Impianti di Videosorveglianza

impianti-videosorveglianza

La normativa privacy va vista alla luce del GDPR, del D.Lgs. 101/2018 e del Provvedimento Generale del Garante del 2010.

Accountability (art. 5.2 GDPR)

Il Titolare dei dati è responsabile delle scelte effettuate in termini di finalità e modalità e quindi delle misure di sicurezza adottate.

Informativa

Pre-informativa: con indicazioni del titolare e delle finalità (art. 3.1 Provv. 2010)

  • Deve essere collocata prima del raggio d’azione delle telecamere
  • Chiaramente visibile in ogni condizione ambientale
  • Bisogna indicare se le immagini sono solo visionate o registrate

Informativa completa (art. 13 GDPR)

    • Deve contenere le indicazioni di: Titolare, DPO, Finalità, Base giuridica, Destinatari, eventuale trasferimento all’estero, Periodo di conservazione, Diritti dell’interessato

Misure di sicurezza (art. 32 GDPR)

Devono essere adottate adeguate misure di sicurezza:

  • Controllo degli accessi anche mediante corretta gestione delle Credenziali di autenticazione: username e password personali, Password complesse e cambiate periodicamente, controllo della custodia dello strumento
  • Misure tecniche ed organizzative per la cancellazione anche automatica delle immagini
  • Cautele per interventi derivanti da esigenze di manutenzione
  • Protezione contro i rischi da accesso abusivo
  • Sistemi Antivirus e Firewall
  • Trasmissione tramite rete pubblica effettuata con tecniche crittografiche
  • Tecniche crittografiche anche per immagini da connessioni wireless
  • Backup periodici
  • Misure di sicurezza per terminali mobili

Data Breach (art. 33-34 GDPR)

Notifica al Garante entro 72 ore dell’avvenuta violazione di dati personali:

  • categorie e numero approssimativo di interessati;
  • categorie e numero approssimativo di registrazioni dei dati personali;
  • dati di contatto del titolare del trattamento;
  • descrizione delle probabili conseguenze del Data Breach;
  • descrizione delle misure adottate o di cui si propone l’adozione per porre rimedio.

Soggetti autorizzati al trattamento

Incaricare e formare:

  • soggetti abilitati a visionare le immagini
  • soggetto che possono effettuare ulteriori operazioni (registrare, cancellare, zoomare)

Richiedere garanzie sufficienti al Responsabile tramite un addendum del contratto;

Verificare il possesso delle garanzie del Responsabile.

Registro dei trattamenti (art. 30 GDPR)

Il Titolare del trattamento dei dati è tenuto a redigere un apposito registro in merito alle attività di trattamento dati poste in essere sotto la propria responsabilità (Videosorveglianza), il quale dovrà contenere:

  • l’indicazione dell’incaricato/designato alla visione delle immagini, ossia del personale che, all’interno dell’azienda, è incaricato di visionare le riprese e/o ha accesso alla postazione di controllo
  • l’indicazione del responsabile del trattamento ex. Art. 28 GDPR (se presente), ossia della società di servizi che visiona le riprese o che ne ha accesso
  • le finalità
  • le misure di sicurezza adottate sia sul piano tecnico sia su quello organizzativo
  • i tempi di conservazione dei filmati

Valutazione d’impatto (artt. 35-36 GDPR)

La valutazione d’impatto è un’autonoma valutazione che il titolare (del trattamento) pone in essere in riferimento ad un determinato trattamento per analizzare la necessità, la proporzionalità ed i rischi per i diritti e le libertà dell’interessato (persona fisica).

L’allegato 1 al provvedimento n. 467 11.08.2018 del Garante recante l’elenco delle tipologie di trattamento da sottoporre a valutazione d’impatto cita (al punto n.5) i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dei dipendenti”.

La valutazione contiene almeno:

  • una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento
  • una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità
  • una valutazione dei rischi per i diritti e le libertà degli interessati
  • le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

Sanzioni (GDPR – D.Lgs. 101/2018 – Statuto dei Lavoratori)

Le sanzioni sono previste dall’art. 38 dello Statuto dei Lavoratori per la violazione delle disposizioni in merito agli impianti audiovisivi e altri strumenti di controllo, prevede un’ammenda da € 154,00 a € 1.549,00 o l’arresto da 15 giorni ad un anno, salvo che il fatto non costituisca più grave reato.

A ciò potrebbero aggiungersi le sanzioni amministrative previste dal GDPR in merito al trattamento dei dati, nonché le sanzioni penali introdotte dal “nuovo” Codice Privacy (D. Lgs. 101/2018).

Il GDPR prevede:

  • sanzioni fino a 10.000.000 di euro o fino al 2% del fatturato mondiale annuo (dell’esercizio precedente) per le violazioni degli obblighi di cui agli artt. 8, 11, da 25 a 39, 42 e 43; e 41, paragrafo 4 GDPR
  • sanzioni fino a 20.000.000 di euro – o fino al 4% del fatturato mondiale annuo per le violazioni dei principi di base del trattamento (art. 5, 6, 7 e 9 GDPR); violazione dei diritti degli interessati (art. 12-22 GDPR; per trasferimenti di dati (art. da 44 a 49 GDPR); per la violazione norma del capo IX GDPR; nonché per l’inosservanza di un ordine dell’autorità di controllo ad esempio, Garante privacy (art. 58 GDPR).

Videosorveglianza-Rapporti di Lavoro  (art. 4 Statuto dei Lavoratori)

Lo Statuto dei Lavoratori prevede la possibilità di adottare impianti audiovisivi solamente dopo aver effettuato:

  1. un accordo sindacale
  2. istanza di autorizzazione alla DTL provinciale (in assenza di sindacati)

L’accordo sindacale o l’autorizzazione della DTL devono essere ottenuti precedentemente all’installazione dei dispositivi.

Non è ammissibile il consenso dei dipendenti all’installazione dell’impianto di videosorveglianza in alternativa alla procedura dinanzi l’Ispettorato del lavoro.

I fattori per cui può essere installato un sistema di videosorveglianza sono:

Esigenze organizzative produttive, a titolo esemplificativo:

  • impiego di macchinari e impianti che necessitano di continuo monitoraggio
  • controllo video della qualità di prodotto/processo
  • impianti che richiedono frequenti interventi di manutenzione urgente

Sicurezza sul lavoro, a titolo esemplificativo:

  • necessità di garantire rapido intervento delle squadre di soccorso in caso di infortunio
  • svolgimento di attività particolarmente pericolose o impiego di materiali nocivi
  • lavoratori che operano in luoghi isolati

Tutela del patrimonio, a titolo esemplificativo:

  • intromissioni o furti denunciati
  • presenza di componenti o beni immateriali di elevato valore intrinseco
  • presenza di aree aziendali destinate esclusivamente a soggetti qualificati

Modalità di autorizzazione dell’impianto di videosorveglianza:

  • se sono presenti rappresentanze sindacali (unitaria RSU o aziendale RSA), l’azienda e le rappresentanze sindacali dovranno sottoscrivere un accordo sull’utilizzo ed il funzionamento dell’impianto;
  • se non sono presenti rappresentanze sindacali o l’accordo non è raggiunto, l’azienda presenterà istanza di autorizzazione all’installazione delle telecamere all’Ispettorato del Lavoro territoriale.

Nel momento in cui l’impianto di videosorveglianza viene istallato, è possibile che occasionalmente siano ripresi anche i dipendenti. Il datore di lavoro quindi potrà utilizzare le riprese anche per finalità disciplinari ma solo se coesistono due condizioni essenziali, ossia che:

  • il lavoratore sia stato adeguatamente informato circa le modalità di uso degli strumenti e di effettuazione dei controlli;
  • sia rispettata la normativa privacy.

Si dovranno quindi informare i dipendenti della presenza dell’impianto di videosorveglianza, sulle sue caratteristiche tecniche, modalità di utilizzo, comunicando inoltre chi sono i soggetti preposti alla visione delle immagini ed i relativi tempi di conservazione delle stesse. Va comunque chiarito che, sulla base dell’art. 4 dello Statuto (L.300/1970) è vietato il “controllo a distanza dell’attività lavorativa”; è vietata, quindi, l’installazione di apparecchiature specificatamente ed esclusivamente preordinate a tale finalità.

Videosorveglianza-Sicurezza nel trasporto pubblico

Dal bilanciamento degli interessi in gioco ossia da un lato la pubblica sicurezza e dall’altro la tutela delle riservatezza, è scaturita la possibilità di utilizzare dispositivi di videoripresa a bordo dei mezzi destinati al trasporto pubblico, ma solo a condizione che:

  • Sia fornita adeguata informativa agli interessati (sia a bordo dei mezzi, sia alle fermate)
  • A bordo dei mezzi inoltre andranno apposte appositi cartelli/contrassegni che indichino con chiarezza ed immediatezza la presenza dell´impianto di videosorveglianza (c.d. informativa minima)
  • Le riprese a bordo del mezzo, devo essere fatte in modo panoramico così da evitare di rilevare particolari troppo invasivi dei passeggeri
  • Le riprese eseguite presso le fermate dovranno inquadrate esclusivamente la piazzola di sosta
  • Non deve essere ripresa in modo stabile la postazione di guida degli autisti
  • La visione delle immagini registrate è strettamente connessa alla commissione di atti criminosi ed alla previa denuncia degli stessi all´autorità di polizia

Videosorveglianza-Ospedali e Luoghi di Cura

Considerata la quantità di dati personali appartenenti a categorie particolari (cfr. art. 9 GDPR), che possono essere raccolti ed immagazzinati, nonché la necessità di garantire la riservatezza e la dignità delle persone malate devono essere limitati a casi di comprovata indispensabilità, derivante da specifiche esigenze di cura e tutela della salute degli interessati. Inoltre sarà necessario adottati svariati accorgimenti:

  • sia fornita adeguata informativa agli interessati (pazienti, famigliari, visitatori)
  • l’accesso alle immagini dovrà essere riservato
  • la visione delle riprese video da parte di terzi legittimati (familiari, parenti, conoscenti) riferite ai pazienti ricoverati in reparti dove non sia consentito recarsi personalmente (es. rianimazione), dovrà avvenire con adeguati accorgimenti tecnici (limitata alle sole immagini relative al proprio congiunto/conoscente)
  • l’individuazione di precise finalità per la raccolta dei dati
  • l’adozione di misure riguardanti la sicurezza e la conservazione delle immagini
  • le riprese dovranno essere pertinenti e non eccedenti rispetto agli scopi perseguiti
  • rispetto della normativa giuslavoristica

Videosorveglianza-Istituti scolastici

Acclarato il fatto che sia possibile adottare sistemi di videoripresa al fine di tutelare l’edificio ed i beni scolastici da atti vandalici, le riprese vanno limitate alle sole aree interessate ed attivando l’impianto negli orari di chiusura degli istituti; ciò al fine di tutelare il diritto alla riservatezza di ogni studente nonché le norme inerenti al diritto del lavoro.

Risulta utile segnalare inoltre che i diversi disegni di legge proposti per introdurre la videosorveglianza negli asili nido e nelle scuole dell’infanzia, nonché nelle strutture socio-assistenziali per anziani, disabili e minori in situazioni di disagio, sono state accorpate nel disegno di legge n.2574 approvato alla Camera dei deputati il 19 ottobre 2016 e trasmesso al Senato.

Nell’art. 4 il Ddl prevede per gli asili nido, scuole dell’infanzia e strutture sociosanitarie e socio-assistenziali per anziani e persone con disabilità “l’introduzione sistemi di videosorveglianza a circuito chiuso, le cui immagini sono cifrate, al momento dell’acquisizione all’interno delle telecamere, con modalità atte a garantire la sicurezza dei dati trattati e la loro protezione da accessi abusivi”. Inoltre solo l’autorità giudiziaria “in caso di una notizia di reato” potrà visionare le immagini.

Videosorveglianza-Webcam

L’utilizzo di telecamere o Webcam che permettono la visione in tempo reale delle riprese per finalità promozionali o turistiche (si pensi a quelle collocate sulle spiagge o piste da scii) è consentita a condizione che:

  • le riprese non permettano di individuare i tratti somatici delle persone che rientrano nel campo di ripresa
  • non sia possibile effettuare la funzione zoom
  • le riprese siano effettuate da lunghe distanze e/o con bassa risoluzione
  • presenza di adeguata informativa al pubblico

Videosorveglianza-Sistemi Integrati

Con sistemi integrati di videosorveglianza si intendono i sistemi centralizzati di videosorveglianza remota (molto utilizzati dagli istituti di vigilanza privata). In questi casi dunque il Titolare dei dati (ossia il proprietario dell’impianto) decide di fornire le riprese ad un società esterna (Responsabile del trattamento) al fine di perseguire ragioni di sicurezza.

Nel caso di collegamento di diversi titolari del trattamento ad un unico centro unico gestito da un soggetto terzo (esempio società di sicurezza/vigilanza) nei confronti di tale soggetto andrà predisposto un atto di nomina a responsabile del trattamento ai sensi degli artt. 28 GDPR; a seguito della nomina quindi il responsabile del trattamento (si pensi da una Società di Vigilanza), assumere il ruolo di coordinatore e gestore dell’attività di videosorveglianza. È inoltre possibile prevedere un collegamento con gli organi di polizia/carabinieri.

Al fine di rispettare le misure di sicurezza prescritte dal Garante con provvedimento del 2010, nonché quanto previsto dal GDPR, sarà necessario avvisare gli interessati delle presenza del sistema di videosorveglianza sia mediante informativa sintetica (cartellonistica), sia attraverso l’informativa estesa recante tutte le informazioni relative al trattamento dati (esempio tempi di conservazione).

INFOGRAFICA-VIDEOSORVEGLIANZA

RICHIEDI MAGGIORI INFORMAZIONI