IL GARANTE INTERVIENE SULLA VIDEOSORVEGLIANZA

Il Garante per la privacy ha diffuso il 20 maggio scorso un provvedimento in materia di videosorveglianza.
Innanzitutto il nuovo provvedimento richiama i principi generali sulla privacy e quindi individua le specifiche prescrizioni per i sistemi di videosorveglianza.

PRINCIPI GENERALI

1. Principio di liceità
La videosorveglianza deve avvenire nel rispetto, oltre che della disciplina in materia di protezione dei dati, di quanto prescritto da altre disposizioni di legge.
2. Principio di necessità
Il principio di necessità, previsto a pena di illiceità, si esplica nella esclusione di ogni uso superfluo e nell’evitare ogni eccesso e ridondanza.
3. Principio di proporzionalità
Il titolare del trattamento, prima di installare un impianto di videosorveglianza, deve valutare se l’utilizzazione ipotizzata sia in concreto realmente proporzionata agli scopi prefissi e legittimamente perseguibili.
In particolare in forza di tale principio gli impianti di videosorveglianza possono essere attivati solo quando altre misure siano ponderatamente valutate insufficienti o inattuabili
4. Principio di finalità
Il titolare può perseguire solo finalità di sua pertinenza, rese direttamente conoscibili attraverso adeguate comunicazioni e/o cartelli di avvertimento al pubblico e non finalità di sicurezza pubblica, prevenzione o accertamento dei reati. Queste rientrano, invece, nella competenza esclusiva delle competenti autorità di polizia, degli organi giudiziari, etc.
Esulano da tale previsione i casi in cui i sistemi di videosorveglianza sono in realtà introdotti come misura complementare volta a migliorare la sicurezza all’interno o all’esterno di edifici o impianti ove si svolgono per esempio attività commerciali o di servizi, o che hanno lo scopo di agevolare l’eventuale esercizio, in sede di giudizio civile o penale, del diritto di difesa del titolare del trattamento o di terzi sulla base di immagini utili in caso di fatti illeciti.
PRIVATI ED ENTI
PUBBLICI ECONOMICI

La regola generale è che i privati, a differenza dei soggetti pubblici, possono trattare dati personali solo se vi è il consenso preventivo espresso e documentato per iscritto dell’interessato oppure uno dei presupposti di liceità previsti in alternativa al consenso.
Il Garante individua i casi in cui la rilevazione delle immagini può avvenire senza consenso qualora sia effettuata nell’intento di perseguire fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo, o finalità di prevenzione di incendi o di sicurezza del lavoro.

1. Registrazione delle immagini
In presenza di concrete ed effettive situazioni di rischio i trattamenti di dati registrati su supporti oppure abbinati ad altre fonti o conservati in banche dati sono consentiti quando hanno come fine la protezione delle persone, della proprietà o del patrimonio aziendale (ad esempio rispetto a beni già oggetto di ripetuti e gravi illeciti) relativamente alla erogazione di particolari servizi pubblici (es. trasporto) o a specifiche attività (che si svolgono ad esempio in luoghi pubblici o aperti al pubblico, o che comportano la presenza di denaro o beni di valore).
2. Videosorveglianza senza registrazione
Nel caso in cui le immagini sono unicamente visionate in tempo reale oppure sono conservate solo per poche ore mediante impianti a circuito chiuso (Cctv), possono essere tutelati legittimi interessi rispetto a concrete ed effettive situazioni di pericolo per la sicurezza di persone e beni, anche quanto si tratta di esercizi commerciali esposti a rischio di attività criminali in ragione della detenzione di denaro, valori o altri beni (es, gioiellerie, supermercati). La videosorveglianza può risultare eccedente e sproporzionata quando siano già stati adottati altri efficaci disposizioni di controllo o di vigilanza oppure quanto vi sia la presenza di personale addetto alla protezione.
Nell’uso di apparecchiature volte a riprendere, per i legittimi interessi sopra indicati, aree esterne ad edifici ed immobili (perimetrali, adibite a parcheggi o a carico e scarico merci, accessi e uscite di emergenza) il trattamento deve essere effettuato con modalità tali da limitare l’angolo visuale all’area effettivamente da proteggere, evitandola ripresa di luoghi circostanti e di particolari non rilevanti (vie, edifici, esercizi commerciali, istituzioni etc.).

ADEMPIMENTI

Il provvedimento individua, ai fini della legittimità dell’attività di videosorveglianza, i seguenti, necessari, adempimenti.

1. Informativa.
Gli interessati devono essere informati che stanno per accedere o che si trovano in una zona videosorvegliata e della eventuale registrazione.
L’informativa:
- deve essere collocata nei luoghi ripresi o nelle immediate vicinanze, non necessariamente a contatto con la telecamera;
- deve avere un formato ed un posizionamento tale da essere chiaramente visibile;
- può inglobare un simbolo o una stilizzazione di esplicita e immediata comprensione, eventualmente diversificati se le immagini sono solo visionate o anche registrate.
In luoghi diversi dalle aree esterne si rende inoltre necessario un avviso che riporti gli elementi dell’articolo 13 del Codice con particolare riguardo alle finalità ed all’eventuale conservazione.
2. Verifica preliminare
I titolari dei trattamenti devono sottoporre alla verifica preliminare del Garante i sistemi di videosorveglianza che prevedono una raccolta di immagini collegata e/o incrociata e/o confrontata con altri particolari dati personali oppure con codici identificativi di carte elettroniche o con dispositivi che rendono identificabile la voce.
3. Autorizzazioni
I trattamenti di cui al precedente punto 2 devono essere autorizzati preventivamente dal Garante, anche attraverso autorizzazioni generali, quando riguardano dati sensibili o giudiziari, ad esempio ripresa di persone malate.
4. Notificazione
Non è previsto l’obbligo della notificazione nel caso di trattamento relativo a comportamenti illeciti o fraudolenti, quando riguarda immagini o suoni conservati temporaneamente per esclusive finalità di sicurezza o di tutela delle persone o del patrimonio.
5. Soggetti preposti e misure di sicurezza
Devono essere indicate per iscritto tutte le persone fisiche, incaricate del trattamento, autorizzate ad utilizzare gli impianti e, nei casi in cui è indispensabile per gli scopi perseguiti, a visionare le registrazioni.
I possibili abusi devono essere prevenuti attraverso opportune misure - basate in particolare su una «doppia chiave» fisica o logica - che consentano una immediata ed integrale visione delle immagini solo in caso di necessità (da parte di addetti alla manutenzione o per l’estrazione dei dati ai fini della difesa di un diritto, oppure per assistere la competente autorità giudiziaria o di polizia giudiziaria).
In ordine alle misure di sicurezza il provvedimento prescrive che i dati siano protetti da misure idonee e preventive che riducano al minimo i rischi di distruzione, perdita anche accidentale, di accesso non autorizzato o trattamento non consentito o non conforme alle finalità della raccolta..
Le «misure minime» di sicurezza sono obbligatorie anche sul piano penale.
Il titolare del trattamento che si avvalga di un soggetto esterno deve ricevere dall’installatore una descrizione scritta dell’intervento effettuato che ne attesti la conformità alle regole della materia.
6. Durata della eventuale conservazione
L’eventuale conservazione temporanea dei dati deve essere commisurata al grado di indispensabilità e per il solo tempo necessario - e predeterminato - a raggiungere la finalità perseguita.
In particolare la conservazione deve essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria.
Il sistema impiegato deve essere programmato in modo da consentire la cancellazione automatica da ogni supporto, anche mediante sovra-registrazione, con modalità tali da rendere non riutilizzabili i dati cancellati.
7. Documentazione delle scelte
Le ragioni delle scelte devono essere adeguatamente documentate in un atto autonomo conservato presso il titolare e il responsabile del trattamento e ciò anche ai fini dell’eventuale esibizione in occasione di visite ispettive.

SANZIONI

La mancata osservanza delle prescrizioni contenute nel provvedimento in esame comporta la illiceità o la non correttezza del trattamento dei dati ed espone alle seguenti sanzioni: inutilizzabilità dei dati personali trattati; adozione di provvedimenti di blocco o di divieto del trattamento disposti dal Garante e di analoghe decisioni adottate dall’autorità giudiziaria civile e penale;applicazione delle pertinenti sanzioni amministrative o penali.