Il Titolare dei dati è responsabile delle scelte effettuate in termini di finalità e modalità e quindi delle misure di sicurezza adottate.
Pre-informativa: con indicazioni del titolare e delle finalità (art. 3.1 Provv. 2010)
Informativa completa (art. 13 GDPR)
Devono essere adottate adeguate misure di sicurezza:
Notifica al Garante entro 72 ore dell’avvenuta violazione di dati personali:
Incaricare e formare:
Richiedere garanzie sufficienti al Responsabile tramite un addendum del contratto;
Verificare il possesso delle garanzie del Responsabile.
Il Titolare del trattamento dei dati è tenuto a redigere un apposito registro in merito alle attività di trattamento dati poste in essere sotto la propria responsabilità (Videosorveglianza), il quale dovrà contenere:
La valutazione d’impatto è un’autonoma valutazione che il titolare (del trattamento) pone in essere in riferimento ad un determinato trattamento per analizzare la necessità, la proporzionalità ed i rischi per i diritti e le libertà dell’interessato (persona fisica).
L’allegato 1 al provvedimento n. 467 11.08.2018 del Garante recante l’elenco delle tipologie di trattamento da sottoporre a valutazione d’impatto cita (al punto n.5) i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dei dipendenti”.
La valutazione contiene almeno:
Le sanzioni sono previste dall’art. 38 dello Statuto dei Lavoratori per la violazione delle disposizioni in merito agli impianti audiovisivi e altri strumenti di controllo, prevede un’ammenda da € 154,00 a € 1.549,00 o l’arresto da 15 giorni ad un anno, salvo che il fatto non costituisca più grave reato.
A ciò potrebbero aggiungersi le sanzioni amministrative previste dal GDPR in merito al trattamento dei dati, nonché le sanzioni penali introdotte dal “nuovo” Codice Privacy (D. Lgs. 101/2018).
Il GDPR prevede:
Lo Statuto dei Lavoratori prevede la possibilità di adottare impianti audiovisivi solamente dopo aver effettuato:
L’accordo sindacale o l’autorizzazione della DTL devono essere ottenuti precedentemente all’installazione dei dispositivi.
Non è ammissibile il consenso dei dipendenti all’installazione dell’impianto di videosorveglianza in alternativa alla procedura dinanzi l’Ispettorato del lavoro.
I fattori per cui può essere installato un sistema di videosorveglianza sono:
Esigenze organizzative produttive, a titolo esemplificativo:
Sicurezza sul lavoro, a titolo esemplificativo:
Tutela del patrimonio, a titolo esemplificativo:
Modalità di autorizzazione dell’impianto di videosorveglianza:
Nel momento in cui l’impianto di videosorveglianza viene istallato, è possibile che occasionalmente siano ripresi anche i dipendenti. Il datore di lavoro quindi potrà utilizzare le riprese anche per finalità disciplinari ma solo se coesistono due condizioni essenziali, ossia che:
Si dovranno quindi informare i dipendenti della presenza dell’impianto di videosorveglianza, sulle sue caratteristiche tecniche, modalità di utilizzo, comunicando inoltre chi sono i soggetti preposti alla visione delle immagini ed i relativi tempi di conservazione delle stesse. Va comunque chiarito che, sulla base dell’art. 4 dello Statuto (L.300/1970) è vietato il “controllo a distanza dell’attività lavorativa”; è vietata, quindi, l’installazione di apparecchiature specificatamente ed esclusivamente preordinate a tale finalità.
Dal bilanciamento degli interessi in gioco ossia da un lato la pubblica sicurezza e dall’altro la tutela delle riservatezza, è scaturita la possibilità di utilizzare dispositivi di videoripresa a bordo dei mezzi destinati al trasporto pubblico, ma solo a condizione che:
Considerata la quantità di dati personali appartenenti a categorie particolari (cfr. art. 9 GDPR), che possono essere raccolti ed immagazzinati, nonché la necessità di garantire la riservatezza e la dignità delle persone malate devono essere limitati a casi di comprovata indispensabilità, derivante da specifiche esigenze di cura e tutela della salute degli interessati. Inoltre sarà necessario adottati svariati accorgimenti:
Acclarato il fatto che sia possibile adottare sistemi di videoripresa al fine di tutelare l’edificio ed i beni scolastici da atti vandalici, le riprese vanno limitate alle sole aree interessate ed attivando l’impianto negli orari di chiusura degli istituti; ciò al fine di tutelare il diritto alla riservatezza di ogni studente nonché le norme inerenti al diritto del lavoro.
Risulta utile segnalare inoltre che i diversi disegni di legge proposti per introdurre la videosorveglianza negli asili nido e nelle scuole dell’infanzia, nonché nelle strutture socio-assistenziali per anziani, disabili e minori in situazioni di disagio, sono state accorpate nel disegno di legge n.2574 approvato alla Camera dei deputati il 19 ottobre 2016 e trasmesso al Senato.
Nell’art. 4 il Ddl prevede per gli asili nido, scuole dell’infanzia e strutture sociosanitarie e socio-assistenziali per anziani e persone con disabilità “l’introduzione sistemi di videosorveglianza a circuito chiuso, le cui immagini sono cifrate, al momento dell’acquisizione all’interno delle telecamere, con modalità atte a garantire la sicurezza dei dati trattati e la loro protezione da accessi abusivi”. Inoltre solo l’autorità giudiziaria “in caso di una notizia di reato” potrà visionare le immagini.
L’utilizzo di telecamere o Webcam che permettono la visione in tempo reale delle riprese per finalità promozionali o turistiche (si pensi a quelle collocate sulle spiagge o piste da scii) è consentita a condizione che:
Con sistemi integrati di videosorveglianza si intendono i sistemi centralizzati di videosorveglianza remota (molto utilizzati dagli istituti di vigilanza privata). In questi casi dunque il Titolare dei dati (ossia il proprietario dell’impianto) decide di fornire le riprese ad un società esterna (Responsabile del trattamento) al fine di perseguire ragioni di sicurezza.
Nel caso di collegamento di diversi titolari del trattamento ad un unico centro unico gestito da un soggetto terzo (esempio società di sicurezza/vigilanza) nei confronti di tale soggetto andrà predisposto un atto di nomina a responsabile del trattamento ai sensi degli artt. 28 GDPR; a seguito della nomina quindi il responsabile del trattamento (si pensi da una Società di Vigilanza), assumere il ruolo di coordinatore e gestore dell’attività di videosorveglianza. È inoltre possibile prevedere un collegamento con gli organi di polizia/carabinieri.
Al fine di rispettare le misure di sicurezza prescritte dal Garante con provvedimento del 2010, nonché quanto previsto dal GDPR, sarà necessario avvisare gli interessati delle presenza del sistema di videosorveglianza sia mediante informativa sintetica (cartellonistica), sia attraverso l’informativa estesa recante tutte le informazioni relative al trattamento dati (esempio tempi di conservazione).