Videosorveglianza, “smart cameras” e dispositivi similari: novità dall’Europa

• Italy

• General

14-02-2020

Il 29 gennaio l’European Data Protection Board (“EDPB”) ha pubblicato le nuove linee guida relative al trattamento di dati personali attraverso videocamere e altri dispositivi, sistemi e impianti similari.

Come è noto uno degli scopi istituzionali dell’EDPB è quello di assicurare il coordinamento e l’uniformità di interpretazione e applicazione nei singoli Stati membri dell’Unione Europea dei principi e delle disposizioni del Regolamento europeo sulla protezione dei dati personali (“GDPR”). L’emanazione di tali linee guida muove dalla constatazione del crescente impiego e diffusione nel mercato degli impianti e sistemi di videosorveglianza di videocamere c.d. “intelligenti” (meglio note come “smart cameras”) e altri dispositivi similari, in grado di registrare, analizzare ed elaborare, grazie ad algoritmi software sempre più sofisticati, molti più dati e informazioni rispetto a quelli ricavabili dai dispositivi tradizionali. Grazie all’innovazione tecnologica, pertanto, anche nel settore degli impianti e sistemi di videosorveglianza è oggi possibile avvalersi di dispositivi video e applicativi software in grado di elaborare servizi di “analytics”, business intelligence e data management per scopi non di rado ulteriori ed eccedenti le originarie finalità di un sistema di videosorveglianza tradizionale, spesso sconosciuti e non voluti dalle persone “filmate”, particolarmente in caso di impiego di dispositivi di registrazione e riconoscimento facciale o comunque volta all’identificazione mediante raccolta ed analisi di dati biometrici.

Tali linee guida forniscono vari esempi ed indicazioni utili a comprendere quando e come sia possibile installare e utilizzare in modo lecito videocamere tradizionali, “smart cameras” e altri dispositivi video similari, nonché limiti e condizioni per la successiva analisi, elaborazione e condivisione di immagini, riprese audio e video e altri dati personali, anche biometrici.

Senza pretesa di esaustività si riassumono qui di seguito alcuni dei principali punti del provvedimento.

Base giuridica

Per quanto concerne impianti e dispositivi in uso alle imprese ed altre organizzazioni ed enti privati, le linee guida confermano che, salvo casi particolari, la base giuridica più appropriata per l’adozione di siffatti dispositivi è il legittimo interesse del titolare del trattamento, che dovrà essere adeguatamente documentato, dimostrando tra l’altro la sua prevalenza nel bilanciamento d’interessi con i diritti degli interessati.

Le linee guida sottolineano al riguardo come, almeno di norma e salvo particolari casi, il consenso non possa costituire una base giuridica adeguata.

Inoltre, le linee guida richiedono di documentare in modo circostanziato l’esistenza di un reale e attuale rischio che non possa essere contrastato mediante l’implementazione di altre misure di sicurezza meno invasive, ragion per cui l’installazione del sistema di videosorveglianza debba ritenersi strettamente necessaria.

A tale riguardo, a nostro avviso, l’opportunità di alleggerire gli adempimenti per le imprese non è stata purtroppo pienamente sfruttata: il regime per il trattamento lecito di immagini e riprese audio e video, anche qualora non preveda la loro analisi ed elaborazione per scopi e utilizzazioni di “analytics” o comunque ulteriori, risulta infatti ancora particolarmente gravoso, e non sono stati indicati standard precisi in grado di guidare le aziende nella loro compliance. Anzi, nel rispetto del principio generale di “accountability”, le linee guida sottolineano e confermano anche con riferimento ad impianti, sistemi e dispositivi di videosorveglianza, “smart cameras” e altri dispositivi similari, la necessità di valutare e dimostrare documentalmente caso per caso la reale ed effettiva giustificazione del loro impiego in luogo di altri strumenti meno invasivi dei diritti alla riservatezza degli interessati, non essendo a ciò sufficiente il richiamo del loro utilizzo da parte di terzi in circostanze analoghe.

Ne consegue da ciò che, a prescindere dai requisiti documentali (accordo sindacale o autorizzazione dell’autorità competente) previsti dall’Art. 4 dello Statuto dei Lavoratori in tema di controllo indiretto a distanza tramite impianti di videosorveglianza, dal punto di vista del GDPR i titolari del trattamento dovranno predisporre idonea documentazione in grado di comprovare la sussistenza nel singolo caso concreto di idonei elementi di necessità ed adeguatezza per giustificazione l’installazione di videocamere, anche solo tradizionali, o altri impianti e dispositivi analoghi.

Interessante peraltro è l’apertura delle linee guida alla natura dell’interesse, che, sulla scorta del recente insegnamento della Corte di Giustizia potrà essere anche non strettamente giuridico, ed anche meramente economico o morale.

Informativa

Nel richiamare il principio di trasparenza e obbligo di fornire informazioni inerenti al trattamento dei dati personali derivanti dall’utilizzo di impianti di videosorveglianza le linee guida confermano la necessità di fornire dette informazioni a due livelli. Per soddisfare detta esigenza l’EDPB propone un nuovo modello di informativa di primo livello, consistente in un cartello di segnalazione da affiggere in prossimità delle telecamere, contenente maggiori informazioni rispetto a quelli suggerite nel passato anche dal nostro Garante.

Conservazione delle immagini

Quanto ai tempi di conservazione delle immagini, l’EDPB, pur condividendo il tradizionale orientamento del Garante per la Protezione dei Dati Personali riguardo alla limitazione della durata di conservazione a tempi particolarmente brevi, tuttavia, rispetto al provvedimento emanato dall’autorità italiana nel 2010, introduce un criterio in linea con la responsabilizzazione del titolare del trattamento quale sancita dal sopra ricordato principio di accountability, ricordando come la conservazione delle immagini (ove prevista) debba essere giustificata dalla finalità del

trattamento e nella normalità dei casi debbano attendersi tempi di conservazione piuttosto stretti e rigorosi e la cancellazione dei dati entro pochi giorni. In particolare, una conservazione superiore alle 72 ore non è di per sé vietata, ma dovrebbe essere espressamente giustificata da particolari motivi e adeguatamente argomentata dal Titolare il quale, ove possibile, dovrebbe altresì prevedere un sistema di sovrascrittura automatica alla scadenza di un termine stabilito oppure, ove opportuno, predisporre sistemi di monitoraggio “live”. 

Sicurezza delle immagini

L’EDPB ricorda che le misure di sicurezza devono essere proporzionate ai rischi per gli interessati e devono riguardare sia le misure fisiche (controllo d’accessi dei soggetti autorizzati al trattamento) che informatiche (firewall, antivirus e intrusion detection systems). Inoltre, per quanto riguarda le misure organizzative, ha elencato una serie di contenuti che potrebbero essere inclusi nelle policy e linee guida aziendali relative al trattamento di dati tramite sistemi di videosorveglianza. 

Valutazione d’impatto privacy

Le linee guida rammentano poi l’obbligo di valutazione della necessità o comunque - laddove non vi sia uno specifico obbligo - dell’opportunità di condurre un’appropriata valutazione d’impatto privacy. 

Altre questioni

Oltre ai temi accennati sopra, le linee guida affrontano anche altre tematiche quali quelle relative al trattamento di dati biometrici e relative misure di sicurezza, nonché all’esercizio e alle limitazioni dei diritti degli interessati.

• Massimo Maioletti
• Partner
• +39 06 893 2701
• +39 06 893 2701

• Andrea Zincone
• Partner
• +39 06 893 2701
• +39 06 893 2701

< Go back