Annamaria Villafrate per Studio Cataldi affronta il tema della Videosorveglianza e nello specifico quali siano le linee guida dell’Unione Europea in merito al trattamento dei dati personali acquisiti attraverso i dispositivi di videosorveglianza. Nello specifico nella ricerca di Villafrate sono analizzati: i casi in cui non si applica il Gdpr, le Regole per il trattamento lecito dei dati e principi generali, le categorie particolari di dati e i diritti dell’interessato.
L’utilizzo dei sistemi di video sorveglianza hanno un impatto enorme sulla privacy delle persone. Per questo è importante adottare misure in grado di contrastare l’utilizzo improprio delle telecamere, per scopi che esulano dalla sicurezza. Da qui la necessità di rispettare i principi generali sanciti dal Gdpr. Se da una parte infatti i sistemi di videosorveglianza sono diventati “intelligenti” dall’altra possono diventare sempre più invadenti (pensiamo ai dati biometrici). Mantenere l’anonimato e proteggere la privacy è sempre più difficile. Nel rispetto della riservatezza è pertanto necessario utilizzare la videosorveglianza come ultima spiaggia.
Scopo delle linee guida UE (sotto allegate) del 29 gennaio 2020 è quello di fornire indicazioni sulla corretta applicazione del GDPR quando il trattamento dei dati avviene attraverso dispositivi video. Vediamo quali sono le regole principali da seguire.
Casi in cui non si applica il Gdpr
Le linee guida chiariscono in quali casi le regole relative al trattamento dei dati previste dal GDPR non trovano applicazione: telecamere finte che, in quanto tali, non elaborano dati personali; registrazioni effettuate da un’altitudine elevata se i dati elaborati non sono collegati a una persona specifica; videocamere integrate in un’auto per l’assistenza al parcheggio se non raccoglie informazioni relative a una persona fisica; attività puramente personale o domestica, che come chiarito dalla Corte UE: “deve essere interpretata come relativa solo alle attività che si svolgono nell’ambito della vita privata o familiare delle persone.”
Regole per il trattamento lecito dei dati e principi generali
Le linee guida stabiliscono le regole da rispettare quando i sistemi di video-sorveglianza vengono utilizzati per il perseguimento di scopi di monitoraggio:
“gli scopi di monitoraggio devono essere documentati per iscritto e devono essere specificati per ogni telecamera di sorveglianza in uso. Le telecamere che vengono utilizzate per lo stesso scopo da un unico controllore possono essere documentate insieme”; i soggetti che devono essere ripresi, devono essere informati delle finalità del trattamento ai sensi dell’articolo 13; i dati personali acquisiti devono essere trattati in modo lecito, equo e trasparente nei confronti dell’interessato.
Oltre a questi, quando si decide di adottare un sistema di videosorveglianza è necessario attenersi ad alcuni importanti principi generali, che si vanno a illustrare, affinché il monitoraggio si realizzi nel rispetto della legge.
Liceità della videosorveglianza
La videosorveglianza è lecita quando è impiegata per perseguire un interesse legittimo legale, economico e non materiale, che sia reale e attuale, a meno che gli interessi, i diritti e le libertà del soggetto interessato dal trattamento non siano prevalenti. Un esempio tipico di interesse legittimo è l’esigenza di tutelare la proprietà privata da eventuali furti.
Videosorveglianza: extrema ratio
Quando si vuole ricorrere a un sistema di videosorveglianza occorre verificare che sia idoneo, adeguato e necessario a perseguire gli obiettivi prestabiliti. Nel caso in cui esistano sistemi alternativi e parimenti efficaci è opportuno valutarli. Nel caso in cui si decida per l’installazione delle telecamere occorre valutare dove e quando sono strettamente necessarie. Per quanto riguarda le regole di conservazione dei dati occorre valutare l’impiego della scatola nera o del monitoraggio in tempo reale in base all’obiettivo da perseguire.
Bilanciamento degli interessi
Gli interessi legittimi di chi decide di utilizzare il sistema di video sorveglianza non possono travalicare gli interessi e le libertà fondamentali dei soggetti ripresi. Occorre ogni volta procedere ad un adeguato bilanciamento dei valori in campo. Bilanciamento che deve essere effettuato volta per volta tenendo conto di alcuni fattori importanti come le dimensioni dell’area da sorvegliare, il numero dei soggetti sotto sorveglianza.
Aspettative ragionevoli
Occorre inoltre considerare le aspettative ragionevoli del soggetto interessato. Un dipendente infatti non si aspetta di essere sorvegliato dal suo datore di lavoro, così come non si aspettano di essere ripresi i soggetti che si trovano in aree private o mentre sono sottoposti a esami medici.
In tutti questi casi, le linee guida affermano che: “gli interessi o i diritti e le libertà dell’interessato prevalgono spesso sugli interessi legittimi del responsabile del trattamento.” In questi casi non è sufficiente avvisare con un cartello della presenza delle telecamere per essere esonerati da ogni responsabilità nei confronti del soggetto ripreso.
Interesse pubblico ed esercizio di pubblici poteri
I dati personali possono essere trattati mediante la videosorveglianza se necessario per l’espletamento di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Gli Stati membri possono mantenere o introdurre ex novo una legislazione specifica sulla videosorveglianza per adattarsi alle regole del GDPR, stabilendo con maggiore precisione i requisiti specifici per il trattamento, purchè essi siano conformi ai principi stabiliti dal suddetto regolamento europe0.
Consenso dell’interessato
Quando è necessario sottoporre a videosorveglianza determinate aree è obbligatorio acquisire il consenso informato, preciso e puntuale di ogni soggetto sottoposto a controllo, salvi casi eccezionali di controllo sistematico. Un caso particolare riguarda la sorveglianza sui luoghi di lavoro stante l’assenza di totale libertà da parte del dipendente nel dare il proprio consenso al datore, in considerazione della diversità di posizione tra i due. I datori infatti non dovrebbero ritenere sufficiente il consenso dei dipendenti, sarebbe più opportuno prevedere norme specifiche in materia all’interno dei contratti collettivi.
Divulgazione filmati a terzi
La comunicazione individuale, la pubblicazione online o la messa a disposizione in altro modo di un filmato a un terzo, comprese le forze dell’ordine, è un processo indipendente, che richiede una giustificazione separata per il soggetto controllore, che nel caso della trasmissione alle forze dell’ordine trova spiegazione nell’obbligo giuridico di collaborare con le forze dell’ordine.In questi casi il trattamento dei dati non seguirà le regole del GDPR, ma normative specifiche sulle forze dell’ordine.
Categorie particolari di dati
I sistemi di video sorveglianza raccolgono una quantità enorme di dati da cui si possono ricavare categorie particolari come i dati sensibili. Basti pensare a delle riprese che mostrano un soggetto mentre sta prendendo parte a una manifestazione politica o a una video-telecamera che monitora lo stato di salute di un soggetto. In questi casi il titolare del trattamento deve giustificare in modo molto forte le ragioni che lo costringono ad utilizzare proprio lo strumento della ripresa video.
Come precisano le linee guida: “il trattamento di categorie speciali di dati richiede una maggiore e costante vigilanza su determinati obblighi; ad esempio, un elevato livello di sicurezza e una valutazione d’impatto sulla protezione dei dati, se necessario.”
I dati biometrici
Una categoria di dati che comportano parecchi rischi per i soggetti interessati sono quelli biometrici. I responsabili del trattamento devono valutarne l’impatto sui soggetti e sui loro diritti e prendere in considerazione sistemi meno invasivi per perseguire il loro scopo. Il GDPR definisce il trattamento di particolari categorie di dati, tra cui figurano i dati biometrici come quello che mira a identificare in modo univoco una persona fisica attraverso dati relativi alle caratteristiche fisiche, fisiologiche o comportamentali “risultanti da un’elaborazione tecnica specifica”.In tutti i casi in cui è necessario acquisire i dati biometrici di un soggetto prima è necessario ottenerne il consenso espresso e informato. Tali dati inoltre, una volta acquisisti, devono essere utilizzati immediatamente per il raggiungimento dello scopo e poi cancellati, senza possibilità di memorizzarli o archiviarli.
Diritti dell’interessato
Il GDPR prevede diritti specifici per i soggetti ripresi da sistemi di videosorveglianza:
Diritto di ottenere dal titolare del trattamento la conferma dell’esistenza o meno dei suoi dati personali.
Diritto di accesso e informazioni sui propri dati se sono memorizzati o trattati in modo continuativo al momento della richiesta. Il responsabile può chiedere un compenso o rigettare le richieste di accesso o altre informazioni se manifestamente infondate o eccessive.
Diritto di ottenere la cancellazione dei dati se questi vengono monitorati oltre il tempo previsto o quando il trattamento è illecito.Devono essere altresì cancellati in caso di ritiro del consenso e in altri casi particolari.
Diritto di obiezione se la videosorveglianza avviene sulla base di un interesse legittimo o pubblico, anche se detta richiesta può essere respinta se l’interesse da tutelare è prevalente.
Trasparenza e informazione
Il soggetto che intende ricorrere ai sistemi di videosorveglianza è tenuto a rispettare preciso obblighi informativi e di trasparenza nel rispetto degli interessati: obbligo di apporre “un cartello di avvertimento con le relative informazioni … fornite in combinazione con un’icona per dare, in modo facilmente visibile, comprensibile e chiaramente leggibile, una visione d’insieme significativa del trattamento previsto” posizionato all’altezza degli occhi prima di entrare nella zona monitorata, informando i soggetti delle finalità perseguite e indicando eventuali informazioni che potrebbero sorprendere il soggetto.
obbligo di fornire informazioni di dettaglio di secondo livello da mettere a disposizione degli interessati in un’altra area, coma cassa o sportello informazioni.
Conservazione e cancellazione
I dati devono essere conservati per il tempo strettamente necessario alle finalità perseguite. Come regola indicativa generale i dati dovrebbero essere cancellati in modo automatico dopo pochi giorni. Se vengono conservati per più di 72 ore occorre fornire adeguata motivazione al riguardo. Il titolare del trattamento infine, prima di attivare un impianto di videosorveglianza, è tenuto a valutare anche tutte le misure tecniche e organizzative finalizzate a garantire che i sistemi siano sicuri.
