Dopo il provvedimento del 2010 in materia di videosorveglianza, nel quale successivamente all’entrata in vigore del regolamento 679/2016, erano presenti prescrizioni in parte superate, il Garante per la protezione dei dati personali pubblica sul sito dell’autorità, le regole per installare le telecamere. Attraverso lo strumento delle Faq, che contengono indicazioni di carattere generale ispirate alle risposte fornite a reclami e segnalazioni ricevute nell’ultimo periodo, l’ufficio del Garante ha provveduto ad aggiornare tutta una serie di questioni relative il trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti pubblici e privati. Difatti, le Faq tengono conto anche delle Linee guida 3/2019 recentemente adottate sul tema della videosorveglianza dal Comitato europeo per la protezione dei dati (EDPB) del 10 luglio 2019 e contengono un modello di informativa semplificata redatto proprio sulla base dell’esempio proposto dall’EDPB.

Prima di tali interventi, e soprattutto negli ultimi anni, la materia della videosorveglianza era oggetto di varie interpretazioni, sia da parte di soggetti pubblici che di privati, i quali, spesso, violavano la normativa per la protezione dei dati personali, così come modificata nel corso degli anni, disapplicando talvolta anche le disposizioni dell’ordinamento nazionale.

Ambito di applicazione

Con l’introduzione del Regolamento 679/16, in base al principio di responsabilizzazione (cd. Accountability), spetta al titolare del trattamento, nel rispetto del principio di minimizzazione dei dati, di pertinenza e non eccedenza, valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti e le libertà delle persone fisiche.

Rientra nel campo di applicazione della direttiva EU 2016/680 il trattamento di dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, compresa la protezione e la prevenzione delle minacce alla pubblica sicurezza.

La normativa in materia di protezione dati non si applica al trattamento di dati che non consentono di identificare le persone, direttamente o indirettamente, come nel caso delle riprese ad alta quota (effettuate, ad esempio, mediante l’uso di droni).

Ai sensi dell’articolo 2, paragrafo 2, lettera c), non rientra nell’ambito di applicazione del GDPR il trattamento di dati personali da parte di una persona fisica nel corso di un’attività puramente personale o domestica, che può anche includere attività online. Secondo la Corte di Giustizia Europea, la cosiddetta “esenzione familiare” deve essere “interpretata come relativa alle sole attività svolte nel corso della vita privata o familiare delle persone, che chiaramente non è il caso del trattamento di dati personali derivanti dalla pubblicazione su Internet, che comporta che tali dati siano resi accessibili a un numero indefinito di persone”. D’altro canto, se un sistema di videosorveglianza, comporta la registrazione e archiviazione costanti di dati personali inquadrando, “anche parzialmente, uno spazio pubblico e di conseguenza diretta verso l’esterno da una installazione privata, non può essere considerata un’attività puramente ‘personale o domestica’ ai fini dell’articolo 3, paragrafo 2, secondo comma della Direttiva Europea 1995/46”, e pertanto al fine di evitare di incorrere nel reato di interferenze illecite nella vita privata (art. 615-bis c.p.), l’angolo visuale delle riprese deve essere comunque limitato ai soli spazi di propria esclusiva pertinenza, escludendo ogni forma di ripresa, anche senza registrazione di immagini, relativa ad aree comuni (cortili, pianerottoli, scale, parti comuni delle autorimesse) ovvero a zone di pertinenza di soggetti terzi. Risulta sempre vietato, nel caso di videosorveglianza privata, riprendere aree pubbliche o di pubblico passaggio, compiti che in determinati casi e secondo specifiche modalità possono spettare alle Pubbliche amministrazioni.

Le Faq, inoltre, riprendono gli esempi delle Linee Guida 3/2019 dell’EDPB specificando che la normativa in materia di protezione dei dati non si applica altresì, nel caso di fotocamere false o spente in quanto non sussiste nessun trattamento di dati personali (fermo restando che, nel contesto lavorativo, trovano comunque applicazione le garanzie previste dall’art. 4 della l. 300/1970) o nei casi di videocamere integrate in un’automobile per fornire assistenza al parcheggio (se la videocamera è costruita o regolata in modo tale da non raccogliere alcuna informazione relativa a una persona fisica, ad esempio targhe o informazioni che potrebbero identificare i passanti).

In effetti, il Garante affronta più temi racchiudendo la disciplina della videosorveglianza in 16 domande, molto sintetiche, ma abbracciando vari ambiti, i quali, meritano di essere analizzati singolarmente, o quanto meno in un documento più corposo considerata la delicatezza della materia trattata.

Videosorveglianza nelle sedi di lavoro

Nel contesto lavorativo è necessario valutare attentamente quanto disposto dallo Statuto dei lavoratori, cha all’art. 4 prevede che, gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori (tra cui rientra la videosorveglianza) possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, e possono essere installati previo accordo con le rappresentanza sindacali aziendali o in alternativa, previa autorizzazione della Direzione territoriale del lavoro. Le informazioni raccolte dal datore di lavoro sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto della normativa sulla protezione dei dati personali. Tutti coloro che hanno accesso alle strutture in cui siano presenti sistemi di controllo, dovranno essere adeguatamente informati, mediante apposita cartellonistica, in maniera chiara ed inequivocabile della presenza di telecamere e dei diritti che possono essere esercitati sui propri dati, tanto più se le apparecchiature non sono immediatamente visibili. Inoltre, il datore di lavoro deve individuare i tempi di conservazione delle immagini tenendo conto del contesto e delle finalità del trattamento, nonchè del rischio per i diritti e le libertà delle persone fisiche. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione. Il Garante riprende un ulteriore esempio delle Linee Guida 3/2019, precisando che normalmente il titolare di un piccolo esercizio commerciale si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si verificassero. Un periodo di conservazione di 24 ore è quindi sufficiente. La chiusura nei fine settimana o in periodi festivi più lunghi potrebbe tuttavia giustificare un periodo di conservazione più prolungato.

Considerato che, il trattamento dei dati dei lavoratori può sempre presentare un rischio elevato per le persone fisiche, si necessita di una valutazione d’impatto preventiva ai sensi e per gli effetti degli artt. 35 e 36 del Regolamento, anche alla luce dell’inserimento nell’ “Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” pubblicato dal Garante per la protezione dei dati personali l’11 ottobre 2018. In conclusione, in ambito lavorativo, sarà necessario documentare per iscritto le finalità di monitoraggio scelte, legittimando la necessità del trattamento quando lo stesso risulti idoneo a soddisfare le finalità di un interesse legittimo perseguito dal titolare, nel rispetto degli interessi o i diritti e le libertà degli interessati, mediante una corretta applicazione del principio del bilanciamento degli interessi. Successivamente scegliere le modalità di dislocazione e l’angolo visuale delle riprese documentando tecnicamente l’installazione degli impianti, i quali potranno essere visualizzati esclusivamente da personale autorizzato (appositamente nominato ex art. 29 del Regolamento 679/16 e art.2-quaterdecies del D.lgs 196/2003), oppure in outsourcing affidato a società esterne (nominata responsabile del trattamento ex art. 28 del Regolamento 679/16).

Dopo di ciò sarà necessario informare i lavoratori mediante informativa cartellonistica in prossimità degli impianti e rendere disponibile un’informativa estesa (in cui saranno indicati anche i tempi di conservazione ed i diritti degli interessati, oltre alle indicazioni previste dall’art. 13 del Regolamento), oltre alle attività previste dallo statuto dei lavoratori come accordo sindacale o autorizzazione della Direzione dell’ispettorato del lavoro, e della valutazione d’impatto ex art. 35 del Regolamento 679/16, oramai, obbligatoria.

Avv. Gianluca Pirozzi