VIDEOSORVEGLIANZA NELLE SEDI LAVORATIVE – IL GARANTE RISPONDE

Su questi ed altri temi è intervenuto il Garante per la protezione dei dati personali con delle FAQ riguardanti il trattamento dei dati personali in riferimento all’installazione di impianti di videosorveglianza nei contesti lavorativi. Tale intervento aggiorna il precedente (2010) e interpreta le disposizioni della normativa di riferimento, il Regolamento 2016/679 e le linee guida dello Europoean Data Protection Board.

Di seguito alcune delle più importanti risposte fornite dall’Autorità Garante Privacy

Posso installare un sistema di videosorveglianza nelle sedi di lavoro?

Sì, ma esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto delle altre garanzie previste dalla normativa di settore in materia di installazione di impianti audiovisivi e altri strumenti di controllo (art. 4 della l. 300/1970).

Quali sono le regole da rispettare per installare sistemi di videosorveglianza?

Per installare sistemi di rilevazione delle immagini (videosorveglianza) non è sufficiente rispettar solo la normativa in tema di protezione dei dati personali, ma sarà necessario anche rispettare le altre disposizioni applicabili quali: il codice civile e penale al fine di evitare interferenze illecite nella sfera privata (ad esempio il diritto all’immagine nel nostro codice civile) o la normativa di riferimento per la tutela dei lavoratori.

Inoltre, l’attività di videosorveglianza dovrà rispettare comunque e sempre i principi di minimizzazione dei dati che pertanto dovranno essere “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati”. (art. 5 GDPR)  e non dovranno mai eccedere quantitativamente e qualitativamente dalla finalità per la quale la loro raccolta è stata autorizzata.

Sarà anche necessario attuare tutte le misure tecniche e organizzative adeguate a garantire la protezione dei dati già al momento della pianificazione dell’attività di videosorveglianza, ovvero prima di iniziare la raccolta e l’elaborazione dei filmati video, in ossequio al principio di data protection by default e by desing (art. 25 GDPR); un esempio su tutti l’acquisto di tecnologie privacy-friendly, ad esempio i sistemi che consentono di mascherare aree che non sono rilevanti per la sorveglianza o di oscurare i volti degli interessati quando si mostrino le riprese video a soggetti terzi.

È necessaria un’autorizzazione da parte del Garante per installare l’impianto di videosorveglianza?

Sebbene non sia necessaria alcuna autorizzazione da parte del garante è opportuno sottolineare alcuni importanti aspetti.

In base al principio di responsabilizzazione (art. 5 GDPR) ogni titolare del trattamento dei dati deve autonomamente valutare liceità, proporzionalità e rischi per i diritti e le libertà altrui del trattamento tenuto conto del contesto e delle finalità dello stesso anche, ove necessario, ponendo in essere una valutazione d’impatto sulla protezione dei dati (DPIA).

Chi transita nelle aree videosorvegliate deve essere informata della presenza delle telecamere?

Sì, chi si trova a transitare in una zona videosorvegliata deve sempre essere informata (ex art. 13 del Regolamento) che sta per accedere in tale area, anche in occasione di eventi e spettacoli pubblici (ad esempio, concerti, manifestazioni sportive) e a prescindere dal fatto che chi tratta i dati sia un soggetto pubblico o un soggetto privato. Attenzione a questo aspetto perché particolarmente valorizzato dalle autorità Garanti europee in sede di controllo. Un esempio su tutti: ad una azienda austriaca munita di videocamere che riprendevano sia gli ingressi agli stabilimenti ma anche i volti di chi percorreva i marciapiedi attigui, senza però le prescrizioni di legge, e dove inoltre non era presente un Registro dei Trattamenti con riportati i tipi di Trattamento effettuati, i Soggetti autorizzati, gli Asset utilizzati e le Finalità prescritti (tutti adempimenti obbligatori dal 25 Maggio 2018 che segna l’ingresso del GDPR nel nostro ordinamento) è stata comminata una sanzione di € 4.000 circa, somma di sicuro rilievo per una piccola-media impresa.

Come fornisco l’informativa agli interessati?

L’informativa può essere fornita utilizzando un modello semplificato che deve comunque contenere le indicazioni sul titolare del trattamento e le finalità perseguite e deve necessariamente rimandare a un testo completo contenente tutti gli elementi prescritti all’art. 13 del Regolamento. L’informativa va collocata prima di entrare nella zona sorvegliata. Non è necessario rivelare la precisa ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza. L’interessato deve poter capire quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario.

Per quanto tempo posso conservare le immagini videoregistrate?

NON più a lungo di quanto necessario per le finalità per le quali sono state acquisite. In base al principio di responsabilizzazione spetta proprio al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto sempre del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone coinvolte. In via generale, gli scopi legittimi della videosorveglianza sono spesso la sicurezza e la protezione del patrimonio. Solitamente è possibile individuare eventuali danni entro uno o due giorni. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione.  Ad esempio, normalmente il titolare di un piccolo esercizio commerciale si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si verificassero. Un periodo di conservazione di 24 ore è quindi sufficiente. La chiusura nei fine settimana o in periodi festivi più lunghi potrebbe tuttavia giustificare un periodo di conservazione più prolungato.

Quali sistemi di videosorveglianza necessitano di una valutazione d’impatto preventiva (DPIA)?

Quelli che, per le tecnologie utilizzate, possono rappresentare un rischio elevato per i diritti e le libertà delle persone fisiche. Può essere il caso, ad esempio, dei sistemi integrati che collegano telecamere tra soggetti diversi nonché dei sistemi intelligenti, capaci di analizzare le immagini ed elaborarle, ad esempio al fine di rilevare automaticamente comportamenti o eventi anomali, segnalarli, ed eventualmente registrarli.

Quali altri adempimenti devo eseguire per garantire il rispetto della normativa privacy?

1. Designazione delle persone autorizzate al trattamento dei dati relativo alla videosorveglianza:nell’ambito dell’organizzazione interna aziendale, il titolare è tenuto a designare e formare in materia i dipendenti che operano sotto le sue direttive e hanno accesso alle immagini. In considerazione del carattere invasivo dei trattamenti effettuati attraverso la videosorveglianza e dei possibili rischi collegati, è importante per il titolare procedere con questi adempimenti in maniera molto puntuale fornendo agli autorizzati, nell’atto di designazione, istruzioni molto dettagliate nonché procedere con la formazione, perlomeno annuale, del personale designato.
2. Accordo sul trattamento dei dati con eventuali responsabili esterni del trattamento, ad esempio società che forniscono servizi di manutenzione dell’impianto di videosorveglianza e/o hanno la possibilità di accedervi anche da remoto:

per la videosorveglianza le aziende molto spesso si rivolgono a fornitori esterni. Nel caso sarà necessario sottoscrivere un accordo sul trattamento dei dati con il proprio responsabile esterno nel caso in cui questo abbia accesso ai dati acquisiti per mezzo dell’impianto di videosorveglianza, ad esempio nel caso in cui effettui la manutenzione o sia collegato con la centrale operativa di società di sicurezza privata. In tali casi, il titolare, a memoria dell’art. 28 del GDPR, è tenuto a scegliere il fornitore/responsabile tra quei soggetti che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate e a disciplinare i trattamenti svolti dal responsabile attraverso un contratto o altro atto giuridico.

1. Inserimento del trattamento relativo alla videosorveglianza nel registro delle attività di trattamento dati dell’azienda:

Il titolare è tenuto ad aggiornare il proprio registro delle attività di trattamento inserendo le seguenti informazioni riguardo la videosorveglianza:

le finalità del trattamento;

una descrizione delle categorie di interessati e delle categorie di dati personali;

le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;

ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;

ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;

ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative.

Il tema della videosorveglianza sui luoghi di lavoro si dimostra pertanto essere tema estremamente articolato e complesso, che coinvolge i diritti dei lavoratori come tali nonché i diritti delle persone fisiche anche esterne al luogo di lavoro, risultando una materia che richiedere, per la sua corretta esecuzione un approccio informato, serio e approfondito.

SE NON SAI COME INTERVENIRE CONTATTACI PER UNA CONSULENZA GRATUITA