L’Autorità non fissa termini, ma si limita a fornire indicazioni di massima

In materia di videosorveglianza il Regolamento UE 679/2016 (GDPR) ha attribuito ai titolari del trattamento la facoltà, sotto la propria responsabilità, di scegliere il termine di conservazione delle immagini. Il Garante ne prende atto e lo spiega nelle risposte alle domande più frequenti (Faq) pubblicate sul suo sito internet. La materia, prima del Gdpr, era disciplinata da un provvedimento generale (l’ultimo è dell’8 aprile 2010) e, nei casi più complessi, imponeva di ricorrere al Garante per una verifica preliminare.

Ora, come si evince chiaramente dalle Faq messe a punto dal Garante per la protezione dei dati personali sulle questioni concernenti il trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza, l’Autorità non fissa i termini, ma si limita a fornire indicazioni di massima non cogenti fermo restando che, in ogni caso, a posteriori, può controllare se i termini di conservazione fissati dal titolare sono congrui.

Il titolare deve quindi fare attenzione perché può essere sanzionato se le scelte saranno ex post censurate dalle autorità di controllo. E’ necessario dunque lasciare traccia della scelta compiuta e delle ragioni: il Garante dice che quanto più prolungato è il periodo di conservazione previsto (soprattutto se oltre 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità di conservazione.

L’affidamento al titolare del trattamento della decisione sul termine di conservazione delle immagine è, in materia di videosorveglianza, uno degli elementi di novità del Gdpr rispetto alla disciplina italiana previgente.

Un ulteriore elemento di novità è la Valutazione di impatto, altro adempimento che viene affidato al titolare del trattamento. Si tratta di un documento che bisogna redigere se il trattamento presenta rischi elevati: ad esempio nei casi per cui prima del Gdpr si chiedeva la verifica preliminare al Garante. La differenza sostanziale sta però nel fatto che la Valutazione di impatto la scrive il Titolare che non deve chiedere niente al Garante, però è responsabile e potrebbe scoprire solo a posteriori, in sede di controlli e sanzioni, se ha fatto bene le sue valutazioni.  In passato la verifica preliminare si concludeva con un atto del Garante, per cui al titolare era sufficiente rispettare le prescrizioni. Il Gdpr porta invece ai titolari più libertà ma indubbiamente anche più responsabilità.

Ultimo elemento di novità è il cartello, che deve riportare più informazioni rispetto ai cartelli precedentemente in uso. In particolare i cartelli devono riportare: i contatti del responsabile della protezione dei dati se nominato; il periodo di conservazione dei dati; modalità per avere informativa estesa e l’ufficio cui rivolgersi per chiedere una copia delle riprese o per esercitare gli altri diritti dell’interessato.

Di seguito si riporta il comunicato del Garante della Privacy del 5 dicembre 2020.

Il datore di lavoro può installare un sistema di videosorveglianza nelle sedi di lavoro? Occorre avere una autorizzazione del Garante per installare le telecamere? In che modo si fornisce l’informativa agli interessati? Quali sono i tempi dell’eventuale conservazione delle immagini registrate? Si possono utilizzare telecamere di sorveglianza casalinghe c.d. smart cam?

Sono queste alcune delle domande cui rispondono le Faq messe a punto dal Garante per la protezione dei dati personali sulle questioni concernenti il trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti pubblici e privati. I chiarimenti si sono resi necessari in ragione delle nuove previsioni introdotte dal Regolamento 2016/679, alla luce delle quali va valutata la validità del provvedimento del Garante in materia, che risale al 2010 e contiene prescrizioni in parte superate. Le Faq tengono conto anche delle Linee guida recentemente adottate sul tema della videosorveglianza dal Comitato europeo per la protezione dei dati (EDPB) e contengono un modello di informativa semplificata redatto proprio sulla base dell’esempio proposto dall’EDPB.

Le Faq, disponibili da oggi sul sito dell’Autorità www.garanteprivacy.it, contengono indicazioni di carattere generale ispirate alle risposte fornite a reclami, segnalazioni, quesiti ricevuti dall’Ufficio in questo periodo.

Il Garante ha chiarito, ad esempio, che l’attività di videosorveglianza va effettuata nel rispetto del principio di minimizzazione dei dati riguardo alla scelta delle modalità di ripresa e alla dislocazione dell’impianto, e che i dati trattati devono comunque essere pertinenti e non eccedenti rispetto alle finalità perseguite. In base al principio di responsabilizzazione, poi, spetta al titolare del trattamento (un’azienda, una pubblica amministrazione, un professionista, un condominio…) valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti e le libertà delle persone fisiche. Il titolare del trattamento deve, inoltre, valutare se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento.

In merito all’informativa agli interessati, l’Autorità ha chiarito che può essere utilizzato un modello semplificato (esempio un semplice cartello) contenente le informazioni più importanti e collocato prima di entrare nell’area sorvegliata, in modo che gli interessati possano capire quale zona sia coperta da una telecamera.

Di particolare importanza, infine, le indicazioni sui tempi dell’eventuale conservazione delle immagini registrate: salvo specifiche norme di legge che prevedano durate determinate, i tempi di conservazione devono necessariamente essere individuati dal titolare del trattamento in base al contesto e alle finalità del trattamento, nonché al rischio per i diritti e le libertà delle persone. Al riguardo il Garante ha sottolineato che i dati personali dovrebbero essere – nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici) – cancellati dopo pochi giorni e che quanto più prolungato è il periodo di conservazione previsto, tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione.