Il 9 e 10 Luglio scorsi, l’European Data Protection Board (EDPB) ha adottato le nuove linee-guida sulla videosorveglianza. Il documento ha ad oggetto lo studio dell’impatto che l’utilizzo dei dispositivi video ha sui soggetti “interessati” e le conseguenze che il trattamento ha sugli stessi. L’uso di tecnologie sempre più avanzate può interferire con la libertà di movimento e con le scelte degli interessati ad essere o meno “ripresi” dai dispositivi, ciò nonostante, gli individui potrebbero apprezzare la videosorveglianza per fini di sicurezza, in quanto il bene protetto sarebbe maggiore della “sfera di riservatezza”.
Il problema sorge quando alla videosorveglianza per fini di sicurezza vengono associate altre finalità meno gradite all’interessato come ad esempio il marketing o le analisi delle prestazioni lavorative, trasformandosi in questo caso in un sistema “intelligente” che combina ingenti quantità di dati personali con un aumento del rischio di utilizzo illecito.
Per tali ragioni il Comitato europeo ribadisce che nell’utilizzo dei dispositivi video devono essere applicati i principi del trattamento dei dati personali, di cui all’art 5 del GDPR. Inoltre la videosorveglianza deve essere una misura residuale da adottare solo quando non è possibile raggiungere lo stesso scopo con modalità meno intrusive.
Nelle linee guida emanate troviamo alcune importanti conferme di riflesso pratico nella vita quotidiana, con due eccezioni all’applicazione del GDPR.
La prima è disciplinata all’art. 2 comma 2, lett. c) del GDPR, quando il trattamento viene effettuato da una persona fisica per l’esercizio di attività esclusivamente personale o domestico.
La seconda, quando il trattamento viene eseguito da parte delle autorità competenti per i fini di prevenzione, indagine, accertamento o perseguimento dei reati e per l’esecuzione delle sanzioni penali, rientrando nel campo di applicazione della Direttiva Europea 2016/680.
Interessante è anche l’analisi del legittimo interesse e del consenso dell’interessato quali basi giuridiche idonee a legittimare il trattamento. In caso di videosorveglianza per il legittimo interesse viene richiesta una maggiore attenzione al bilanciamento degli interessi. L’interesse legittimo sussiste quando vi sono situazioni di pericolo reale, quali furti, incidenti gravi verificatisi in passato e solo quando la medesima finalità non può essere raggiunta con altri mezzi.
Il consenso al trattamento è ritenuto dal Comitato una base giuridica “residuale” che presenta molte criticità sia in fase di raccolta sia in relazione a determinati soggetti, quali i dipendenti, che è improbabile che prestino un consenso libero. Altro importante punto che viene messo in risalto riguarda gli obblighi di trasparenza e di informazione, confermando ancora una volta l’approccio a più livelli.
Il primo di livello consistente nel segnale di avvertimento, ossia un cartello raffigurante la videosorveglianza e che riporti l’identità del titolare del trattamento, del suo rappresentante (art. 27 GDPR), dati di contatto del DPO, le finalità del trattamento, le basi giuridiche e un accenno ai diritti. Il cartello, secondo il Comitato deve essere posto a una distanza ragionevole dal raggio di azione della telecamera.
Il secondo livello consiste nel fornire le informazioni complete sul trattamento come previsto dall’art. 13 del GDPR, in un luogo facilmente accessibile dall’interessato e che non sia nell’area sottoposta a videosorveglianza.
In merito alla conservazione dei dati si conferma che non possono essere conservati per un periodo più lungo di quanto necessario per le finalità per le quali sono raccolti. Nel caso della video sorveglianza il periodo è di uno o due giorni, in caso di periodi più lunghi di 72 ore viene richiesta la produzione di motivazioni a sostegno della legittimità di conservazione dei dati.
Quali informazioni deve contenere il cartello di videosorveglianza e dove va collocato in azienda? I cartelli che avvisano della presenza di telecamere di videosorveglianza in azienda devono infatti essere aggiornati secondo le Linee guida n. 3/2019 del Comitato Europeo per la protezione dei dati (EDPB) che rappresentano un tassello nell’attuazione del GDPR, il Regolamento Europeo sulla Privacy.
Una delle novità principali delle Linee guida, ancora in fase di definizione, è che il nuovo cartello di avviso di videosorveglianza contiene più informazioni rispetto al modello attuale del Garante italiano per la protezione dei dati dell’8 aprile 2010.
Le informazioni contenute nel cartello
- Finalità del trattamento
- Estremi identificativi del titolare
- Diritti degli interessati
- Dati di contatto del DPO (Data Protection Officer)
- Riferimento al legittimo interesse del titolare o di terze parti
- Codice QR e le modalità che rinviano all’informativa di “secondo livello”
- Eventuale trasferimento di dati extra-UE e il periodo di conservazione delle immagini
L’impianto del cartello è strutturato in due parti, un’icona e quadri di testo con le informazioni.
Le informazioni essenziali del nome del titolare del trattamento e della finalità del trattamento vengono arricchite dai dati di contatto del Data protection officer e dalla descrizione dei diritti riconosciuti agli interessati. Come da modello delle Linee guida EDBP, ci sarà un riferimento alla “base giuridica” nel quadro relativo alle “finalità” del trattamento e un altro relativo all’identificativo del rappresentante di titolare di trattamento non stabilito nell’Unione Europea.
Completano le informazioni sul cartello sintetico i riferimenti alle fonti che contengono l’informativa “lunga e dettagliata” sul trattamento dei dati e anche un codice QR, che si può inserire per rendere disponibile l’informativa lunga.
Le informazioni possono allargarsi e comprendere anche altre segnalazioni come l’esplicitazione di una particolare base giuridica e cioè il legittimo interesse del titolare del trattamento o l’indicazione della eventualità di trasferimento dei dati al di fuori dello spazio economico europeo ed il periodo di conservazione delle immagini.
Supporti cartacei o digitali
Il cartello rappresenta solo il primo livello dell’atto di informazioni ai sensi dell’articolo 13 del GDPR. Il secondo livello è rappresentato dalle informazioni contenute in supporti cartacei o digitali da rendere disponibili a tutti gli interessati, come quelli contenuti nel QR che rimanda a una pagina web con l’informativa “lunga” oppure rinvii a fonti come brochure e testi sul sito internet.
Dove apporre il cartello
Le Linee guida n. 3/2019 EDPB richiedono che il cartello sia posizionato nei pressi dell’apparecchiatura utilizzata per le riprese, ad “altezza occhi”, così da consentire agli interessati di essere avvisati della videosorveglianza prima di entrare nel raggio di azione della telecamera.
Telecamere finte e non funzionanti
Le Linee guida si occupano anche della integrale disciplina della videosorveglianza. Nell’attesa del provvedimento definitivo dell’EDPB si evidenzia che, rispetto alla situazione italiana, le Linee guida affermano che il GDPR non si applica alle telecamere finte e alle telecamere installate ma non in funzione poiché ogni telecamera non funzionante non tratta dati personali (anche se, specifica il Comitato, ogni Stato Membro UE potrebbe aver adottato disposizioni diverse).
Fonte: Accademia della Privacy
