Guida agli obblighi GDPR per la Videosorveglianza: cartelli, informativa, DPIA, tempi di conservazione, sanzioni e regole per aziende, enti pubblici e privati.
La videosorveglianza è uno strumento utile, ma richiede attenzione alle regole privacy.
In ambito pubblico e privato, l’installazione di telecamere deve rispettare il GDPR, le indicazioni del Garante Privacy e, nei luoghi di lavoro, anche le tutele previste dallo Statuto dei Lavoratori.
Con videosorveglianza si intende il controllo a distanza effettuato tramite telecamere, registratori e sistemi in grado di riprendere o registrare immagini.
Ai fini privacy, le immagini di una persona fisica sono dati personali - come previsto dell’Articolo 4 del GDPR - quindi il Regolamento si applica ogni volta che il trattamento consente l’identificazione, anche indiretta, di un soggetto.
La disciplina si applica anche quando le immagini sono solo visualizzate in tempo reale, senza registrazione, perché la raccolta è già un trattamento di dati personali.
In via generale, non serve un’autorizzazione preventiva del Garante Privacy per installare telecamere.
Invece, vale sempre il principio di responsabilizzazione - all’Articolo 5 del GDPR - in cui viene sancito che è il titolare del trattamento che deve verificare se esistono:
In alcuni casi particolari possono servire procedure specifiche, soprattutto nei luoghi di lavoro o negli impianti pubblici.
L'installazione di un impianto di videosorveglianza varia in base alla natura del soggetto che lo richiede.
La Pubblica Amministrazione opera per la tutela dell'interesse collettivo, mentre i soggetti privati e le imprese devono bilanciare le proprie esigenze di protezione con i diritti di riservatezza dei cittadini.
Gli enti pubblici possono installare sistemi di videosorveglianza quando il trattamento è necessario per un obbligo legale o per un compito di interesse pubblico, o connesso all’esercizio di pubblici poteri - ai sensi dell’Articolo 6 del GDPR e Articolo 2 del Codice Privacy.
Se le telecamere sono collocate su pubblica via per finalità di sicurezza urbana, serve un patto con la Prefettura, con indicazione puntuale delle aree e del numero di telecamere.
Non è consentito usare telecamere nate per sicurezza urbana per finalità amministrative diverse, salvo casi previsti dalla legge.
Per privati e imprese, la base giuridica può essere il legittimo interesse del titolare purché le riprese siano limitate alle aree di propria pertinenza e giustificate da esigenze concrete di tutela di persone, beni o patrimonio aziendale.
Le telecamere devono essere orientate in modo da evitare, per quanto possibile, aree di terzi o spazi non necessari al trattamento.
Se l’impianto è in un contesto lavorativo, si applicano anche le regole dell’Articolo 4 dello Statuto dei Lavoratori e dell’Articolo 114 del Codice Privacy.
La trasparenza è uno degli obblighi più importanti nella videosorveglianza. Il titolare deve adottare un’informativa a due livelli:
Il cartello deve indicare le informazioni essenziali e rimandare in modo chiaro alla pagina con l’informativa completa.
Il cartello va collocato prima del raggio d’azione della telecamera, quindi fuori dall’area effettivamente ripresa.
Deve essere ben visibile, leggibile, e posto in una posizione che consenta all’interessato di accorgersi della videosorveglianza prima di entrare nella zona controllata.
Il cartello deve inoltre indicare in modo semplice come consultare l'informativa completa - ad esempio tramite QR code, link o sito web. Se queste informazioni non sono facilmente accessibili, il titolare potrebbe non rispettare gli obblighi di trasparenza previsti dal GDPR.
Tra gli errori più sanzionati ci sono:
Sono errori critici anche il mancato richiamo ai diritti degli interessati, l’assenza dei tempi di conservazione e il rinvio a una pagina web difficile da trovare.
La prassi del Garante Privacy mostra che queste omissioni vengono considerate violazioni sostanziali, non semplici formalità.
La DPIA - Valutazione d'impatto della protezione dei dati - è obbligatoria quando la videosorveglianza comporta sorveglianza sistematica su larga scala di una zona accessibile al pubblico - Articolo 35 del GDPR.
Deve essere prodotta all’avvio del trattamento e, come sancito dal GDPR, deve analizzare:
Nel contesto lavorativo la DPIA deve essere specifica e dedicata al rischio per i dipendenti, perché il monitoraggio sul lavoro comporta una particolare vulnerabilità degli interessati.
Le immagini devono essere conservate per un tempo limitato e proporzionato alle finalità perseguite come previsto dall'’Articolo 5 del GDPR.
In via indicativa, il periodo ordinario è di 24-48 ore, salvo esigenze specifiche motivate e documentate.
Periodi più lunghi sono possibili solo in casi particolari, ad esempio per festività, chiusure, esigenze di sicurezza o richieste dell’autorità.
Oltre a informativa e basi giuridiche, il titolare deve tenere il registro dei trattamenti, salvo i casi di esenzione previsti dall’Articolo 30 del GDPR.
Se intervengono installatori, manutentori o fornitori esterni che trattano dati per conto del titolare, va stipulato un accordo - ex Articolo 28 GDPR.
Devono inoltre essere adottate misure tecniche e organizzative adeguate, come accessi autenticati, tracciabilità delle operazioni e protezione contro accessi non autorizzati.
In condominio e in ambito privato vale sempre il principio di proporzionalità.
Le telecamere non devono riprendere più del necessario e, per quanto possibile, devono evitare aree comuni non pertinenti o suolo pubblico.
Anche i videocitofoni possono rientrare nella disciplina privacy se raccolgono immagini di persone identificabili.
Le violazioni in materia di videosorveglianza sono soggette al regime sanzionatorio previsto dall’Articolo 83 GDPR e dall’Articolo 166 del Codice Privacy.
Le sanzioni amministrative pecuniarie previste dal Regolamento Europeo sulla Privacy si dividono in due scaglioni principali, in base alla gravità dell'infrazione:
I due limiti sono alternativi e non cumulativi, ma si applica il più alto tra i due nei casi previsti.
Nella determinazione dell’importo, il Garante Privacy valuta una serie di criteri:
Possono incidere anche elementi attenuanti, come:
Oltre alla sanzione economica, il Garante Privacy può disporre misure correttive ai sensi come
Il trasgressore può inoltre definire la controversia adeguandosi alle prescrizioni del Garante e pagando un importo pari alla metà della sanzione irrogata, entro il termine previsto per il ricorso.
In sintesi, installare un impianto di videosorveglianza senza un’attenta valutazione dei rischi e senza la corretta documentazione espone al concreto rischio di sanzioni anche molto elevate. Garantire la piena conformità al GDPR non è soltanto un obbligo di legge, ma il modo migliore per proteggere la tua organizzazione, preservare la riservatezza e agire in totale trasparenza.
Verifica subito se la tua attività è soggetta agli obblighi privacy, quali sono i provvedimenti da adottare e qual è il Piano Privacy giusto per te.
Ti garantiamo la nostra assistenza specialistica per tutti gli aspetti relativi al nostro servizio e agli adempimenti Privacy.
Uno dei nostri esperti è a tua disposizione e ti risponderà gratuitamente.