GDPR e Videosorveglianza: quali sono obblighi e sanzioni?

Con il termine “videosorveglianza” si intende l’attività di controllo a distanza svolta tramite l’utilizzo di telecamere, registratori ed altri apparati in grado di assicurare la ripresa e la registrazione di immagini.

La videosorveglianza, utilizzata sia in ambito pubblico che privato, è sottoposta a rigorose regole volte a tutelare la privacy e la libertà delle persone, definite dal Regolamento UE 2016/679 (GDPR) e da diversi provvedimenti emanati dal Garante della Privacy.

L’attività di videosorveglianza è consentita se sono rispettati i seguenti principi:

• deve essere lecita: funzionale allo svolgimento delle funzioni istituzionali in caso di enti pubblici, rispettosa degli obblighi di legge in caso di enti privati, oppure se vi è un consenso espresso da parte delle persone riprese;

• deve essere necessaria: limitata ai soli casi nei quali l’obiettivo non può essere raggiunto con diverse modalità;

• deve essere proporzionata: l’uso di telecamere deve costituire la misura ultima di controllo, idonea soltanto quando altre misure si sono rilevate insufficienti o inattuabili;

• deve avere una finalità: i sistemi di videosorveglianza possono essere predisposti solo per specifiche finalità di propria competenza (come il controllo della propria attività) e non per finalità esclusivamente di sicurezza pubblica.

L’installazione di impianti di sorveglianza in ambienti privati è del tutto libera e non necessita di alcuna autorizzazione, a condizione che le telecamere (compresi i videocitofoni) non inquadrino spazi collettivi o luoghi di passaggio pubblico. Inoltre, qualora il sistema utilizzato conservi le riprese effettuate, queste non potranno essere in alcun modo diffuse.

Nel caso in cui il sistema di videosorveglianza sia installato in un ambiente pubblico o all’interno di un’azienda, sopraggiungono diversi obblighi, tra cui l’obbligo dell’informativa ovvero la necessità di informare gli interessati della presenza di una zona sorvegliata con cartelli espliciti, comprensibili e sempre visibili.

Il supporto con l’informativa deve:

• essere collocato prima del raggio di azione della telecamera;

• avere un formato ed una posizione tale da essere visibile in ogni condizione ambientale, anche quando il sistema sia attivo in orario notturno;

• includere un simbolo di esplicita e immediata comprensione.

Il Garante ha stabilito inoltre che venga effettuata una verifica preliminare, attivata d’ufficio o a seguito di un interpello del titolare, quando vi sono rischi specifici per i diritti e le libertà fondamentali in relazione alla natura dei dati, alle modalità di trattamento e agli effetti che questo può determinare.

La verifica preventiva deve essere obbligatoriamente effettuata anche su tutti i sistemi di videosorveglianza dotati di software che dispongono di riconoscimento facciale e di associazione dei dati biometrici e sui sistemi intelligenti che sono in grado di rilevare automaticamente comportamenti o eventi anomali.

La mancata o incompleta notificazione al Garante è punita con una sanzione amministrativa dai 10.000 ai 60.000 € come previsto dall’art. 163 del Codice Privacy.

Tutti i dati raccolti mediante sistemi di videosorveglianza devono essere protetti con idonee e preventive misure di sicurezza, per ridurre il rischio di perdita, distruzione (anche accidentale) e soprattutto l’accesso di persone non autorizzate agli stessi. Devono essere inoltre predisposte misure organizzative per la cancellazione dei dati alla scadenza o dei dati non più necessari.

Le riprese possono essere conservate per un massimo di 24 ore e in alcuni casi specifici è ammesso il prolungamento dei tempi fino a 7 giorni. Per i Comuni e nelle ipotesi in cui l’attività di videosorveglianza sia finalizzata alla tutela della sicurezza urbana, la conservazione dei dati è consentita fino a 7 giorni successivi alla rilevazione, fatte salve specifiche esigenze.

Il titolare o il responsabile del trattamento dovrà segnalare per iscritto tutte le persone che sono autorizzate ad accedere ai locali in cui sono situate le postazioni di controllo, ad utilizzare gli impianti e, nel caso fosse necessario, a visionare le immagini.

Per quanto riguarda le sanzioni, il GDPR e il Codice Privacy introducono un apparato sanzionatorio “misto”: il GDPR disciplina le sanzioni amministrative mentre il Codice Privacy le sanzioni penali.

Il GDPR prevede:

• per la violazione degli obblighi, fino a 10.000 € o fino al 2% del fatturato mondiale annuo dell’esercizio precedente;

• per le violazioni dei principi di base del trattamento, comprese le condizioni relative al consenso, fino a 20.000 € o fino al 4% del fatturato mondiale annuo dell’esercizio precedente;

• per la violazione dei diritti degli interessati, fino a 20.000 € o fino al 4% del fatturato mondiale annuo dell’esercizio precedente.