le riprese ad alta quota effettuate ad esempio con i droni, le fotocamere false o spente nonché videocamere installate nei veicoli per garantire il servizio di parking assistant, a condizione che non siano identificabili targhe o passanti nelle vicinanze.

La liceità del trattamento e la minimizzazione dei dati trattati

Gli interessati potrebbero apprezzare la presenza delle telecamere per finalità di sicurezza e rifiutare utilizzi impropri per scopi secondari, quali marketing e controllo delle prestazioni dei lavoratori. Al fine di disincentivare gli utilizzi ritenuti non indispensabili, l’Autorità richiama in causa l’applicazione dei principi generali del GDPR quali liceità del trattamento, sussistente in presenza delle condizioni di cui all’articolo 6 del Regolamento europeo, trattazione dei soli dati necessari e valutazione della necessità e proporzionalità dell’attività di raccolta delle immagini in ordine alle finalità perseguibili, non realizzabili attraverso metodi alternativi.

Profili autorizzativi

Novità significativa, prevista in termini generali dal GDPR e applicata al contesto specifico della videosorveglianza nelle Linee guida, concerne il venir meno dell’obbligo di autorizzazione all’Autorità garante, sempre ai fini di installazioni di impianti video, per i trattamenti che presentano rischi specifici per i diritti e le libertà fondamentali, superando l’obbligo, di verifica preliminare o di notifica al Garante, contemplato nel Provvedimento originario. Pertanto, i titolari che, intendano dotarsi di sistemi di raccolta delle immagini associati a dati biometrici (si consideri ad esempio le termocamere utilizzate durante il periodo emergenziale per rilevare la temperatura corporea dei dipendenti) che permettano il riconoscimento della persona tramite collegamento o incrocio o confronto delle immagini, potranno procedere all’implementazione di tali sistemi, soltanto dopo aver effettuato in autonomia una valutazione d’impatto preventiva ex art. 35 e 36 del Regolamento Europeo. Si ricorrerà al Garante solo ed esclusivamente nell’ipotesi in cui, a fronte di tale valutazione, rimanga elevato il rischio per gli interessati.

Il diritto all’informativa ex art. 13 del GDPR

Per quanto concerne l’obbligo di fornire l’informativa sul trattamento dei dati e le indicazioni per il corretto posizionamento dei cosiddetti “segnali di avvertimento”, le FAQ confermano l’orientamento attuale secondo cui le informazioni essenziali attinenti Titolare del trattamento e finalità perseguita, potranno essere fornite attraverso modelli semplificati, mentre le informazioni complete richieste dall’art. 13 GDPR verranno contemplate da un’informativa estesa che il titolare avrà cura di rendere accessibile all’interessato, su supporti cartacei o digitali. Le precisazioni dell’Autorità sembrano voler marcare la necessaria puntualità delle indicazioni riguardo le zone soggette a videosorveglianza (non necessariamente la precisa ubicazione) nonché le modalità per accedere all’informativa estesa.

In riferimento ai modelli semplificati da esporre, il Garante rinvia ai cartelli videosorveglianza proposti dell’EDBP, superando il precedente fac simile allegato al Provvedimento del 2010 che non riporta le evidenze richieste per l’osservanza al principio di trasparenza nei confronti dell’interessato.

Data Retention delle immagini

Risiede nella Data Retention il discostamento principale delle nuove indicazioni rispetto al passato, in linea con l’attuazione dei principi generali del GDPR: “le immagini registrate non possono essere conservate più a lungo di quanto necessario per le finalità per le quali sono acquisite.”

Dunque, accertata la sussistenza di almeno una delle condizioni che ammettono la liceità del trattamento dei dati legato alla videosorveglianza ossia legittimo interesse, esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri (si pensi alle telecamere installate dai comuni) e in via residuale consenso dell’interessato, il Titolare del trattamento, per Accountability, sarà tenuto a definire un termine ragione di conservazione delle immagini, in ordine alle specifiche finalità individuate, salvo l’ipotesi in cui tale termine sia stabilito per legge. Sul punto, l’Autorità ritiene che qualora l’impianto sia installato quale deterrente al compimento di atti vandalici e quindi sulla base di un legittimo interesse, le 24 ore costituiscono un periodo di conservazione sufficiente.

Maggiore è il periodo di conservazione dei dati, eccedente addirittura le 72 ore, maggiori saranno le argomentazioni sulla legittimità della finalità e sulla necessità della conservazione che il titolare dovrà produrre. Pertanto, anche per la questione inerente il prolungato tempo di conservazione delle immagini, viene meno l’obbligo di verifica preliminare al Garante Privacy stabilito dal Provvedimento.

Contesti specifici di applicazione

Le precisazioni sull’applicabilità della disciplina intervengono anche in relazione a specifici contesti, tra cui la scuola, ove si limita la possibilità di installare sistemi di videosorveglianza, ai soli casi di estrema necessità. In aggiunta alle prescrizioni generali, il Garante specifica che qualora le telecamere siano collocate anche all’interno degli edifici scolastici, gli impianti dovranno essere disattivati durante lo svolgimento delle attività scolastiche ed extra-scolastiche.

Convalidata l’esenzione dall’osservanza del GDPR per la videosorveglianza privata che riprende contesti della vita familiare di un individuo e le smart cam “casalinghe”. Ciononostante, si ritiene necessaria una verifica delle visuali riprese che dovranno obbligatoriamente escludere aree comuni, pubbliche o di proprietà privata altrui.

Di converso, si estende l’applicazione della normativa in esame al condominio, ove si restringe la possibilità di inserimento dei dispositivi alle sole aree comuni, previo consenso da parte dei condomini che rappresentino la maggioranza degli intervenuti in assemblea e almeno la metà del valore dell’edificio.

Per quanto concerne le videoriprese atte a dedurre dati particolari, come nel caso delle telecamere installate nei reparti di terapia intensiva degli ospedali, si rimarca l’obbligo in capo al titolare di individuare una delle basi giuridiche di cui all’art. 6 del GDPR, tra cui in primis la salvaguardia degli interessi vitali dell’interessato. Significato pregnante assume in tale circostanza, la valutazione sulla necessità e proporzionalità del trattamento effettuato, con particolare riguardo ai tempi di conservazione delle immagini.

In conclusione, appare evidente che le risposte fornite dal Garante Privacy perseguano l’intento di allinearsi ai criteri interpretativi forniti dall’EDPB riguardo l’installazione di impianti di videosorveglianza, superando le parti del provvedimento del 2010 ritenute incompatibili con il GDPR.