Garante per i dati personali - 8/04/2010 - n. 1712680 Articolo unico

Gli adempimenti necessari per un impianto di videosorveglianza

I principi che devono essere rispettati quando si trattano immagini provenienti da impianti di videosorveglianza, sono i medesimi di quelli enunciati dall'art. 5 del Regolamento. In quest'ambito tuttavia, il principio di liceità deve essere interpretato alla luce delle altre disposizioni dell'ordinamento sugli aspetti della privacy dell'individuo. In particolare, rilevano l'art. 21 della Costituzione, le norme civili e penali sull'interferenza illecita nella vita privata, oltre alla legislazione specifica di alcuni settori come la normativa sul lavoro, sulla sicurezza presso gli stadi e gli impianti sportivi, sui musei e sulle riprese effettuate su navi, porti, stazioni e linee ferroviarie. Oltre alle disposizioni nazionali, la Corte di Strasburgo ha emanato nel corso degli anni varie sentenze nelle quali ha interpretato l'art. 8 della CEDU rispetto alla videosorveglianza. Parimenti, i principi di correttezza, trasparenza e minimizzazione dei dati trovano la loro applicazione pratica nella scelta delle modalità di ripresa (telecamera fissa o in movimento, dotata o meno di zoom), di dislocazione dei dispositivi (l'angolo e l'area di visuale delle riprese) e di trasmissione delle immagini (supporto di registrazione). Il provvedimento ora esaminato prevedeva già la «protezione dei dati fin dalla progettazione e per impostazione predefinita» oggi prevista dal Regolamento. I sistemi di videosorveglianza devono infatti essere progettati o impostati in base alle finalità, evitando se possibile l'identificazione delle persone riprese e consentendo riprese generali invece che di singole persone. Il principio di responsabilizzazione, benché non sia citato esplicitamente nel Provvedimento (la responsabilizzazione, o accountability non trovava un'espressa previsione sul piano del diritto positivo italiano prima dell'entrata in vigore del Regolamento) trova la sua applicazione in vari ambiti della videosorveglianza, in particolar modo quando si deve verificare preliminarmente la potenziale intrusività delle aree di visione delle telecamere e le misure di sicurezza da applicare.

L'informativa semplificata

Il titolare del trattamento delle immagini raccolte tramite impianti di videosorveglianza può fornire un'informativa semplificata secondo il modello presente nell'allegato n. 1 del Provvedimento. Nell'allegato 1 è possibile trovare il fac-simile dell'immagine da utilizzare come informativa per una videosorveglianza «tradizionale». L'allegato 2 contiene, invece, il fac-simile di un'immagine di informativa per gli impianti di videosorveglianza che sono collegati alle forze dell'ordine.

Con il termine accountability, l'accento è posto sulla dimostrazione di come viene esercitata la responsabilità e sulla sua verificabilità. La responsabilità è obbligo di rendere conto sono due facce della stessa medaglia ed entrambe sono elementi essenziali di una buona governance. Solo quando si dimostra che la responsabilità funziona effettivamente nella pratica può instaurarsi una fiducia sufficiente (Gruppo di Lavoro articolo 29 WP 173, Parere 3/2010). Tale modello costituisce di fatto una deroga al regime ordinario, che all'art. 13 del Regolamento prevede la comunicazione di una serie di informazioni sul trattamento – maggiori rispetto a quelle incluse nell'informativa minima – al momento della raccolta dei dati personali dell'interessato. A differenza dell'informativa «tradizionale», tale modello contiene solo informazioni sull'identità del titolare e sulle finalità del trattamento. Ci dovrebbe poi essere un'indicazione (ad esempio il link al sito internet, un QR code, il rinvio a una bacheca nelle vicinanze) che riporti al testo completo dell'informativa. Nonostante ciò, il titolare – o un suo addetto (oggi soggetto designato, a seguito della specificazione introdotta dal d.lgs. n. 101/2018 all'art. 2-quaterdecies che utilizza il termine: «soggetti designati») – deve essere in grado di fornire oralmente un'informativa completa ex art. 13. Il cartello su cui è apposto il modello di informativa deve essere collocato prima del raggio d'azione delle telecamere, chiaramente visibile in ogni condizione di luce e può contenere una grafica diversa per indicare se le immagini sono solo visionate o anche registrate.

Per quanto riguarda le riprese effettuate per le finalità di tutela dell'ordine e di sicurezza pubblica, prevenzione, accertamento o repressione dei reati, l'art. 53 del Codice Privacy A-R non prevedeva l'obbligo di fornire l'informativa, neanche nella modalità semplificata. Tale disposizione è stata abrogata dal d.lgs. n. 101/2018 e con l'entrata in vigore del d.lgs. n. 51/2018, attuativo della Direttiva 2016/670 in materia di trattamento di dati personali a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali. Nonostante l'abrogazione, tale disposizione dovrebbe comunque rimanere in vigore ed essere inclusa in uno dei regolamenti che saranno emanati secondo l'art. 5 comma 2 del d.lgs. n. 51/2018. L'art. 5 comma 2 recita: «Con decreto del Presidente della Repubblica, adottato ai sensi dell'art. 17, comma 1 l. n. 400/1988, sono individuati, per i trattamenti o le categorie di trattamenti non occasionali di cui al comma 1, i termini, ove non già stabiliti da disposizioni di legge o di regolamento, e le modalità di conservazione dei dati, i soggetti legittimati ad accedervi, le condizioni di accesso, le modalità di consultazione, nonché le modalità e le condizioni per l'esercizio dei diritti di cui agli artt. 9, 10, 11 e 13. I termini di conservazione sono determinati in conformità ai criteri indicati all'art. 3, comma 1, tenendo conto delle diverse categorie di interessati e delle finalità perseguite.»

Gli impianti di videosorveglianza di soggetti privati collegati alle forze di polizia, devono fornire l'informativa ex art. 13 GDPR, non essendo installati per finalità di tutela dell'ordine e di sicurezza pubblica. A tal fine è possibile utilizzare l'informativa semplificata dell'allegato n. 2, che si differenzia dalla precedente per un diverso logo, che informa dell'esistenza di questo collegamento.

La presenza dell'Informativa viene poi evidenziata specificatamente in alcuni settori specifici:

– Per le videocamere poste su mezzi di trasporto pubblico, può essere fornita l'informativa minima prevista dall'allegato n. 1, al fine di dare immediatamente conto ai passeggeri della presenza di un impianto di videosorveglianza.

– Per i sistemi elettronici di rilevazione delle violazioni al codice della Strada (anche automatizzati) deve essere garantita la conoscenza da parte degli interessati che in quelle aree sono presenti strumenti di rilevamento delle immagini. Ciò può essere fatto sia attraverso iniziative periodiche di comunicazione, che tramite appositi cartelli (anche nei casi in cui la normativa di settore non prevede espressamente l'obbligo di informazione). Quando invece la normativa sulla circolazione stradale già prevede tale obbligo, è possibile non fornire un'ulteriore informativa, posto che gli avvisi previsti dal codice della Strada permettano agli interessati di capire che c'è un trattamento dei propri dati personali.

– Per le videocamere installate da soggetti pubblici in luoghi in cui possono accedere o transitare le persone, può essere fornita l'informativa semplificata prevista dall'allegato n. 1.

Sul posizionamento del cartello recante l'informativa minima, la Suprema Corte ha confermato quanto già previsto al punto 3.1 del Provvedimento, sostenendo che l'informativa deve essere posizionata in modo che gli interessati possano leggerla prima dell'area di ripresa, mediante supporto da collocare fuori del raggio di azione delle telecamere che consentono la raccolta delle immagini (Cass. n. 13663/2015).

Verifica preliminare e notificazione

La verifica preliminare era un'attività che veniva svolta dal Garante Privacy sia d'ufficio che a seguito di interpello inviato dal titolare del trattamento ai sensi dell'art. 17 del vecchio cod. privacy. Questa attività veniva svolta dall'Autorità di controllo quando il trattamento presentava rischi specifici per i diritti e le libertà fondamentali degli interessati, come ad esempio nel caso di sistemi di videosorveglianza che associno immagini e dati biometrici o di sistemi «intelligenti», in grado di rilevare dall'analisi delle immagini dei comportamenti anomali. La verifica preliminare era inoltre richiesta nel caso in cui il titolare volesse estendere il tempo di conservazione delle immagini oltre il tempo massimo di 7 giorni. L'art. 37 del cod. privacy – nella sua formulazione antecedente alla modifica del 2018 – prevedeva l'obbligo di notifica al Garante Privacy per varie tipologie di trattamento, che potevano anche includere l'utilizzo di sistemi di videosorveglianza.

Con l'entrata in vigore del Regolamento, è stato introdotto l'istituto della «valutazione d'impatto sulla protezione dei dati» (DPIA), che deve essere svolta dal titolare del trattamento qualora il trattamento comporti un «rischio elevato per i diritti e le libertà delle persone fisiche». La consultazione all'Autorità di controllo è invece prevista dall'art. 36 GDPR solo nel caso in cui dopo aver eseguito la DPIA permanga un rischio elevato, nell'ottica di una crescente responsabilizzazione del titolare e di una valutazione dei rischi effettuata sul caso concreto. L'art. 36 GDPR prevede infatti che il titolare deve consultare l'autorità di controllo solo se, dopo aver svolto una valutazione d'impatto e messo in atto tutte le misure appropriate, il rischio per i diritti e le libertà delle persone fisiche continua ad essere elevato. In questo senso, la consultazione con l'autorità di controllo muta la sua natura, diventando meramente eventuale e solamente successiva alla valutazione d'impatto svolta dal titolare. Gli articoli del Codice Privacy che regolavano i precedenti istituti – art. 17 e 37 – sono stati abrogati dal d.lgs. n. 101/2018.

Nonostante l'abrogazione espressa degli artt. 17 e 37, potrebbe ancora sussistere un obbligo per i soggetti pubblici e privati di contattare preventivamente l'autorità di controllo. Infatti, l'art. 36 comma 5 del Regolamento rubricato «Consultazione preventiva», prevede che il diritto degli Stati membri possa prescrivere ai titolari del trattamento di consultare l'autorità di controllo e ottenere l'autorizzazione preliminare quando il trattamento riguardi l'esecuzione di un compito di interesse pubblico. Tale aspetto è analizzato più nel dettaglio al capitolo 4 del presente commento, avente ad oggetto l'analisi della disciplina relativa ai «Soggetti pubblici e i soggetti privati».

Fatta salva questa situazione in cui potrebbe sussistere ancora un intervento autorizzativo del Garante, l'analisi e la valutazione del rischio del trattamento al fine di stabilire se eseguire o meno la DPIA, è lasciata all'apprezzamento del titolare.

Tuttavia, è possibile riscontrare diverse disposizioni normative che richiedono espressamente lo svolgimento di una valutazione d'impatto per alcuni trattamenti realizzati tramite sistemi di videosorveglianza:

– quando il trattamento prevede sorveglianza sistematica su larga scala di una zona accessibile al pubblico (art. 35, comma 2, lett. c) GDPR);

– quando il trattamento riguarda la sorveglianza di zone accessibili al pubblico su larga scala, in particolare se effettuata mediante dispositivi optoelettronici (considerando n. 91 del Regolamento);

– quando i trattamenti sono effettuati nell'ambito del rapporto di lavoro mediante sistemi tecnologici dai quali derivi la possibilità di effettuare un controllo a distanza dell'attività dei dipendenti (Allegato al Provvedimento GPDP n. 467 dell'11 ottobre 2018, Elenco delle tipologie di trattamenti, soggetti al meccanismo di coerenza, da sottoporre a valutazione d'impatto);

– quando il trattamento del sistema di videosorveglianza include trattamenti sistematici di dati biometrici tenendo conto, in particolare, del volume dei dati, della durata, ovvero della persistenza, dell'attività di trattamento (Allegato al Provvedimento GPDP n. 467 dell'11 ottobre 2018, Elenco delle tipologie di trattamenti, soggetti al meccanismo di coerenza, da sottoporre a valutazione d'impatto);

– quando il trattamento non è occasionale e riguarda soggetti vulnerabili (minori, disabili, anziani, infermi di mente, pazienti, richiedenti asilo); rilevante soprattutto nel caso di installazione di sistemi di videosorveglianza presso strutture di cura e istituti scolastici (Allegato al Provvedimento GPDP n. 467 dell'11 ottobre 2018, Elenco delle tipologie di trattamenti, soggetti al meccanismo di coerenza, da sottoporre a valutazione d'impatto).

Al di là delle ipotesi sopra elencate, spetta al titolare stabilire se il trattamento pone un rischio elevato per i diritti e le libertà degli individui tale da richiedere una DPIA. A seguito di questo cambio di paradigma, è il titolare che in prima persona deve eseguire una valutazione del rischio, nella quale terrà in considerazione le finalità per cui sono effettuate le riprese e l'effettiva necessità e proporzionalità. Il Gruppo di Lavoro Articolo 29 ha emanato delle Linee Guida che indicano i criteri e le raccomandazioni da seguire quando viene effettuata quest'attività. Tra i vari casi previsti in cui effettuare una DPIA, il gruppo di esperti europeo ha individuato ad esempio gli impianti di videosorveglianza per il controllo del traffico autostradale, che impieghino tecnologie di rilevazione intelligenti per l'analisi delle targhe degli autoveicoli (Linee-guida del Gruppo di lavoro concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento «possa presentare un rischio elevato» ai sensi del Regolamento.

Le misure di sicurezza e i sistemi integrati di videosorveglianza

Il Provvedimento dedica un'apposita sezione alle misure di sicurezza, che sono qui trattate insieme alle disposizioni sui sistemi integrati di videosorveglianza.

La maggior parte delle disposizioni del Provvedimento sulla sicurezza del trattamento sono compatibili con quanto previsto dal Regolamento – in particolare dall'art. 32 – e precisano gli accorgimenti di sicurezza specifici per i sistemi di videosorveglianza. Tuttavia, l'art. 32 ha una portata generale più ampia rispetto al Provvedimento quando descrive i rischi della sicurezza: l'art. 32 include non solo i rischi di distruzione, perdita (anche accidentale), accesso non autorizzato e trattamento non consentito o non conforme alle finalità, ma anche i rischi dati dalla modifica e dalla divulgazione non autorizzata dei dati personali.

Il provvedimento fissa poi una serie di principi di base (paiono invero più degli esempi di misure) che devono seguire tutte le misure di sicurezza implementate:

a) Un diverso livello di visibilità e trattamento delle immagini riprese, realizzato tramite un sistema di credenziali che permetta di effettuare sole le operazioni di competenza dell'operatore designato;

b) Se il sistema permette la registrazione e la conservazione delle immagini, la possibilità di visionare in seguito le immagini e di effettuarne la cancellazione e la duplicazione deve essere limitata solo a determinati soggetti;

c) Devono essere presenti delle misure che permettano la cancellazione – anche in modalità automatica – in conformità con il periodo di conservazione stabilito;

d) In caso di interventi di manutenzione, bisogna limitare l'accesso di questi soggetti solo se ciò è indispensabile per effettuare verifiche tecniche;

e) Se i sistemi di ripresa sono connessi a reti informatiche, gli apparati devono essere protetti dal rischio di accesso abusivo;

f) La trasmissione delle immagini attraverso una rete pubblica o tramite connessione wireless deve essere effettuata utilizzando tecniche di cifratura che garantiscano la riservatezza.

Uno specifico paragrafo è poi riservato alle misure che il titolare deve mettere in atto per verificare l'attività delle persone fisiche che accedono o controllano i sistemi di ripresa. Ciò è da leggere in combinato disposto con il comma 4 dell'art. 32, che prevede che non solo il titolare ma anche il responsabile del trattamento debbano assicurare che gli individui che trattano dati personali sotto la loro autorità, lo facciano secondo istruzioni ben precise. L'ampliamento dell'ambito di applicazione al responsabile del trattamento appare ragionevole, tenuto conto che spesso l'attività di videosorveglianza è svolta da società esterne incaricate della sicurezza degli edifici, che operano in qualità di responsabili del trattamento.

Le figure interne all'organizzazione

Per quanto riguarda le figure interne, il Provvedimento fa ancora riferimento ai responsabili e agli incaricati intesi ai sensi dagli artt. 29 e 30 del Cod. privacy A-R (abrogati). Tale parte del provvedimento deve quindi considerarsi superata da quanto disposto dal Regolamento e dal nuovo art. 2-quaterdecies del cod. privacy.

Il concetto di responsabile del trattamento interno è superato dalla normativa europea, che all'art. 28 pone tutta una serie di obblighi e previsioni che devono essere ricondotti a una figura di responsabile del trattamento necessariamente esterna. Al contrario, la figura di un soggetto interno – paragonabile a quella già esistente dell'incaricato del trattamento – appare compatibile con il Regolamento, che all'art. 4 n. 10 prevede che ci possano essere «persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile».

In continuità con il Regolamento, l'art. 2-quaterdecies del cod. privacy afferma che «il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell'ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la loro autorità». Tali «soggetti designati», in parte equiparabili al precedente incaricato al trattamento, si differenziano però da quest'ultimo perché la loro presenza è facoltativa e spetta al titolare o al responsabile – sempre nell'ottica della già citata accountability – stabilire le funzioni da essi svolte e le istruzioni con cui questi dovranno operare. Infatti, a differenza di quanto previsto dal Cod. Privacy nella sua formulazione precedente, che richiedeva la designazione scritta degli incaricati del trattamento «tra le misure minime di sicurezza ex art. 33 del codice in quanto trattasi di un'attività (che il titolare del trattamento è tenuto ad effettuare nei confronti di quanti ordinariamente operano sui dati personali) volta a garantire il livello minimo di sicurezza nelle operazioni di trattamento.» (GPDP,26 luglio 2018 [doc.web n. 9054317]), nella formulazione del nuovo art. 2-quaterdecies, viene a mancare tale obbligatorietà.

Nell'ambito della videosorveglianza, i soggetti designati dovranno essere dotati di livelli di accesso e operatività diversi a seconda delle loro mansioni: ci saranno soggetti deputati alla visione delle immagini e altri in grado di compiere operazioni ulteriori come la registrazione, la copia, la cancellazione, la modifica dell'angolo della visuale, dello zoom, ecc. Spetta al titolare – o al responsabile del trattamento – decidere le operazioni di trattamento da delegare ai soggetti designati, così come avviene per il diverso sistema di permessi e credenziali di accesso ai file.

I sistemi integrati di videosorveglianza

I sistemi integrati si videosorveglianza sono particolarmente rilevanti rispetto al sesto principio della protezione dei dati perché presentano rischi ulteriori per la sicurezza delle immagini trattate. Il Provvedimento prevede infatti delle misure tecniche e organizzative specifiche per ridurre il rischio di questo tipo di impianti.

Innanzitutto occorre chiarire la definizione di sistemi integrati di videosorveglianza: il Garante li definisce come «i sistemi che collegano telecamere tra soggetti diversi, sia pubblici che privati, o che consentono la fornitura di servizi di videosorveglianza «in remoto» da parte di società specializzate (es. società di vigilanza, Internet providers) mediante collegamento telematico ad un unico centro». Tali sistemi possono essere suddivisi in tre macro-categorie:

I. Titolari autonomi che condividono integralmente o parzialmente le immagini riprese e utilizzano la stessa infrastruttura tecnologica.

I singoli titolari possono trattare le immagini nei limiti dei compiti istituzionali e delle finalità dell'informativa (se sono soggetti pubblici) o solo per le finalità indicate nell'informativa (in caso di soggetti privati).

II. Titolari autonomi i cui sistemi sono collegati ad un centro di coordinamento terzo.

Il centro di coordinamento svolge un compito di coordinamento e gestione dell'attività di videosorveglianza dei vari titolari del trattamento, senza però poter correlare le immagini raccolte per conto dei vari soggetti. Il centro di coordinamento è definito dal Provvedimento come responsabile del trattamento, da designare ai sensi dell'art. 29 del Cod. Privacy A-R. Tenuto conto dell'abrogazione operata dal decreto legislativo e del nuovo concetto di responsabile del trattamento, tale centro potrà essere considerato un responsabile del trattamento ex art. 28 del Regolamento solo se il suo margine di autonomia nell'attività di trattamento è chiaramente delimitato dalle istruzioni impartite dai vari titolari.

III. Titolare o titolari autonomi i cui sistemi sono collegati con gli organi di polizia

In conformità con il principio di trasparenza, gli interessati devono essere informati dell'esistenza di tale collegamento con le forze dell'ordine. Allo scopo, si può utilizzare il fac-simile riportato all'allegato 2 del Provvedimento e di cui si è già detto in precedenza.

Per tutti le varie tipologie di sistemi integrati di videosorveglianza, si applicano delle misure ulteriori a quelle descritte all'inizio di questo capitolo:

– L'adozione di sistemi idonei che possano fornire una registrazione degli accessi (file di log) dei vari soggetti designati (nel Provvedimento indicati come incaricati) ad operare con i sistemi di videosorveglianza. Questi file di log devono essere conservati per un periodo congruo – non inferiore ai 6 mesi – da permettere al titolare la verifica di quanto fatto dai responsabili;

– Una separazione logica delle immagini registrate dai diversi titolari.

Il Provvedimento prevedeva che in tutte le ipotesi in cui non si potevano applicare tali misure, si doveva richiedere una verifica preliminare al Garante.

Alla luce del principio generale di accountability previsto dall'art. 5 del Regolamento, le misure descritte in questo capitolo dovranno probabilmente essere intese come misure consigliate nella DPIA che il titolare dovrà predisporre nel caso in cui il proprio sistema rientri tra le ipotesi descritte.

La durata della conservazione

Il Provvedimento fa riferimento all'art. 11 del codice nella sua precedente formulazione, che indicava il principio di proporzionalità come principio guida nel determinare la giusta durata di conservazione delle immagini. Tale principio è oggi incorporato nel principio di limitazione della conservazione, enunciato dal Regolamento all'art. 5, comma 1, lett. e) e correlato al principio di limitazione delle finalità. Ciò significa che le riprese dovranno essere conservate per un periodo di tempo strettamente collegato alle finalità per cui sono state effettuate. La conservazione dovrà quindi essere limitata a poche ore o 24 ore al massimo, fatti salvi i casi in cui pervenga una richiesta da parte dell'autorità giudiziaria (o dalla polizia giudiziaria) o per particolari esigenze specifiche legate all'attività svolta. Per esempio, un impianto di videosorveglianza installato da una banca in prossimità dell'ATM, potrebbe avere un tempo di conservazione delle immagini di qualche settimana, in modo da consentire di visionare le riprese al fine di individuare eventuali sopralluoghi dei ladri precedenti al giorno della rapina. Al contrario, un impianto di videosorveglianza installato in un pub, avrà un tempo di conservazione inferiore perché eventuali incidenti (ad esempio furti o episodi di rissa) verrebbero scoperti prima, non giustificando un periodo maggiore di conservazione (ICO, «The Guide to Data Protection», 2017, 40).

Il periodo di conservazione massimo non può comunque essere superiore alla settimana. Come detto in precedenza, per estendere il tempo di conservazione delle immagini (solo in casi eccezionali e previa adeguata motivazione), bisognava inviare un'apposita richiesta di verifica preliminare al Garante. Nel corso degli anni, l'Autorità di controllo ha provveduto quindi con vari provvedimenti ad estendere il tempo di conservazione in casi specifici: 30 giorni per impianti di videosorveglianza installati in aree di parcheggio (GPDP, 20 luglio 2017 [doc.web n. 6826612]), 15 giorni per impianti installati in sale da gioco (dal GPDP, 18 dicembre 2013 [doc.web 2914191]), 30 giorni per impianti installati in aree di smistamento merci (GPDP, 8 gennaio 2015 [doc.web n. 3733116]), 14 giorni per impianti installati su navi da crociera (GPDP, 18 gennaio 2018 [doc.web n. 7968051]), 30 giorni impianti installati in parchi di divertimenti di grandi dimensioni (GPDP, 18 aprile 2018 [doc.web n. 8995078]), 90 giorni per impianti di data center (GPDP, 8 marzo 2018 [doc.web n. 8763222]), ecc.

Tali Provvedimenti costituiscono un'indicazione utile per i titolari nello stabilire il tempo di conservazione, che a partire dalla data di applicazione del Regolamento, non prevede più la verifica preliminare. Tale aspetto è stato sottolineato dal Garante in vari provvedimenti, nei quali ha affermato che «a decorrere dal 25 maggio 2018, data di applicazione del Regolamento (UE) 2016/679, il titolare del trattamento in ossequio al principio di responsabilizzazione di cui all'art. 24 dovrà valutare autonomamente la conformità del trattamento che intende effettuare alla disciplina vigente, verificando il rispetto di tutti i principi in materia nonché la necessità di effettuare, in particolare, una valutazione di impatto ex art. 35 del citato Regolamento ovvero attivare la consultazione preventiva ai sensi dell'art. 36 del Regolamento medesimo» (GPDP, 5 aprile 2018 [doc.web n. 8983828]).

Il periodo di conservazione delle immagini riprese dall'impianto di videosorveglianza sarà da inserire nell'apposita politica di conservazione dei dati personali, strumento utile per il titolare per garantire e dimostrare che il trattamento è eseguito in conformità con il Regolamento (art. 24.2 GDPR).

Inoltre, il periodo di conservazione dei dati trattati è uno degli aspetti principali della protezione dei dati fin dalla progettazione e per impostazione predefinita (cosiddetto principio della privacy by design e by default) previsto dall'art. 25 GDPR. Pur non essendo espressamente enunciato, tale principio è già contemplato dal Provvedimento che prevede che il sistema di videosorveglianza debba essere programmato – quindi per impostazione predefinita – in modo da cancellare automaticamente le immagini al termine prefissato dal titolare, in modo da rendere inutilizzabili i dati cancellati.

Le varie tipologie di titolari del trattamento

Il Provvedimento prevede alcune misure specifiche a seconda della categoria del titolare del trattamento:

Videosorveglianza sul luogo di lavoro

Il Regolamento prevede espressamente all'art. 88 (e al considerando n. 155) che l'ambito dei rapporti di lavoro possa essere oggetto di specifica regolamentazione da parte del legislatore nazionale. Il testo del garante, emanato prima del 2015, afferma il divieto generale di controllo a distanza dell'attività del lavoratore. Tale disposizione deve essere letta in relazione con l'art. 4 della l. n. 300/1970 (Statuto del Lavoratori), così come modificato nel 2015 dal d.lgs. n. 151/2015 (cosiddetto Jobs Act). Il nuovo testo così novellato non contempla più espressamente il divieto generale di controllo a distanza dell'attività del lavoratore e prevede l'installazione di impianti di videosorveglianza – e di altri strumenti dai quali possa derivare il controllo a distanza – solo se ricorrono due presupposti:

– L'utilizzo dell'impianto per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale;

– Il preventivo accordo sindacale (con le RSA o le RSU o se si tratta di imprese con unità produttive ubicate in diverse province della stessa regione o in più regioni con i sindacati comparativamente più rappresentativi sul piano nazionale) o in alternativa previo accordo con l'Ispettorato Nazionale del Lavoro. Sul punto, la nota 4619 del 24 maggio 2017 dell'Ispettorato Nazionale del Lavoro ha sottolineato che l'accordo sindacale è il percorso preferenziale scelto dal legislatore e la procedura autorizzativa con l'Ispettorato interviene in caso di mancato accordo.

I commi successivi dell'art. 4 prescrivono che il trattamento delle immagini avvenga in conformità con il codice Privacy e con il Regolamento, oltre a fornire «adeguata informazione» al lavoratore delle modalità d'uso degli strumenti e della effettuazione dei controlli. Le immagini così raccolte possono essere utilizzate per «i fini connessi al rapporto di lavoro».

La generale utilizzabilità delle informazioni raccolte mediante sistemi di videosorveglianza installati secondo i commi 1 e 2 dell'art. 4, ha un corollario importante da un punto di vista processuale. Il datore di lavoro può infatti utilizzare le immagini così raccolte – in quanto uso per fine connesso al rapporto di lavoro – come mezzi di prova, per formare il convincimento del giudice nonché come elementi per i provvedimenti presi nei confronti del lavoratore (ad esempio provvedimenti disciplinari). Resta invece dibattuta in dottrina e in giurisprudenza l'utilizzabilità delle immagini riprese da un impianto di videosorveglianza installato senza che ricorrano i presupposti di cui al comma 1 dell'art. 4 – che attiene alla legittimità della raccolta dei dati acquisiti – o delle condizioni poste dal comma 3 dell'art. 4 – che riguarda invece le condizioni di accesso per il datore di lavoro alle immagini riprese –.

Le immagini raccolte in violazione dell'art. 4 l. n. 300/1970 rientrerebbero nella categorie delle cosiddette «prove illecite», quindi inammissibili come mezzi istruttori. Nonostante ciò, in alcune circostanze la giurisprudenza riconosce – soprattutto in ambito penale – l'utilizzabilità delle immagini ottenute in violazione delle prescrizioni dello Statuto dei lavoratori.

A tutela questo impianto normativo, l'art. 171 cod. privacy nella sua nuova formulazione rinvia all'art. 38 della l. n. 300/1970. L'art. 38 prevede per coloro che violano l'art. 4 della norma, la sanzione penale (ammenda) che va da 154,00 a 1.549,00 euro ovvero l'arresto da 15 giorni ad un anno, salvo che il fatto non costituisca reato più grave.

Per quanto attiene in particolare al profilo del trattamento dei dati, il provvedimento precisa che l'orientamento della telecamera e la relativa inquadratura non deve permettere il controllo a distanza dell'attività lavorativa (in tutti i luoghi in cui può essere svolta la prestazione lavorativa, compresi i veicoli per il trasporto di linea, taxi e auto NCC). Sul punto, anche il Gruppo di Lavoro articolo 29 ha sottolineato che deve essere considerato illecito il trattamento che è sproporzionato rispetto ai diritti e alle libertà dei dipendenti, come sarebbe ad esempio un impianto integrante anche delle tecnologie di rilevamento facciale (WP29, Parere 2/2017, 2018).

La Corte Europea dei Diritti dell'Uomo si è pronunciata in merito all'aspettativa della privacy del lavoratore in un luogo pubblico nel caso Antović e Mirković c. Montenegro (Sentenza del 28 novembre 2017, causa n. 70838/13). Il caso riguardava due professori universitari che si erano lamentati di un'indebita violazione della privacy per l'installazione da parte dell'Università di telecamere di sorveglianza nelle aule di insegnamento, al fine di proteggere l'incolumità delle persone e il patrimonio dell'ateneo. I giudici di Strasburgo hanno stabilito che c'era stata una violazione dell'art. 8 della Convenzione anche se l'area ripresa era pubblica, in quanto l'aspettativa di privacy dell'individuo rileva anche nello svolgimento delle proprie attività professionali in un luogo pubblico.

Per quanto riguarda l'accordo sindacale preventivo ex art. 4 dello Statuto dei Lavoratori, la giurisprudenza ha recentemente mutato il proprio orientamento e prevede ora che il consenso dei lavoratori non possa comunque sostituire l'accordo con le organizzazioni sindacali (Cass. pen. n. 22148/2017, Cass. pen. n. 38882/2018, Cass. pen. n. 38884/2018). Il consenso dei lavoratori è dunque superfluo o comunque non idoneo a sostituire l'accordo con le associazioni sindacali – o in subordine l'autorizzazione da parte dell'Ispettorato del Lavoro – così come previsto dall'articolo di legge. Tale posizione assume un valore maggiore, se interpretata alla luce del mutato quadro europeo, nel quale il consenso è valido solo se libero, specifico e informato. Come sottolineato dal Gruppo articolo 29 in varie occasioni, nel contesto dell'attività lavorativa il consenso dato dal lavoratore al datore di lavoro non dovrebbe – tendenzialmente – essere considerato libero, dato lo squilibrio di potere che c'è tra i due soggetti (Gruppo di Lavoro articolo 29, «Linee guida elaborate dal Gruppo art. 29 in materia di consenso, definite in base alle previsioni del Regolamento (UE) 2016/679», 2018 e Parere 2/2017, 2017).

Secondo una parte della giurisprudenza, tale impianto normativo si applica anche nel caso di installazione di telecamere «non funzionanti». Infatti c'è violazione dell'art. 4 l. n. 300/1970 anche se l'impianto non è messo in funzione: poiché il bene giuridico protetto è la riservatezza dei lavoratori e il reato in questione si configura come un reato di pericolo, la norma sanziona a priori l'installazione, prescindendo dal suo utilizzo o meno (Cass. pen. n. 4331/2014).

Tale impostazione è condivisa anche dalla nota n. 11241 del Ministero del Lavoro del 1° giugno 2016.

Per quanto riguarda i cosiddetti controlli difensivi deve considerarsi ormai pacifica, anche alla luce della modifica legislativa del 2015, l'utilizzabilità nel processo penale dei risultati delle videoriprese effettuate con telecamere installate all'interno dei luoghi di lavoro poste a tutela del patrimonio aziendale (Cass. pen. n. 4367/2018). Sullo stesso tema, la Corte di Strasburgo si è pronunciata in due occasioni: nelle sentenze Köpke v. Germany (sentenza del 5 ottobre 2010, causa n. 420/07) e López Ribalda and Others v. Spain (sentenza del 9 gennaio 2018, causa n. 1874/13). Nel primo caso la Corte ha riscontrato che non c'era stata una violazione dell'art. 8 della Convenzione e quindi era stato rispettato il diritto al rispetto della vita privata. Nel caso di specie, le immagini erano state usate come prova per il licenziamento di un dipendente accusato di furto ma erano state rispettate tutte le condizioni di proporzionalità (l'inquadratura era circoscritta alle casse del negozio, la videosorveglianza aveva avuto una durata limitata, e le immagini riprese erano state utilizzate solo nelle procedure relative al licenziamento). Nella sentenza López Ribalda and Others v. Spain invece, la Corte ha riscontrato che c'era stata una violazione della legislazione in materia di protezione dei dati perché il datore di lavoro non aveva informato i dipendenti di tale attività di trattamento. Tale attività di sorveglianza occulta era infatti predisposta nei confronti di tutto lo staff e quindi sproporzionata rispetto al fine legittimo perseguito dal datore di lavoro di tutelare il proprio patrimonio. La sentenza in questione è attualmente pendente presso la Grand Chambre della Corte Europea dei Diritti dell'Uomo.

Sul tema il Ministero del Lavoro e delle Politiche Sociali ha pubblicato l'interpello n. 3 dell'8 maggio 2019, con il quale risponde in relazione ad un quesito posto dal Consiglio Nazionale dell'ordine dei Consulenti del Lavoro relativamente alla configurabilità della fattispecie del silenzio assenso con riferimento alla richiesta di autorizzazione all'installazione ed utilizzo degli impianti audiovisivi e degli altri strumenti di cui all'attuale articolo 4, comma 1, della l. n. 300/1970 (Statuto dei lavoratori). E ciò in considerazione delle disposizioni della l. n. 241/1990 che dispongono che il silenzio dell'amministrazione competente equivalga ad accoglimento della domanda.

Il Consiglio Nazionale dell'ordine dei Consulenti del Lavoro chiede se il silenzio dell'organo amministrativo, in relazione all'istanza di autorizzazione per l'installazione di impianti di videosorveglianza, possa essere considerato un assenso tacito, in virtù del quale le aziende possono procedere all'installazione degli impianti richiesti.

Occorre inquadrare la questione alla luce della procedura da adottare ai sensi di quanto previsto dall'art. 4 dello Statuto dei Lavoratori per l'installazione di impianti audiovisivi o di altri strumenti dai quali può derivare la possibilità di un controllo a distanza dell'attività svolta dai lavoratori.

L'articolo 4 dello Statuto dei Lavoratori, dispone quanto segue:

“1. Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale. In mancanza di tale accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro o, in alternativa, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell'Ispettorato nazionale del lavoro. I provvedimenti di cui al terzo periodo sono definitivi.

La disposizione di cui al comma 1 non si applica agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze.

Le informazioni raccolte ai sensi dei commi 1 e 2 sono utilizzabili ai fini connessi al rapporto di lavoro a condizione che sia fornita al lavoratore un'adeguata informazione circa le modalità d'uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal Codice Privacy.

Le aziende che rientrano nell'ambito di applicazione di quanto previsto dal sopra indicato comma 1 dell'art. 4 dello Statuto dei Lavoratori, e che per esigenze organizzative, produttive, di sicurezza del lavoro, o di tutela del patrimonio aziendale, intendono installare apparecchiature dalle quali può derivare un controllo a distanza dei lavoratori, possono dunque procedere in tal senso previo accordo sindacale, ovvero in difetto su istanza all'Ispettorato Nazionale del Lavoro (INL), da parte del datore di lavoro.

L'INL ha emesso i modelli di istanza da utilizzare sulla base della tipologia di strumento che si intende installare (impianto audiovisivo, ovvero sistemi di controllo a distanza diversi dalla videosorveglianza). I modelli sono disponibili e scaricabili sul sito dell'INL.

Le istanze devono essere obbligatoriamente corredate dalla documentazione richiesta dall'INL (ad esempio: la relazione che descrive l'impianto, la tipologia di dati trattati, le modalità di funzionamento dello stesso, i tempi di conservazione dei dati ecc.).

Sul punto, l'INL ha precisato che in mancanza degli elementi minimi indicati nell'istanza, la medesima risulterà incompleta e laddove tali mancanze non venissero sanate, l'autorizzazione non potrà essere rilasciata.

La norma prevede che i dati raccolti tramite gli impianti per i quali si richiede l'autorizzazione all'installazione, devono rispettare la normativa vigente in materia di protezione dei dati e quindi il Regolamento Ue 2016/679 (GDPR), il Codice Privacy così come novellato dal d.lgs. n. 101/2018, i provvedimenti del Garante per la protezione dei dati compatibili con il GDPR (come quello sulla videosorveglianza del 2010).

Tale aspetto di conformità alla disciplina in tema di protezione dei dati personali era stato evidenziato anche dalla Direzione Generale per l'attività ispettiva del Ministero del Lavoro, che già nel 2012 aveva emanato una nota con la quale forniva istruzioni operative in relazione al rilascio delle autorizzazioni previste dall'art. 4 dello Statuto dei Lavoratori e precisava di considerare quale presupposto legittimante alla richiesta di installazione di impianti di controllo, il rispetto delle norme privacy.

L'art. 4 dello Statuto dei lavoratori non consente la possibilità di installazione ed utilizzo degli impianti di controllo in assenza di atto espresso di autorizzazione, sia esso di carattere negoziale (accordo sindacale), ovvero amministrativo (provvedimento).

Sul punto anche il Ministero del Lavoro nella risposta al quesito posto dal Consiglio Nazionale dell'ordine dei Consulenti del Lavoro, ha ribadito e confermato che “non è quindi configurabile l'istituto del silenzio-assenso, occorrendo un provvedimento espresso di accoglimento, ovvero rigetto della relativa istanza”.

Ciò significa che in assenza dell'autorizzazione rilasciata dall'INL non è possibile installare apparecchiature dalle quali può derivare un controllo a distanza dei lavoratori, non trovando applicazione al caso di specie, le disposizioni di cui alla l. n. 241/1990 che prevedono, invece, che il silenzio dell'amministrazione competente equivalga ad accoglimento della domanda.

Si sottolinea che il provvedimento autorizzativo viene rilasciato dall'Ispettorato del Lavoro sulla base delle specifiche ragioni dichiarate in sede di richiesta di autorizzazione.

L'attività di controllo, pertanto, è legittima solo se strettamente funzionale alla tutela dell'interesse dichiarato, il quale non può essere modificato nel corso del tempo nemmeno se vengono invocate le altre ragioni legittimanti il controllo stesso, ma non dichiarate nella stessa istanza di autorizzazione.

Da ultimo si evidenzia che gli eventuali controlli ispettivi successivi al rilascio del provvedimento di autorizzazione da parte delle autorità competenti, sono finalizzati appunto alla verifica che le modalità di utilizzo degli strumenti di controllo siano effettivamente conformi e coerenti alle finalità indicate dal datore di lavoro nell'istanza di autorizzazione.

Per quanto riguarda i sistemi di videosorveglianza sui luoghi di lavoro è bene evidenziare che per quanto concerne il controllo a distanza, i lavoratori non possono sostituirsi al sindacato. Anche se fossero tutti d'accordo a far installare, ad esempio, le telecamere nell'azienda, in mancanza del placet della rappresentanza sindacale (Rsa o Rsu) l'installazione sarebbe illegittima e il datore di lavoro penalmente responsabile. Lo precisa l'INL nella nota 2572/2023 in cui fornisce indicazioni sul rilascio del provvedimento di autorizzazione all'installazione di strumenti di controllo diretto o indiretto dei lavoratori, in considerazione anche degli orientamenti del Garante Privacy. L'INL precisa, inoltre, che la disciplina vale altresì per rider e co.co.co. di terza generazione, ma non per i volontari.

Videosorveglianza negli ospedali, nelle case di cura e nelle scuole

Gli impianti di videosorveglianza installati in strutture sanitarie possono raccogliere immagini che, dato l'ambito specifico, possono costituire dati particolari così come definiti dall'art. 9 GDPR. La natura di dati particolari può valere in particolar modo per quelle immagini registrate da telecamere installate in reparti specifici di un ospedale o una struttura di cura. Infatti se l'inquadratura di una telecamera include la ripresa del reparto e dei suoi pazienti, si potrebbe facilmente risalire alla patologia dell'individuo. Oltre che dall'art. 9, tale interpretazione è supportata anche dal considerando 35 GDPR, che recita «Nei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell'interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Questi comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria.»

Poiché i dati relativi alla salute dell'individuo rientrano nella categoria dei dati particolari, le immagini di questi impianti di videosorveglianza dovrebbe seguire la disciplina prevista dall'art. 9 GDPR Si noti che in questo caso l'inclusione delle immagini dei sistemi di videosorveglianza come categorie particolari di dati personali, non è data dalla tipologia delle immagini (che li ricondurrebbe ai dati biometrici) ma dalle informazioni che dalle immagini si deducono (appunto la degenza di un individuo in un determinato reparto).

Gli impianti di videosorveglianza installati in questi luoghi devono essere limitati a quando sono indispensabili e in ogni caso garantire un livello elevato di riservatezza e dignità alle persone malate. Proprio per questo motivo, solo il personale autorizzato deve poter accedere alle immagini e l'accesso a terzi legittimati (familiari, parenti, conoscenti) deve prevedere specifiche cautele. È poi previsto un divieto di diffusione per le immagini che rivelino lo stato di salute, il cui accesso è deve essere maggiormente limitato.

Anche l'installazione di questi impianti negli edifici scolastici, deve essere consentita solo se sono strettamente indispensabili, tenuto conto del diritto dello studente alla riservatezza. Il requisito dell'«indispensabilità» si può riscontrare ad esempio nella prevenzione degli atti vandalici (attivando le riprese solo nell'orario di chiusura) mentre resta il divieto di effettuare riprese all'interno degli edifici durante lo svolgimento di attività extra-scolastiche.

È attualmente in fase di discussione presso il Senato – dopo l'approvazione alla Camera nell'ottobre 2018 – un disegno di legge che mira all'installazione di sistemi di videosorveglianza presso asili nido, scuole d'infanzia, strutture socio-sanitarie e socio-assistenziali per anziani e persone con disabilità, al fine di prevenire e contrastare episodi di maltrattamento e abusi. Il testo di legge prevede che le registrazioni delle immagini siano cifrate e conservate per sei mesi e l'accesso sia consentito solo all'autorità giudiziaria e al pubblico ministero ai fini di prova in procedimenti penali. L'installazione è subordinata al rispetto di una precisa procedura che riprende quella già delineata dall'art. 4 dello Statuto dei Lavoratori, a cui si aggiunge il coinvolgimento delle famiglie per quanto riguarda gli asili nido e le scuole d'infanzia. Il Garante dovrà pubblicare secondo l'art. 2-quinquiesdecies del cod. privacy (rubricato «Trattamento che presenta rischi elevati per l'esecuzione di un compito di interesse pubblico»), i provvedimenti necessari contenenti le prescrizioni e gli adempimenti per assicurare il rispetto della privacy degli interessati.

Oltre alla proposta di legge in via di approvazione da parte del legislatore nazionale, varie Regioni Italiane hanno emanato leggi regionali che finanziano e incentivano l'adozione di sistemi di videosorveglianza presso asili nido e strutture socio-sanitarie che ospitano anziani e disabili. La Giunta della Regione Liguria ha approvato una delibera che prevede, a partire dal 2019, l'installazione di sistemi di videosorveglianza come requisito indispensabile per ottenere e mantenere l'autorizzazione all'esercizio dell'attività da parte delle strutture sociosanitarie.

Appare dunque evidente il cambio di atteggiamento e prospettiva che si è avuto nel corso degli anni, volto in parte a superare quel requisito di «indispensabilità» previsto dal provvedimento del Garante del 2010. L'installazione di questi impianti è infatti incoraggiata – ma anche regolarizzata con disposizioni più specifiche – da parte dello Stato soprattutto per fini dissuasivi e di prova.

Videosorveglianza sui mezzi di trasporto pubblico

Il Provvedimento contempla l'installazione sui mezzi di trasporto pubblici e in prossimità delle fermate, soffermandosi sull'importanza dell'informativa, da rendersi con appositi contrassegni e utilizzando anche il fac-simile presente all'allegato n. 1 del Provvedimento. Sono poi dettagliate tutta una serie di cautele da adottare per quanto riguarda l'angolo di visuale, ad esempio nel caso delle inquadrature presso le fermate dei mezzi, che devono concentrarsi sulla sola pensilina, o comunque essere funzionali alle esigenze di sicurezza per cui le telecamere sono installate.

Nel maggio 2018 l'Autorità si è pronunciata al termine della procedura di verifica preliminare sull'utilizzo di body cam – telecamere indossate direttamente dagli individui – da parte degli operatori in servizio su tratte ferroviarie, per fini di tutela del patrimonio e di sicurezza (GPDP, del 22 maggio 2018, [doc.web n. 8995107]). Il Garante ha consentito l'utilizzo di questi strumenti, disciplinando però tutta una serie di accorgimenti da mettere in atto. Tali dispositivi infatti, se da un lato permettono una ripresa più specifica e ravvicinata dei soggetti, dall'altro vedono il loro utilizzo sottoposto all'azione dell'operatore che dovrà attivare e terminare la ripresa (a differenza degli impianti fissi normalmente installati sui treni). Inoltre, le immagini raccolte dalle body cam sono trasmesse in tempo reale a una centrale operativa.

Tra le prescrizioni principali, il Garante ha previsto che: gli operatori seguano un disciplinare per l'utilizzo delle body cam, con cautele specifiche per riprese che coinvolgono soggetti «deboli» quali i minori; la disattivazione della funzionalità audio; l'oscuramento di soggetti terzi in caso di comunicazione all'impresa di assicurazioni; strumenti di comunicazione adeguati per il pubblico e la spia luminosa per indicare che è in corso la registrazione di immagini; la conservazione e la cancellazione sicura delle immagini, il cui accesso è tracciato e consentito solo a soggetti autorizzati.

Soggetti pubblici e soggetti privati

Le disposizioni descritte in questo Provvedimento del Garante si applicano tanto ai soggetti pubblici quanto ai soggetti privati (fatto salvo i trattamenti svolti da persone fisiche a carattere esclusivamente personale o domestico, così come previsto dall'art. 2, comma 2, GDPR).

I soggetti pubblici

Una delle finalità principali per cui avviene il trattamento di immagini di videosorveglianza da parte di soggetti pubblici è quello per finalità di sicurezza. Varie disposizioni normative infatti attribuiscono ai sindaci funzioni di vigilanza in materia di sicurezza urbana; e l'installazione di sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico è uno degli strumenti più utilizzati per garantire tale finalità, tanto in termini dissuasivi che probatori.

La base di liceità utilizzata per tale trattamento è quella del «compito d'interesse pubblico», tenuto conto della non utilizzabilità del legittimo interesse come base giuridica da parte del settore pubblico. Tale divieto è espressamente previsto dall'ultimo periodo dell'art. 6 comma 1 GDPR che dispone che i soggetti pubblici non possano invocare, quale presupposto di legittimità del trattamento, il legittimo interesse. La funzionalità della videosorveglianza, rispetto a compiti di interesse pubblico, sussisterebbe anche in assenza di un obbligo legale in senso stretto (WP29, Parere 6/2014).

Come detto in precedenza, l'art. 36, comma 5 GDPR prevede che quando il trattamento riguardi l'esecuzione di un compito di interesse pubblico – come nel caso di sistemi di videosorveglianza installati per finalità di sicurezza – il diritto degli Stati membri possa prescrivere ai titolari del trattamento di consultare l'autorità di controllo e ottenere l'autorizzazione preliminare.

Riassumendo, poiché l'attività di videosorveglianza può rientrare – se svolta da un soggetto per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri – tra quelle previste dal comma 5 dell'art. 36, lo Stato membro può prevedere che i titolari debbano preventivamente ottenere un'autorizzazione preliminare dall'autorità di controllo. Il legislatore italiano ha quindi previsto con l'art. 2-quinquiesdecies nel cod. privacy, la possibilità per il Garante di emanare provvedimenti di carattere generale, al fine di prescrivere misure e accorgimenti specifici a garanzia dell'interessato. Nonostante ciò, quella appena descritta rimane però una semplice possibilità (il Garante può non attivare l'istituto previsto dalla disposizione appena citata) e l'autorizzazione preliminare resa attraverso provvedimenti generali non potrà comunque essere ritagliata al singolo caso, a differenza dell'abrogata verifica preliminare. Le Linee Guida pubblicate dall'Associazione Nazionale Comuni Italiana in collaborazione con il Garante, nonostante non tengano in considerazione le modifiche avvenute con il Regolamento e con il d.lgs. n. 101/2018, forniscono delle utili indicazioni pratiche per un corretto trattamento delle immagini da parte dei Comuni (ANCI, «Linee Guida per i Comuni in materia di videosorveglianza alla luce del provvedimento Garante Privacy 8 aprile 2010», 2010).

L'utilizzo dei sistemi di videosorveglianza è espressamente previsto nel caso di monitoraggio e accertamento dell'uso abusivo di aree impiegate come discariche e deposito di rifiuti. Nel caso in cui altre misure risultino inefficaci l'installazione delle telecamere è lecito. In questo caso, nell'ottica della nuova normativa europea, potrebbe essere opportuno effettuare una DPIA secondo l'art. 35 del Regolamento, al fine di verificare la necessità e la proporzionalità del trattamento e l'eventuale utilizzo di sistemi alternativi.

In questa sezione viene poi illustrato il trattamento effettuato da dispositivi elettronici per la rilevazione delle violazioni del codice della Strada, impianti che possono includere telecamere o dispositivi di rilevazione dell'immagine. I punti principali che regolano l'utilizzo di questi dispositivi riguardano l'angolo di visuale, che deve limitarsi alle targhe o ad altri elementi necessari all'accertamento delle violazioni (in conformità con il principio di limitazione di finalità previsto dall'art. 5 del Regolamento), il tempo di conservazione che deve limitarsi a quanto necessario per la contestazione e l'eventuale procedimento di contestazione (principio di limitazione della conservazione) e la possibilità dell'intestatario del veicolo di accedere alla documentazione relativa – fatto salvo l'oscuramento di eventuali terzi (diritto di accesso). Un elemento chiave per questo tipo di trattamenti è l'informativa, che può essere resa con appositi cartelli, insieme a comunicazioni che rendano note la presenza e l'attività di tali strumenti di rilevamento delle immagini.

Qualora il trattamento sia fatto per finalità di sicurezza pubblica, prevenzione, accertamento e repressione dei reati e non di sicurezza urbana, il Provvedimento fa riferimento all'art. 53 Cod. privacy A-R, ora non più in vigore (abrogato insieme agli artt. 53-54-55-56). I trattamenti eseguiti per queste finalità seguono le disposizioni del d.lgs. n. 51/2018, relativo ai trattamenti dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati e attuativi della Direttiva (UE) 2016/680. Il provvedimento sarà probabilmente integrato e modificato in modo da includere anche le nuove disposizioni.

Soggetti privati e i fini esclusivamente personali

Il Provvedimento ribadisce che le riprese effettuate da un impianto di videosorveglianza di un privato cittadino per fini esclusivamente personali non rientrano nell'ambito di applicazione del codice Privacy. Esempi tipici di questo tipo di trattamenti sono quelli effettuati da videocitofoni o da sistemi installati all'interno di immobili privati e condomini. Nonostante il codice non trovi applicazione, sono necessarie alcune cautele per evitare il reato penale di interferenze illecite nella vita privata: effettuare riprese solo degli spazi rientranti nella propria pertinenza ed escludere aree comuni (come cortili, pianerottoli e garage) e ambienti antistanti l'abitazione di altri condomini. Il reato di interferenze illecita nella vista privata è infatti disciplinato all'art. 615-bis c.p.c. e recita: «Chiunque, mediante l'uso di strumenti di ripresa visiva o sonora, si procura indebitamente notizie o immagini attinenti alla vita privata svolgentesi nei luoghi indicati nell'art. 614, è punito con la reclusione da sei mesi a quattro anni.»

Sul tema, il Garante Privacy è recentemente intervenuto pubblicando un sintetico prospetto informativo ricognitivo delle principali indicazioni di cui le persone fisiche dovrebbero tenere conto nell'installazione di sistemi di videosorveglianza in ambito personale o domestico allo scopo di garantire la tutela della sicurezza di persone e beni (v. Sistemi di videosorveglianza installati da persona fisiche. Le regole da seguire – INFOGRAFICA – 20/1/2022 – doc. web n. 9737891). Preme precisare che, come evidenziato dallo stesso Garante Privacy, tale prospetto presenta una finalità meramente divulgativa e che, pertanto, lo stesso non pregiudica in nessun modo l'efficacia della normativa e dei provvedimenti che disciplinano la materia.

All'interno della citata scheda informativa, il Garante Privacy evidenzia come le persone fisiche possano procedere all'installazione di sistemi di videosorveglianza a tutela della sicurezza di persone e beni senza necessità di richiedere previe autorizzazioni od osservare particolari formalità. Nel procedere in tal senso, tali soggetti sono nondimeno tenuti ad assicurare il rispetto di una serie di accorgimenti, tra i quali, a titolo esemplificativo e non esaustivo, si annoverano i seguenti: anzitutto, l'area videosorvegliata deve ricomprendere esclusivamente lo spazio della loro pertinenza esclusiva e non anche eventuali spazi condominiali o appartenenti a terzi; devono essere attivate misure tecniche capaci di oscurare le aree di pertinenza dei terzi nei casi in cui risulti inevitabile riprenderle; nei casi in cui sulle aree riprese insista una servitù di passaggio in capo a terzi, deve essere formalmente e previamente raccolto – una tantum – il consenso del soggetto titolare della servitù medesima; le aree aperte al pubblico (come, ad esempio, le strade pubbliche o le aree di pubblico passaggio) non devono essere oggetto di ripresa; le immagini di videosorveglianza non devono essere comunicate a terzi o altrimenti diffuse.

In merito all'ambito di applicazione materiale della disciplina sulla protezione dei dati, nella sentenza C-212/13, la CGUE ha sostenuto che un impianto di telecamere domestico che riprende uno spazio pubblico (nel caso di specie la porzione di marciapiede antistante l'ingresso dell'abitazione), non rientra nell'eccezione – attività a carattere esclusivamente personale o domestico – prevista dall'art. 2.2 lett. c) GDPR. La pronuncia si riferiva al testo della Direttiva 95/46 CE – allora vigente – che però è rimasto immutato nella disposizione del Regolamento, e quindi mantiene la sua validità. L'attività di ripresa video di uno spazio che non è di esclusiva pertinenza di colui che effettua la raccolta delle immagini, farebbe quindi rientrare tale trattamento nell'ambito di applicazione materiale del Regolamento (e di conseguenza del cod. privacy). Tale interpretazione appare interessante sotto un duplice punto di vista: in primo luogo evidenzia l'importanza del fattore dell'«inquadratura della telecamera», che può modificare radicalmente la disciplina applicabile; in secondo luogo appare in contrasto con quanto esposto nel Provvedimento del Garante, che esclude l'applicabilità della normativa protezione dati a qualsiasi ripresa effettuata per fini personali (anche se l'inquadratura riprende spazi comuni).

In tema di reato di interferenze illecite nella vita privata la Suprema Corte si è pronunciata escludendo la sua sussistenza nel caso di riprese di scale e pianerottoli condominiali. Poiché infatti tali spazi non assolvono alla funzione di consentire l'esplicazione della vita privata al riparo di sguardi indiscreti – in quanto destinati all'utilizzo da parte di un numero non determinato di soggetti –, non si può configurare con la raccolta di tali immagini, il reato di cui all'art. 615-bis c.p. (Cass. pen. n. 34151/2017).

Prescrizioni e sanzioni

I comportamenti illeciti o in violazione delle prescrizioni contenute nel Provvedimento, sono sanzionate – a seconda dell'ambito – dagli artt. 161,162 comma 2-ter, 162 comma 2-bis, 162 comma 2-ter, 163,171 e 167 comma 2 del cod. privacy A-R. Il d.lgs. n. 101/2018 ha abrogato la maggior parte dei predetti articoli, mentre resta in vigore l'art. 171.

Le disposizioni sanzionatorie amministrative sono ora indicate all'art. 83 del Regolamento, e prevedono sanzioni fino a € 10 mln (o al 2% del fatturato mondiale totale annuo, se superiore) e fino a € 20 mln (o al 4% del fatturato mondiale totale annuo, se superiore) a seconda delle disposizioni del Regolamento violate. Tale modifica ha di fatto armonizzato l'apparato sanzionatorio in vigore nei vari Stati membri dell'Unione in caso di violazione delle disposizioni sul trattamento dei dati personali.

Gli artt. 171 (sanzione prevista in caso di controllo a distanza dei lavoratori) e 167, comma 2 (trattamento illecito dei dati, previsto come sanzione per la diffusione di immagini registrate presso ospedali o luoghi di cura) espressamente indicati nel Provvedimento, rimangono in vigore anche dopo l'intervento di modifica del d.lgs. n. 101/2018. Infatti, gli illeciti penali relativi ai trattamenti di dati personali restano disciplinati direttamente nel Cod. Privacy, in ossequio con quanto affermato dal considerando 149 – Gli Stati membri dovrebbero poter stabilire disposizioni relative a sanzioni penali per violazioni del presente regolamento, comprese violazioni di norme nazionali adottate in virtù ed entro i limiti del presente regolamento – che delega agli Stati Membri l'adozione di disposizioni relative a sanzioni penali.

In riferimento alle sanzioni inflitte in tema di videosorveglianza, da parte dell'autorità per la protezione dei dati personali, a seguito dell'applicabilità del GDPR, possiamo richiamare il Provvedimento del 2 marzo 2023, n. 58.

In particolare con l'ordinanza di ingiunzione l'Autorità indipendente ha sanzionato l'Azienda di abbigliamento H&M per aver installato sistemi di videosorveglianza in violazione del Regolamento europeo, del Codice privacy e dello Statuto dei lavoratori.

L'indagine del Garante è partita a seguito della segnalazione di un sindacato che lamentava il trattamento illecito di dati personali attraverso sistemi di videosorveglianza in diversi punti vendita della società. Nel corso dell'istruttoria è emerso infatti che la società, presente in Italia con oltre 160 negozi, non aveva rispettato la normativa in materia di controllo a distanza, la quale prevede che l'installazione di impianti audiovisivi non possa avvenire in assenza di un accordo con i rappresentanti dei lavoratori o di una autorizzazione dell'Ispettorato del lavoro, procedure indispensabili anche per bilanciare la sproporzione esistente tra la posizione datoriale e quella di lavoratore. La società aveva giustificato l'installazione delle apparecchiature con la necessità di difendersi da furti e di garantire la sicurezza dei dipendenti e del patrimonio aziendale, evitando accessi non autorizzati. Gli accertamenti del Garante privacy hanno evidenziato che tutti i negozi erano dotati di almeno 3 videocamere, attive 24 ore al giorno 7 giorni su 7, nelle aree riservate ai lavoratori e ai fornitori. Nei punti vendita più grandi arrivavano fino a 27. Le immagini venivano conservate 24 ore e poi sovrascritte. In numerosi punti vendita l'installazione dei sistemi di videosorveglianza non aveva però, come detto, rispettato la normativa in materia di controllo a distanza. Non è stato ritenuto elemento sufficiente (seppur necessario) informare ai sensi dell'art. 13 del Regolamento i dipendenti in merito alle caratteristiche del trattamento effettuato attraverso sistemi di videosorveglianza, proprio considerata la già evidenziata inderogabilità della procedura. Sul punto si rimanda alla scheda presente sul sito del Garante privacy ove sono presenti utili informazioni sugli adempimenti da porre in essere, compreso un modello di cartello. In merito, poi, alla obiezione della Società secondo la quale le telecamere, nella maggior parte dei casi, riprenderebbero “una zona di passaggio e non di attività lavorativa”, il Garante ha nuovamente evidenziato come anche nelle aree nelle quali transitano o sostano – talora continuativamente – i dipendenti (ad es. accessi alla struttura e ai garage, zone di carico/scarico merci, ingressi carrai e pedonali), qualora sottoposte a videosorveglianza, sono soggette alla piena applicazione della disciplina in materia di protezione dei dati personali (v., tra gli altri, provvedimenti 16 settembre 2021, n. 331, doc. web n. 9719768; 30 luglio 2015, n. 455, doc. web n. 4261028; 4 luglio 2013, n. 334, doc. web n. 2577203; 18 aprile 2013, n. 199 e 200, doc. web n. 2483269; 9 febbraio 2012, n. 56, doc. web n. 188699; 17 novembre 2011, n. 434, doc. web n. 1859558; 26 febbraio 2009, doc. web n. 1601522).

Nel caso di specie i sistemi di videoripresa sono posizionati in modo da riprendere zone ove, per l'appunto, necessariamente transitano i dipendenti per lo svolgimento dell'attività lavorativa o anche per recarsi all'interno di aree dove si svolge l'attività lavorativa (ingressi riservati ai dipendenti, corridoi di accesso all'ufficio amministrativo, ufficio amministrativo).

Il provvedimento in commento interviene su un aspetto sul quale il Garante privacy è estremamente attento e cioè quel complesso di adempimenti necessari per gestire legittimamente i trattamenti effettuati attraverso un sistema di videosorveglianza.

In relazione alla natura, gravità e durata della violazione, è stata considerata rilevante la natura della violazione che ha riguardato i principi generali del trattamento, e, in particolare, il principio di liceità (con riferimento alle disposizioni specifiche relative ai trattamenti nell'ambito del rapporto di lavoro); sono stati valutati, altresì, i considerevoli periodi di tempo nei quali la Società ha utilizzato sistemi di videosorveglianza senza avere attivato la procedura di garanzia di cui all'art. 4 della l. n. 300/1970 e il numero rilevante di interessati coinvolti e la circostanza che la violazione ha riguardato diverse sedi e diversi profili (assenza di autorizzazione e trattamenti effettuati in violazione delle autorizzazioni rilasciate) a dimostrazione di una gestione complessivamente non adeguata del processo di attuazione della disciplina nel contesto del rapporto di lavoro.

Con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare è stata presa in considerazione la condotta dell'Azienda ed il grado di responsabilità della stessa che si è conformata alla disciplina in materia di protezione dei dati solo a seguito dell'attività dell'Autorità e dell'Ispettorato del lavoro.

A favore dell'Azienda, infine, si è tenuto conto della cooperazione con l'Autorità al fine di porre rimedio alle violazioni e l'assenza di precedenti violazioni pertinenti a carico della Società.

Nonostante, infatti, le giustificazioni addotte e la circostanza per cui le condotte sanzionate hanno riguardato un numero esiguo di dipendenti e di punti vendita (rapportati al totale), la condotta tenuta dalla Società ha configurato la violazione del principio di liceità del trattamento (art. 5, par. 1, lett. a) del Regolamento in relazione all'art. 114 del Codice) e dell'art. 88 del Regolamento quanto alla disciplina applicabile in materia, che è stata quindi sanzionata dell'importo di 50.000 euro.

Le nuove linee guida EDPB sul tema della videosorveglianza

Il 29 gennaio 2020, il Comitato Europeo per la Protezione dei Dati (EDPB) ha adottato le nuove linee guida n. 3/2019 in materia di trattamento di dati personali mediante impianti di videosorveglianza.

Il Comitato ha sottolineato l'urgenza di tali linee guida in quanto l'utilizzo intensivo di sistemi di videosorveglianza rischia di condizionare il comportamento degli individui, soprattutto quando i dati vengono trattati attraverso strumenti cosiddetti “intelligenti” o tecnologicamente avanzati: gli impianti di videosorveglianza, infatti, possono suscitare sia un senso di maggior sicurezza, sia il timore di limiti alla libertà e altri diritti fondamentali.

Per tale motivo diventa necessario per i DPO e i Titolari del trattamento garantire sempre più l'adozione di misure tecniche ed organizzative adeguate in grado di garantire la liceità dei trattamenti nel rispetto del Regolamento UE 2016/679 (GDPR).

Le novità più rilevanti riguardano i seguenti aspetti:

Persone fisiche

Le linee guida non trovano applicazione nei casi in cui l'impianto di videosorveglianza sia utilizzato da persone fisiche nell'ambito della propria vita domestica (nonché nei casi di videoregistrazioni da alta quota e in caso di utilizzo di telecamere da park assist).

Informativa e vignetta

È necessario fornire idonea informativa agli interessati circa l'esistenza di un impianto di videosorveglianza, sia mediante un'informativa di primo livello, sotto forma di “vignetta” (c.d. informativa breve), sia mediante un'informativa estesa.

La nuova vignetta predisposta dall'EDPB consente agli interessati di conoscere preventivamente quali dati personali vengono trattati entrando nel raggio di azione delle videocamere: per maggior trasparenza il Comitato suggerisce di inserire nella stessa un QR code o un indirizzo web che rinvii all'informativa estesa dove saranno disponibili tutte le altre informazioni richieste dal GDPR. Il Comitato conferma poi che i dati trattati dovranno essere conservati per il periodo strettamente necessario per le finalità – esplicite, determinate, legittime – perseguite e riportate nell'informativa.

Base giuridica

Il Comitato individua tale fondamento nel legittimo interesse (art. 6 comma 1, lett. FGDPR), che deve sempre essere oggetto di bilanciamento (LIA) o nella sussistenza di un interesse pubblico (art. 6, comma 1 lett. eGDPR);

Il legittimo interesse (art. 6, paragrafo 1, lettera f)) dovrebbe basarsi sui criteri indicati di seguito, conformemente al considerando 47. La videosorveglianza è lecita se è necessaria per conseguire la finalità di un legittimo interesse perseguito da un titolare del trattamento o da un terzo, a meno che su tali interessi prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato. Tuttavia, il titolare del trattamento dovrebbe considerare che se l'interessato si oppone alla sorveglianza a norma dell'art. 21, si può procedere alla videosorveglianza di tale interessato soltanto se il legittimo interesse in questione ha natura cogente e prevale sugli interessi, i diritti e le libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. In presenza di una situazione di reale rischio, la tutela della proprietà da furti o atti vandalici può costituire un legittimo interesse con riguardo alla videosorveglianza. Il legittimo interesse deve essere esistente e attuale (ossia non deve essere fittizio o ipotetico).

Prima di avviare la sorveglianza è necessario che sussista una situazione di reale difficoltà, come ad esempio danni o incidenti gravi verificatisi in passato. Alla luce del principio di responsabilizzazione (Accountability), è raccomandato ai titolari del trattamento di documentare gli eventi problematici in questione (data, modalità, perdita finanziaria) e le relative accuse penali. Tali casi documentati possono costituire un solido elemento di prova per l'esistenza di un legittimo interesse. L'esistenza di un legittimo interesse e la necessità del monitoraggio dovrebbero essere oggetto di riesame periodico (ad esempio, una volta all'anno, a seconda delle circostanze).

Le situazioni di pericolo imminente possono configurare un legittimo interesse, per esempio nel caso di banche o negozi che vendono beni preziosi (ad esempio, gioiellerie) o di luoghi che sono notoriamente teatro di reati contro il patrimonio (ad esempio, stazioni di servizio). Il GDPR stabilisce inoltre chiaramente che le autorità pubbliche non possono invocare il legittimo interesse per i trattamenti svolti nell'esecuzione dei loro compiti (cfr. art. 6, paragrafo 1).

I dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»). Prima di installare un sistema di videosorveglianza, il titolare del trattamento deve sempre valutare criticamente se questa misura sia in primo luogo idonea a raggiungere l'obiettivo desiderato e, in secondo luogo, adeguata e necessaria per i suoi scopi. Si dovrebbe optare per misure di videosorveglianza unicamente se la finalità del trattamento non può ragionevolmente essere raggiunta con altri mezzi meno intrusivi per i diritti e le libertà fondamentali dell'interessato. In una situazione in cui un titolare del trattamento intenda prevenire reati legati al patrimonio, invece di installare un sistema di videosorveglianza potrebbe adottare misure di sicurezza alternative, come la recinzione della proprietà, il pattugliamento regolare di personale di sicurezza, l'impiego di custodi, una migliore illuminazione, l'installazione di serrature di sicurezza, finestre e porte a prova di manomissione o l'applicazione di rivestimento anti-graffiti o lamine alle pareti. Tali misure possono essere efficaci quanto i sistemi di videosorveglianza contro furti e vandalismi. Il titolare del trattamento deve valutare caso per caso se tali misure possano essere una soluzione ragionevole. Prima di utilizzare un sistema di telecamere, il titolare del trattamento è tenuto a valutare dove e quando siano assolutamente necessarie misure di videosorveglianza. Di solito un sistema di sorveglianza funzionante sia di notte sia al di fuori del normale orario di lavoro soddisfa le esigenze del titolare del trattamento di prevenire pericoli per il suo patrimonio. In generale, la necessità di utilizzare la videosorveglianza per proteggere la proprietà di un titolare si arresta ai confini della proprietà stessa. Tuttavia, vi sono casi in cui la sorveglianza della proprietà non è sufficiente per una protezione efficace. In alcuni singoli casi potrebbe essere necessario estendere la videosorveglianza alle immediate vicinanze dell'area di proprietà. In tale contesto, il titolare del trattamento dovrebbe prendere in considerazione l'impiego di mezzi fisici e tecnici, ad esempio bloccando o oscurando le zone non pertinenti.

Occorre interrogarsi sulla necessità del trattamento anche per quanto riguarda le modalità di conservazione di elementi di prova. In alcuni casi potrebbe essere necessario utilizzare soluzioni tipo scatola nera, nelle quali il filmato viene automaticamente cancellato dopo un determinato periodo di conservazione e vi si accede solo in caso di eventi problematici. In altre situazioni potrebbe non essere affatto necessario registrare il materiale video, essendo magari più opportuno ricorrere al monitoraggio in tempo reale. La scelta tra le due soluzioni dovrebbe anche basarsi sullo scopo perseguito. Se, ad esempio, la videosorveglianza è finalizzata alla raccolta di prove, solitamente i metodi in tempo reale non sono adatti. Talvolta il monitoraggio in tempo reale può risultare anche più intrusivo rispetto alla conservazione e alla cancellazione automatica delle registrazioni dopo un lasso di tempo limitato (ad esempio, se un operatore visualizza costantemente le immagini su monitor, questo metodo potrebbe essere più intrusivo rispetto alla conservazione diretta del materiale in una scatola nera in assenza di monitoraggio). In questo contesto occorre avere riguardo al principio della minimizzazione dei dati (art. 5, paragrafo1, lettera c)). Occorre inoltre tenere presente la possibilità per il titolare del trattamento di avvalersi di personale di sicurezza in grado di reagire e intervenire immediatamente anziché ricorrere alla videosorveglianza.

Bilanciamento degli interessi. Supponendo che la videosorveglianza sia necessaria per proteggere i legittimi interessi di un titolare del trattamento, un sistema di videosorveglianza può essere messo in funzione unicamente se sui legittimi interessi del titolare del trattamento o su quelli di terzi (ad esempio, la protezione della proprietà o dell'integrità fisica) non prevalgono gli interessi o i diritti e le libertà fondamentali dell'interessato. Il titolare del trattamento deve valutare 1) in che misura il monitoraggio incida sugli interessi, sui diritti fondamentali e sulle libertà degli individui, e 2) se ciò comporti violazioni o conseguenze negative rispetto ai diritti dell'interessato. Di fatto, il bilanciamento degli interessi è d'obbligo. I diritti e le libertà fondamentali, da un lato, e i legittimi interessi del titolare del trattamento, dall'altro, vanno valutati e bilanciati con attenzione.

Decisione caso per caso. Poiché il bilanciamento degli interessi è obbligatorio ai sensi del regolamento, la decisione deve essere presa caso per caso (cfr. art. 6, paragrafo1, lettera f)). Non è sufficiente fare riferimento a situazioni astratte o confrontare casi simili tra loro. Il titolare del trattamento deve valutare i rischi di interferenza nei diritti dell'interessato; in questo caso il criterio decisivo è l'intensità dell'intervento rispetto ai diritti e alle libertà dell'individuo. L'intensità può essere definita, tra l'altro, dal tipo di informazioni raccolte (contenuto delle informazioni), dalla portata (densità delle informazioni, estensione territoriale e geografica), dal numero di interessati coinvolti – come numero specifico o come percentuale della popolazione interessata – dalla situazione specifica, dagli interessi effettivi del gruppo di interessati, dalla disponibilità di strumenti mezzi alternativi nonché dalla natura e dalla portata della valutazione dei dati. Importanti fattori di bilanciamento possono essere le dimensioni della zona e il numero di interessati sotto sorveglianza. L'uso della videosorveglianza in una zona isolata (ad esempio, per osservare la fauna selvatica o per proteggere infrastrutture critiche come un'antenna radio privata) deve essere valutato in modo diverso rispetto alla videosorveglianza in una zona pedonale o in un centro commerciale.

Ragionevoli aspettative degli interessati. Secondo il considerando 47, l'esistenza di un legittimo interesse richiede un'attenta valutazione. A questo proposito, occorre includere le ragionevoli aspettative dell'interessato al momento e nel contesto del trattamento dei suoi dati personali. Per quanto riguarda la sorveglianza sistematica, il rapporto tra l'interessato e il titolare del trattamento può variare significativamente e può influenzare le ragionevoli aspettative dell'interessato. L'interpretazione del concetto di aspettativa ragionevole non dovrebbe basarsi soltanto sulle aspettative soggettive in questione. Il criterio decisivo deve essere invece se un soggetto terzo imparziale possa ragionevolmente aspettarsi e concludere di essere oggetto di sorveglianza nella situazione specifica. Ad esempio, nella maggior parte dei casi un dipendente sul luogo di lavoro non si aspetta di essere monitorato dal proprio datore di lavoro. Inoltre, non ci si aspetta sorveglianza nel proprio giardino, in locali abitati o in ambulatori e sale di terapia. Analogamente, non è ragionevole aspettarsi sorveglianza nei servizi sanitari o nelle saune; la sorveglianza in questo tipo di zone costituisce una grave interferenza nei diritti dell'interessato. Le ragionevoli aspettative degli interessati sono quindi che non si attui alcuna videosorveglianza in tali zone. D'altro canto, il cliente di una banca potrebbe aspettarsi di essere sorvegliato all'interno della banca o presso un bancomat. Gli interessati possono anche aspettarsi di non essere sorvegliati all'interno di aree accessibili al pubblico-soprattutto se tali aree sono solitamente utilizzate per la convalescenza, la rigenerazione e per attività ricreative – nonché nei luoghi in cui le persone trascorrono del tempo e/o interagiscono, come ad esempio zone di seduta, tavoli in ristoranti, parchi, cinema e strutture per il fitness. In questo caso gli interessi o i diritti e le libertà dell'interessato spesso prevarranno sui legittimi interessi del titolare del trattamento. La presenza di segnaletica che informa l'interessato in merito alla videosorveglianza è del tutto irrilevante al fine di determinare ciò che un interessato può oggettivamente aspettarsi. Ciò significa, ad esempio, che il proprietario di un esercizio commerciale non può fare affidamento sull'esistenza oggettiva di una ragionevole aspettativa da parte dei clienti riguardo al monitoraggio solo perché un cartello all'ingresso li informa della presenza di un sistema di sorveglianza.

Il consenso dell'interessato viene confermato dalle nuove linee guida n. 3/2019 del Comitato Europeo per la Protezione dei Dati (EDPB) quale dal base giuridica residuale. Il consenso deve essere prestato liberamente, deve essere specifico, informato e inequivocabile, come descritto nelle linee guida sul consenso. Per quanto riguarda la sorveglianza sistematica, il consenso dell'interessato può fungere da base giuridica ai sensi dell'articolo7 (cfr. il considerando 43) solo in casi eccezionali. È nella natura della sorveglianza il fatto che questa tecnologia consenta di controllare contemporaneamente un numero non noto di persone. Il titolare del trattamento difficilmente sarà in grado di dimostrare che l'interessato ha prestato il consenso prima del trattamento dei suoi dati personali (art. 7, paragrafo1). Supponendo che l'interessato revochi il proprio consenso, sarà difficile per il titolare dimostrare che i dati personali non sono più oggetto di trattamento (art. 7, paragrafo 3).

Se il titolare del trattamento desidera invocare il consenso, è suo dovere assicurarsi che ogni interessato che entra nella zona sottoposta a videosorveglianza abbia prestato il proprio consenso. Tale consenso deve soddisfare le condizioni di cui all'art. 7. L'ingresso in una zona sorvegliata contrassegnata (ad esempio, le persone sono invitate a passare attraverso uno specifico corridoio o cancello per accedere a una zona sorvegliata), non configura una dichiarazione o una chiara azione affermativa come necessarie per la validità del consenso, a meno che siano soddisfatti i criteri di cui agli artt. 4 e 7 descritti nelle linee guida sul consenso. Dato lo squilibrio di potere tra datori di lavoro e dipendenti, nella maggior parte dei casi i datori di lavoro non dovrebbero invocare il consenso nel trattare i dati personali, in quanto è improbabile che quest'ultimo venga fornito liberamente. In tale contesto si dovrebbe tener conto delle linee guida sul consenso. La legge degli Stati membri o i contratti collettivi, compresi i «contratti di lavoro», possono prevedere norme specifiche sul trattamento dei dati personali dei dipendenti nell'ambito dei rapporti di lavoro (cfr. l'art. 88).

Il Comitato conferma infine la possibilità di utilizzare impianti di videosorveglianza per il trattamento di dati particolari, purché vi sia una adeguata base giuridica.