Sulla Gazzetta Ufficiale n. 99 del 29 aprile 2010 è stata pubblicata la Deliberazione dell'8 aprile 2010 del Garante per la Protezione dei dati personali recante "Provvedimento in materia di videosorveglianza" che sostituisce quello del 29 aprile 2004.
Si riportano, di seguito, le principali novità ed i relativi nuovi adempimenti applicabili ai soggetti pubblici e privati.
Trattamento effettuato da soggetti privati senza consenso
Con il presente Provvedimento il Garante individua i casi nei quali il trattamento dei dati effettuato mediante videosorveglianza può essere effettuato da soggetti privati , nei limiti e alle condizioni di seguito indicate, per perseguire legittimi interessi e senza richiedere il consenso degli interessati.
In particolare, ciò vale quando la rilevazione delle immagini è effettuata per perseguire un legittimo interesse del titolare o perseguendo fini di tutela delle persone e dei beni rispetto a possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo o finalità di prevenzione incendi o di sicurezza del lavoro come avviene per l'installazione di tali sistemi a protezione dell'attività delle imprese associate.
In tali casi i trattamenti sono ammessi in presenza di concrete situazioni che giustifichino l'installazione dei predetti sistemi a protezione delle persone, della proprietà o del patrimonio aziendale.
Nell'uso delle apparecchiature volte a riprendere aree esterne a edifici o immobili (es. telecamere fuori dagli esercizi commerciali) occorre limitare l'angolo visuale all'area effettivamente da proteggere, evitando per quanto possibile la ripresa di luoghi circostanti e di particolari non rilevanti.
Informativa
Il Garante conferma che gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata.
I supporti (cartelli, ecc.) con l'informativa:
- devono essere collocati prima del raggio di azione della telecamera;
- devono essere visibili in ogni condizione di illuminazione ambientale anche in orario notturno (se il sistema è attivo). Tale prescrizione deve essere adempiuta entro il 29 aprile 2011.
In ogni caso il titolare, ove richiesto, è tenuto a fornire anche oralmente un'informativa adeguata.
La circostanza che il sistema di videosorveglianza sia collegato direttamente con le forze di polizia deve essere resa nota agli interessati.
A tal fine il Provvedimento riporta il fac-simile di un modello semplificato (cartello con l'evidenziazione dell'agente che controlla le riprese).
Il collegamento con le centrali di Polizia rientra, a sua volta, nella più ampia fattispecie dei Sistemi integrati di videosorveglianza che comprende tutti quei sistemi che offrono servizi centralizzati di videosorveglianza remota da parte di vari soggetti (società di vigilanza, Internet e service providers, fornitori di video specialistici, ecc.) oltre alle forze di polizia.
Questi diversi sistemi possono prevedere:
- la gestione coordinata dei servizi di videosorveglianza tramite condivisione delle immagini da parte di diversi e autonomi titolari del trattamento che utilizzano le medesime infrastrutture tecnologiche. In tal caso ciascun titolare può trattare le immagini strettamente funzionali al perseguimento delle finalità dichiarate nell'informativa;
- il collegamento telematico di diversi titolari ad un centro unico gestito da un terzo. Tale soggetto terzo va designato responsabile da parte di ogni singolo titolare e deve assumere un ruolo di coordinamento e gestione dell'attività di videosorveglianza senza consentire forme di correlazione delle immagini raccolte per conto di ciascun titolare;
- il collegamento, come sopra già evidenziato, con le sale o le centrali operative degli organi di polizia.
Per le tre tipologie sopra evidenziate:
- devono essere adottati sistemi per la registrazione degli accessi logici degli incaricati e delle operazioni compiute sulle immagini registrate con conservazione non inferiore a sei mesi;
- deve essere predisposta una separazione logica delle immagini registrate dai diversi titolari.
Le misure previste ai punti 1 e 2, dovranno essere adottate entro il 29 settembre 2010. Il mancato rispetto delle misure previste ai punti 1 e 2, comporta l'applicazione della sanzione amministrativa aggiuntiva da trentamila a centottantamila euro (art. 162, comma 2-ter, D.Lgs. 196/03).
Se gli accorgimenti sopra evidenziati non sono integralmente applicabili per la natura e le caratteristiche dei sistemi di videosorveglianza utilizzati, il titolare è tenuto a richiedere una verifica preventiva all'Autorità.
La violazione delle disposizioni riguardanti l'informativa (es. mancata indicazione del titolare, della finalità perseguita e dell'eventuale collegamento con le forze di polizia) è punita con la sanzione amministrativa da seimila a trentaseimila euro (art. 161 D.Lgs. 196/03).
Verifica preliminare
I trattamenti effettuati dalle imprese associate non richiedono, nella stragrande maggioranza dei casi, una verifica preliminare da parte dell'Autorità.
Essa infatti riguarda l'associazione delle immagini a dati biometrici, l'uso di sistemi "intelligenti" in grado di rilevare automaticamente comportamenti o eventi anomali.
Va invece posta particolare attenzione a non eccedere i tempi di conservazione delle immagini registrate per non ricadere nell'obbligo di richiedere all'Autorità una verifica preliminare.
In tal caso l'obbligo della richiesta di verifica preliminare andrà assolto entro il 29 settembre 2010.
Misure di sicurezza
Come regola generale, i dati raccolti mediante la videosorveglianza devono essere protetti per ridurre al minimo i rischi di distruzione, perdita accidentale, accessi non autorizzati o trattamenti non consentiti.
E' pertanto fortemente consigliabile che, specie nelle aziende di minori dimensioni, alle immagini acceda unicamente il titolare al fine di evitare l'individuazione di specifiche figure autorizzate e l'adozione di misure organizzative per verificarne l'attività.
All'aumentare della dimensione aziendale, viceversa, dovranno essere adottati:
- diversi livelli di visibilità e trattamento delle immagini (designazione per iscritto di un numero delimitato di incaricati ad accedere ai locali dove sono situate le postazioni di controllo, ad utilizzare gli impianti e, nei casi in cui ciò sia indispensabile, a visionare le immagini; individuazione dei diversi livelli di accesso in corrispondenza delle specifiche mansioni attribuite ad ogni singolo operatore distinguendo tra chi è unicamente abilitato a visionare le immagini da chi può effettuare ulteriori operazioni) anche attraverso l'attribuzione di credenziali di autenticazione che abilitino ad effettuare unicamente le operazioni di propria competenza;
- accorgimenti per limitare la possibilità, per i soggetti abilitati, di visionare le immagini registrate e di effettuare sulle stesse operazioni di cancellazione e duplicazione;
- accorgimenti per garantire la cancellazione anche automatica delle registrazioni dopo 24 ore dalla rilevazione. Solo in alcuni casi (come i mezzi di trasporto) o per la particolare rischiosità dell'attività svolta dal titolare del trattamento (il Provvedimento cita come esempio le banche ma si ritiene che possano essere ricomprese anche altre attività come le gioiellerie) può ritenersi ammesso un periodo più lungo comunque non eccedente la settimana;
- accorgimenti per, nel caso di interventi di manutenzione, garantire che i soggetti a ciò preposti potranno accedere alle immagini soltanto se questo si renda indispensabile al fine di effettuare eventuali verifiche tecniche ed in presenza dei soggetti abilitati alla visione delle immagini;
- accorgimenti contro il rischio di accesso abusivo alle reti informatiche nel caso di apparati digitali connessi a reti informatiche;
- accorgimenti per l'applicazione di tecniche crittografiche nel caso di trasmissione tramite una rete pubblica di comunicazioni.
Le misure di sicurezza devono essere adottate entro il 29 aprile 2011.
Il mancato rispetto di tali prescrizioni comporta l'applicazione della sanzione amministrativa aggiuntiva da trentamila a centottantamila euro (art. 162, comma 2-ter, D.Lgs. 196/03).
Viceversa, l'omessa adozione delle misure minime di sicurezza comporta l'applicazione della sanzione amministrativa da ventimila a centoventimila euro (art. 162, comma 2-bis, D.Lgs. 196/03) ed integra il reato previsto dall'art. 169 del D.Lgs. 196/03 punito con l'arresto sino a due anni.
Il mancato rispetto dei termini di conservazione (24 ore o, solo per particolari attività, sette giorni) e del correlato obbligo di cancellazione, comporta l'applicazione della sanzione amministrativa aggiuntiva da trentamila a centottantamila euro (art. 162, comma 2-ter, D.Lgs. 196/03).
Rapporti di lavoro
Si conferma il divieto di controllo a distanza dell'attività lavorativa nell'uso di sistemi di videosorveglianza.
Il mancato rispetto del principio sopra enunciato comporta l'applicazione della sanzione amministrativa aggiuntiva da trentamila a centottantamila euro (art. 162, comma 2-ter, D.Lgs. 196/03).
Utilizzo di web cam a scopi promozionali-turistici o pubblicitari
Tali riprese devono avvenire con modalità che rendano non identificabili i soggetti ripresi.
