Parere sulla videosorveglianza
Negli ultimi anni lo scrivente Responsabile della Protezione dei Dati si è avveduto del crescente fenomeno dell’installazione di impianti di videosorveglianza nelle sedi territoriali dell’Organizzazione.
In tale considerazione si intende fornire indicazioni specifiche in merito agli adempimenti richiesti dalla normativa in materia di protezione dei dati personali in occasione dell’installazione di sistemi di videosorveglianza.
L’installazione di un impianto di videosorveglianza è infatti, e senza alcun dubbio, un “trattamento di dati personali”, indipendentemente dal fatto che l’impianto registri, o meno, le immagini.
Innanzitutto, occorre evidenziare che gli obblighi che verranno elencati sono a carico del solo “titolare del trattamento”, ovvero della persona giuridica che vuole procedere alla videosorveglianza.
La prima valutazione da fare, quindi, è quella di valutare quale soggetto procede all’installazione dell’impianto (CGIL? CAAF CGIL? Società immobiliare? Auser?), perché i relativi obblighi incombono solo su quel soggetto, e non sugli altri che, eventualmente, svolgono la loro attività negli stessi locali in cui sono state installate le telecamere.
Ai sensi del noto “principio di responsabilizzazione”, sarà quindi necessario valutare quale sia questo soggetto, sulla base degli indicatori che si riterranno opportuno tenere in considerazione (ad es., valutando quale persona giuridica ha acquistato le telecamere, quale persona giuridica ha contrattualizzato la ditta esterna che procedere all’installazione e/o alla manutenzione dell’impianto, ecc…).
Resta ferma, ovviamente, la possibilità di chiedere la consulenza del DPO, scrivendogli al noto indirizzo PEO privacy@cgil.it.
A fronte della individuazione del “titolare del trattamento”, lo stesso deve poi procedere agli adempimenti previsti dalla legge.
L’installazione dell’impianto deve infatti rispettare le disposizioni previste dalla normativa in materia, costituita dal Reg. UE 679/2016 (che di seguito verrà denominato RGPD) e dal d.lgs. 196/2003 (di seguito, Codice). Peraltro, al fine di chiarire le specifiche norme applicabili a questa particolare tipologia di trattamento, in applicazione del RGDP, il Comitato Europeo ha approvato le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” e il Garante ha fornito indicazioni applicative e chiarimenti interpretativi in materia di videosorveglianza, anche attraverso provvedimenti generali e FAQ operative.
In seconda battuta, non meno importante, occorre rammentare che l’installazione e l’utilizzo di impianti di videosorveglianza in ambito lavorativo risultano altresì subordinati al rispetto della disciplina in materia di controllo a distanza dei lavoratori contenuta nell’art. 4 dello Statuto dei Lavoratori.
Ogni qual volta, pertanto, l’impianto riprenda, o possa riprendere, dipendenti, distaccati e/o, in genere, collaboratori del “titolare del trattamento” che procede all’installazione dell’impianto, è necessario, ai sensi dell’art. 4 dello Statuto, prima ancora dell’installazione delle telecamere, procedere alla stipula di un accordo con le rappresentanze sindacali o, in mancanza, chiedere ed ottenere il rilascio di apposita autorizzazione da parte della Direzione territoriale di competenza dell’Ispettorato Nazionale del Lavoro (le relativa istruzioni e la modulistica necessaria è scaricabile da https://www.ispettorato.gov.it/files/2023/03/Modulo-INL-1-Istanza-autorizzazione-installazione-impianti-audiovisivi.pdf ).
L’individuazione del “titolare” del trattamento è, quindi, ancora più importante se si considera che, laddove lo stesso non abbia dipendenti (ad es. laddove l’impianto venga installato da una società immobiliare priva di dipendenti), non sarà tenuto a chiedere l’autorizzazione della ITL, obbligo che invece incombe sul titolare che, invece, ha in forza dipendenti, a qualsiasi titolo (anche se, ad es., interinali).
Nel caso in cui il titolare del trattamento si avvalga di una società esterna per il servizio di installazione e gestione dell’impianto, la stessa dovrà essere designata quale responsabile del trattamento ai sensi dell’art. 28 RGPD, ove ne ricorrano i presupposti, utilizzando l’apposito modello di nomina (Atto di Designazione del Responsabile del Trattamento)
Parimenti, dovranno essere individuati e autorizzati al trattamento, ai sensi dell’art. 29 RGPD e dell’art. 2-quaterdecies del D.lgs. 196/2003, i soggetti che, nell’ambito delle proprie mansioni, siano incaricati di accedere alle immagini o di effettuare operazioni di trattamento connesse alla gestione dell’impianto di videosorveglianza. A tal fine, dovranno essere fornite agli stessi adeguate istruzioni operative sulle modalità di accesso, consultazione e conservazione delle immagini, utilizzando l’apposito modello reperibile nel prontuario (Autorizzazione al Trattamento Videosorveglianza)
Infine, in esito alla ricezione del predetto accordo o della predetta autorizzazione (oppure, laddove non sussista l’obbligo di munirsene, prima dell’avvio dell’attività di trattamento mediante l’impianto), si elencano di seguito i principali adempimenti da porre in essere.
1) DPIA:
La videosorveglianza rientra tra i trattamenti di dati personali per i quali è richiesta l’effettuazione di una valutazione d’impatto sulla protezione dei dati (DPIA – Data Protection Impact Assessment), ai sensi dell’art. 35 del RGPD.
La DPIA viene definita nelle Linee guida WP248 rev.01 del Gruppo di lavoro Articolo 29 per la protezione dei dati come “un processo inteso a descrivere il trattamento, valutarne la necessità e la proporzionalità, nonché a contribuire a gestire i rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento di dati personali, valutando detti rischi e determinando le misure per affrontarli” (https://ec.europa.eu/newsroom/article29/items/611236),
La videosorveglianza rientra tra quegli adempimenti che necessitano della valutazione d'impatto (nota anche con l'acronimo inglese DPIA data protection impact assesment) ai sensi dell'art. 35 del Reg. UE 2016/679 (c.d. RGPD Regolamento Generale sulla Protezione dei Dati).
La “DPIA” viene definita nel documento WP 248, rev. 01 dal Gruppo di lavoro articolo 29 per la protezione dei dati (https://ec.europa.eu/newsroom/article29/items/611236), come “un processo inteso a descrivere il trattamento, valutarne la necessità e la proporzionalità, nonché a contribuire a gestire i rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento di dati personali, valutando detti rischi e determinando le misure per affrontarli”.
La DPIA può essere considerata uno strumento volto a consentire al Titolare del trattamento di dimostrare l’adozione di misure tecniche e organizzative adeguate a garantire che il trattamento dei dati personali sia effettuato in conformità al RGDP, in attuazione del principio di responsabilizzazione (accountability).
Tale valutazione è richiesta dall’art. 35 del RGPD nei casi in cui il trattamento possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche.
Al fine di fornire criteri interpretativi maggiormente concreti rispetto alla previsione normativa, il Gruppo di lavoro Articolo 29 per la protezione dei dati, nel documento WP248 rev.01 sopra richiamato, ha individuato un elenco esemplificativo di nove categorie di trattamenti suscettibili di richiedere lo svolgimento della valutazione d’impatto.
L’Autorità Garante, a sua volta, per la protezione dei dati personali ha adottato un proprio elenco dei trattamenti soggetti a valutazione d’impatto, individuando 12 categorie di trattamenti per le quali la DPIA deve ritenersi obbligatoria (https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9059358).
La stessa Autorità, inoltre, mediante una specifica infografica esplicativa dedicata alla valutazione d’impatto, ha richiamato i nove criteri individuati dal Gruppo di lavoro Articolo 29 nel documento WP248 rev.01, considerandoli parametri utili per stabilire quando un trattamento possa comportare un rischio elevato per i diritti e le libertà degli interessati.
Nel caso di specie, il trattamento di dati personali effettuato tramite il sistema di videosorveglianza appare riconducibile a diversi dei criteri sopra richiamati e, in particolare:
- monitoraggio sistematico degli interessati, rispetto al quale la stessa Autorità Garante richiama espressamente la videosorveglianza quale esempio tipico;
- trattamento di dati riferiti a soggetti vulnerabili, categoria nella quale rientrano anche i lavoratori nei confronti del datore di lavoro;
- utilizzo di tecnologie innovative o di nuove soluzioni organizzative, tenuto conto che il controllo della sicurezza e la tutela del patrimonio aziendale avvengono mediante strumenti tecnologici di ripresa audiovisiva.
Come precisato dal Garante, ai fini dell’obbligatorietà della DPIA è sufficiente la presenza di almeno due dei criteri sopra indicati.
Nel caso in esame, il trattamento risulta riconducibile ad almeno due dei predetti criteri, uno dei quali individua espressamente la videosorveglianza quale esempio di trattamento suscettibile di presentare un rischio elevato.
Pertanto, alla luce di tali elementi, deve ritenersi necessaria la predisposizione della valutazione d’impatto ai sensi dell’art. 35 del RGPD, da parte del Titolare del trattamento, per la redazione della quale ci si potrà avvalere del Template allegato al presente parere (DPIA strutture CGIL)
Conclusa la redazione della DPIA, il documento dovrà essere sottoposto al DPO (scrivendogli esclusivamente all’indirizzo privacy@cgil.it) ai fini della formulazione del parere di cui agli artt. 35 e 39, par. 1, lett. c), del RGPD relativamente alla valutazione d’impatto eseguita. Sul punto si segnala che, qualora non vi siano scostamenti rispetto alla versione della DPIA in allegato, il parere favorevole del DPO deve intendersi già espresso ed è scaricabile dal Prontuario Privacy (Parere del RPD sulla DPIA). Di conseguenza, la DPIA redatta dovrà essere sottoposta al parere del DPO esclusivamente laddove il relativo contenuto si discosti da quello già oggetto di valutazione generale (in allegato).
2) Cartellonistica con informativa privacy breve:
Il Titolare del trattamento che utilizza sistemi di videosorveglianza è tenuto a fornire agli interessati un’idonea informativa prima che gli stessi accedano al raggio d’azione della videocamera.
Sotto il profilo operativo, ciò comporta la necessità di predisporre apposita cartellonistica informativa, da collocare in posizione ben visibile prima dell’ingresso nel predetto raggio di azione, così da consentire agli interessati di essere preventivamente informati del trattamento dei dati personali effettuato mediante il sistema di videosorveglianza.
Sul punto, anche il Comitato Europeo sulla Protezione dei Dati ha fornito indicazioni specifiche in materia, individuando un nuovo modello semplificato di informativa per i sistemi di videosorveglianza nell’ambito delle Linee guida dedicate al trattamento dei dati personali tramite dispositivi video (https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_it.pdf), che potrà essere scaricato in formato editabile dal sito (Cartello Videosorveglianza)
Il modello sopra richiamato, elaborato dal Comitato Europeo, è quello oggi ampiamente adottato presso numerose realtà europee e consiste, sostanzialmente, in un’informativa “breve” contenuta nel cartello di avviso, accompagnata dal rinvio all’informativa privacy completa relativa al sistema di videosorveglianza.
La Struttura titolare del trattamento dovrà quindi avere cura di scaricare il predetto modello editabile, e completarlo nelle parti mancanti seguendo l’esemplificazione elaborata dallo scrivente, quindi avendo cura di:
- inserire la denominazione del titolare del trattamento;
- inserire il termine di cancellazione dei dati (nel modello scaricabile è stato inserito il termine più comune, quindi si suggerisce di lasciare l’indicazione 72 ore);
- inserire la finalità del trattamento (nel modello scaricabile è stata inserita la finalità più comune, quindi può essere lasciata quella).
N.B. nel caso in cui si ritenga opportuno modificare i requisiti dei punti 2 e 3, sarà necessario indicarlo nella DPIA e chiedere specifico parere al DPO, scrivendogli all’indirizzo privacy@cgil.it).
La cartellonistica dovrà, poi, essere collocata (si suggerisce di plastificarla) in posizione chiaramente visibile prima dell’accesso alle aree soggette a ripresa.
1. Atto di designazione del responsabile del trattamento
2. Autorizzazione al trattamento Videosorveglianza
4. Parere del RPD sulla valutazione DPIA
