Sistemi di videosorveglianza. Adempimenti privacy

Le Linee guida precisano, in primo luogo, che “la videosorveglianza non è di default una necessità quando esistono altri mezzi per raggiungere la medesima finalità”. Prima di installare un sistema di videosorveglianza è quindi sempre necessario valutare se sia possibile adottare misure di sicurezza alternative (recinzioni, nuove serrature o nuovi portoni di ingresso, migliore illuminazioni, pattuglie del personale di sicurezza).

Nell’ambito del generale principio di minimizzazione dei dati si rende poi necessario esaminare se la misura è adeguata e necessaria per le relative finalità. Pertanto, ad esempio, un sistema di videosorveglianza che funziona solo di notte (o, comunque, fuori dagli ordinari orari di lavoro) è sufficiente, in ogni caso, a prevenire pericoli sulla proprietà.

L’uso dei sistemi di videosorveglianza deve essere quindi limitato, e, in ogni caso, le finalità di monitoraggio devono essere documentate per iscritto.

Tutto quanto appena premesso, si rende necessario individuare la base giuridica del trattamento.

Con specifico riferimento ai sistemi di videosorveglianza può ritenersi, nella generalità dei casi, che gli interessi legittimi del titolare costituiscano motivo del trattamento. Più precisamente, nel documento si ritiene che la finalità di proteggere la proprietà da furto con scasso, furto o vandalismo possa costituire un interesse legittimo per la videosorveglianza.

Tale finalità, però, non deve essere il frutto di meri timori o immaginazioni, in quanto è necessario che, prima di avviare la videosorveglianza, si sia manifestata una situazione di disagio nella vita reale, ad esempio con danni già riportati in passato. Nel rispetto del principio di responsabilità, gli incidenti rilevanti devono essere documentati. A tal proposito, negli esempi richiamati nel documento in esame, si chiarisce che il proprietario di un nuovo negozio può installare un sistema di videosorveglianza, dimostrando, grazie a statistiche, che, nel suo vicinato, sono stati rilevati frequenti episodi di vandalismo. Non potrà invece richiamare il generico rischio di atti vandalici sulla base di statistiche nazionali. Allo stesso modo, si potrà dimostrare che la stessa attività svolta è oggetto di frequenti situazioni di pericolo (si pensi ai gioiellieri o alle stazioni di servizio).

Più marginali sono invece le ipotesi in cui la liceità del trattamento è connessa al consenso fornito dall’interessato. Nel documento si cita l’esempio degli atleti, che possono fornire il loro consenso ad essere ripresi per verificare le loro prestazioni (e, conseguentemente, migliorarle). Deve invece escludersi che il consenso possa essere fornito dai lavoratori, in considerazione dello squilibrio di poteri tra datore di lavoro e dipendente, il quale lascia escludere che il consenso sia stato fornito liberamente.

Alcune perplessità potrebbero poi sorgere con riferimento alle modalità di conservazione delle registrazioni.

A tal proposito viene chiarito che è possibile utilizzare soluzioni di scatola nera (con eliminazione, quindi, delle registrazioni dopo un determinato lasso di tempo) oppure il monitoraggio in tempo reale (senza alcuna registrazione). Non è possibile, a priori, individuare una o l’altra soluzione come la migliore, considerato che, in ogni caso, si rende necessario analizzare le finalità perseguite: se la finalità è quella di raccogliere delle prove, le soluzioni di scatola nera sono quelle preferibili; se, invece, è stato designato del personale pronto ad intervenire in caso di intrusioni, il monitoraggio in tempo reale è più che sufficiente.

È invece sempre necessario informare gli interessi che è attivo un sistema di videosorveglianza. Le informazioni più importanti devono essere fornite da un segnale di avvertimento, da porre in un luogo ben visibile, prima dell’area videosorvegliata e ad altezza d’uomo (primo livello), mentre ulteriori dettagli dovrebbero essere forniti con altri mezzi (secondo livello). Un modello di cartello di avviso era stato predisposto dal Garante della privacy con il Provvedimento del 08.04.2010: tale modello, con l’emanazione delle nuove Linee guida, deve ritenersi ormai superato.

I titolari del trattamento e i responsabili devono anche garantire misure organizzative e tecniche proporzionali ai rischi per le libertà e i diritti delle persone fisiche derivanti dalla distruzione, perdita, alterazione, divulgazione non autorizzata o accesso ai dati di videosorveglianza.

I titolari devono inoltre stabilire i mezzi affinché gli interessati possano esercitare i propri diritti, adottando specifiche politiche interne.

Da ultimo si ricorda che i titolari sono tenuti ad effettuare le valutazioni di impatto sulla protezione dei dati (DPIA) quando un tipo di trattamento può comportare un rischio elevato per i diritti e le libertà delle persone fisiche.