Videosorveglianza sul posto di lavoro e rispetto della privacy

Cosa dice il GDPR relativamente alla videosorveglianza sui luoghi di lavoro? Quali sono gli obblighi e i limiti? In questo articolo spieghiamo cosa deve fare il datore di lavoro che desideri installare un impianto di videosorveglianza sul posto di lavoro nel rispetto della privacy dei propri dipendenti.

L’impianto di videosorveglianza sui luoghi di lavoro

Sono sempre più numerosi i datori di lavoro che desiderano installare un impianto di videosorveglianza all’interno degli ambienti di lavoro.
L’installazione di questi impianti segue un percorso alquanto articolato, ma ormai ben definito, al fine di:

• tutelare il lavoratore da controlli eccessivamente invasivi
• prevenire possibili attività illecite da parte del datore di lavoro

Perché istallare la videosorveglianza sui luoghi di lavoro?

L’impianto di videosorveglianza sul posto di lavoro può essere installato esclusivamente per:

• esigenze organizzative e produttive,
• sicurezza del lavoro,
• tutela del patrimonio aziendale.

Tale impianto però deve essere conforme alla normativa di settore in materia di installazioni di impianti audiovisivi, come previsto dall’articolo 4 della legge 300/1970, meglio nota come statuto dei lavoratori.

Videosorveglianza sui luoghi di lavoro: i lavoratori ripresi devono esprimere il loro consenso

È un argomento che è stato parecchio dibattuto. Una sentenza della cassazione, modificata a brevissima distanza di tempo, aveva inizialmente statuito che:

•  se tutti i lavoratori ripresi avessero dato il consenso all’installazione dell’impianto, non vi sarebbero stati altri vincoli per il datore di lavoro.

Ci si rese però subito conto del fatto che un consenso espresso dal lavoratore poteva non essere libero, come specificamente richiesto dal Regolamento Generale Europeo; il lavoratore poteva infatti essere soggetto a pressioni da parte del datore di lavoro.
Si è ritornati pertanto alla precedente situazione, oggi in vigore, che prevede che il consenso all’installazione dell’impianto non venga espresso dai singoli lavoratori, ma dai loro rappresentanti.
E’ quindi necessario stipulare un accordo sindacale con le RSA o RSU o con i sindacati più rappresentativi piano nazionale.
Se tale accordo non viene raggiunto, si ricorre all’autorizzazione dell’Ispettorato del Lavoro, che ha già messo a disposizione dei datori di lavoro una modulistica, finalizzata proprio la gestione della richiesta di autorizzazione. Al proposito, vale la pena di ricordare che tale modulistica è stata recentemente semplificata. Se l’autorizzazione viene rilasciata, il datore di lavoro può procedere all’installazione ed attivazione dell’impianto di videosorveglianza.

Protezione dei dati personali: adempimenti del datore di lavoro

Tralasciamo gli aspetti tecnologici, legati alla progettazione, installazione e regolare funzionamento dell’impianto. Prendiamo ora in considerazione i numerosi adempimenti che sono in capo al datore di lavoro per rispettare puntualmente i dettati in materia di protezione dei dati personali.

Informazione sintetica ed informazione completa

Il primo obbligo in capo al titolare del trattamento, vale a dire il datore di lavoro, è quello di installare appropriati cartelli di informazione sintetica ed analitica. In questo modo tutti i soggetti ripresi sono messi al corrente:

• dell’esistenza dell’impianto,
• delle sue finalità,
• del soggetto cui fare riferimento per esercitare il diritto di accesso od avere ulteriori informazioni.

Informazione sintetica

Al proposito, ricordiamo ai lettori che il Comitato Europeo per la Protezione dei Dati ha messo a disposizione un modello di informazione sintetica, che ci auguriamo tutti i titolari vogliano utilizzare; a differenza dei cartelli in plastica prestampati, reperibili presso gli esercizi commerciali, che vendono attrezzature per la sicurezza dell’ambiente di lavoro.

In un’indagine da me condotta, si è rilevato che il 90% dei cartelli offerti in vendita non rispecchia le regole minime di informazione. Queste devono essere fornite all’interessato, vale a dire al soggetto ripreso. Come ebbe occasione di affermare la nostra autorità Garante, con una felice espressione, “l’informazione sintetica e quella in cui la immediatezza fa premio sulla completezza!”

Informazione completa

A valle di questa informazione, che deve essere posta sull’intero perimetro dell’area ripresa, preferibilmente prima di entrare nel campo ripreso da una telecamera, deve seguire una informazione più completa. Composta da esempio da un foglio dattiloscritto formato A4, che potrebbe essere affisso presso la portineria o il punto di accoglienza dell’insediamento produttivo o commerciale.

Il registro del trattamento

L’articolo 30 del Regolamento Generale Europeo prevede che ogni titolare del trattamento, che abbia più di 250 dipendenti, debba obbligatoriamente:

• tenere a disposizione un registro, dove sono riportate le principali caratteristiche tecniche ed operative di tutte le attività di trattamento, svolte dal datore di lavoro.

La gestione di un impianto di videosorveglianza costituisce indubbiamente una attività di trattamento di dati personali, riferiti ai soggetti ripresi; per questo il datore di lavoro deve inserire questo trattamento nel registro dei trattamenti.

Il Regolamento offre un’eccezione per le piccole e medie imprese, vale a dire con meno di 250 dipendenti. Tuttavia gli esperti di protezione di dati personali raccomandano che comunque il datore di lavoro compili una scheda tecnica, seppure semplificata, per questa tipologia di trattamento.

In caso di ispezione da parte dell’autorità Garante, infatti, la disponibilità di questa scheda semplifica di molto le attività ispettive; potrà dare inoltre un rapido riscontro ad eventuali richieste di approfondimenti da parte degli ispettori.

Il documento descritto nell’articolo 25 del Regolamento Generale Europeo

Chiunque installi e gestisca un sistema di trattamento di dati personali deve compilare un documento, nel quale vengono esplorati gli aspetti afferenti alla sicurezza e correttezza del trattamento. Il titolo di questo documento deve rispecchiare il titolo dell’articolo 25:”Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita”.
Ad oggi sono già disponibili alcune tracce di questo documento, cui il titolare potrebbe fare riferimento, se non desidera ricorrere al supporto di uno specialista.

Il documento descritto nell’articolo 35 del Regolamento Generale Europeo

L’elaborazione di questo documento, che fa riferimento alla valutazione di impatto del trattamento stesso, è obbligatoria solo quando questo trattamento può avere un impatto significativo nel contesto, in cui l’impianto è installato.
Il Regolamento Europeo statuisce che questo documento deve essere obbligatoriamente compilato in caso di:

• sorveglianza sistematica su larga scala di una zona accessibile al pubblico (art. 35, par. 3, lett. c) del Regolamento)
• negli altri casi indicati dal Garante (cfr. “Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” dell’11 ottobre 2018).
  
  

Ad esempio, l’utilizzo sempre più allargato di applicativi intelligenti per l’analisi del segnale video può sicuramente costituire un elemento che deve essere inserito nella valutazione di impatto, per i risvolti che intuitivamente tali applicativi possono avere sul controllo dei lavoratori.

Videosorveglianza sui luoghi di lavoro: durata di archiviazione dell’immagini registrate

Una volta fissata la durata di archiviazione, l’impianto deve essere programmato in modo da provvedere automaticamente alla cancellazione delle immagini che superano la durata prescritta. Questo è raccomandato dagli specialisti di progettazione di impianti di videosorveglianza.
Spesso infatti il titolare del trattamento dimentica di effettuare la cancellazione, portando così ad un illecito prolungamento della conservazione dei dati. Per quanto riguarda la durata della conservazione, la regola generale è molto semplice: “la durata di conservazione deve essere la minima compatibile con le finalità della raccolta dei dati stessi”.

Facciamo qualche esempio

Supponiamo che l’impianto venga installato in un supermercato, che normalmente è chiuso la domenica e lunedì. Appare evidente che un’eventuale anomalia, che si sia verificata al sabato sera in fase di chiusura, non potrà essere rilevata prima della riapertura del martedì mattina. Quindi due giorni di durata della conservazione dell’immagini sono affatto legittimi.

Prendiamo invece il caso di un impianto di videosorveglianza che deve riprendere l’interno di una agenzia bancaria. Qui le finalità dell’impianto sono quelle di strumento di prevenzione e documentazione di attività criminose, come la rapina. Appare evidente quindi che la durata della conservazione, fissata in 24 ore, è più che sufficiente ed è pienamente compatibile con le finalità per cui l’impianto viene installato.
Cogliamo l’occasione per ricordare lettori che questo è uno degli elementi che più spesso viene analizzato dagli Ispettori dell’autorità Garante. Quindi, quale che sia la durata di archiviazione dei dati, prima della cancellazione automatica o manuale, il titolare deve essere in grado di dare ampia giustificazione della durata prescelta.

Videosorveglianza sui luoghi di lavoro: l’osservazione delle immagini

Spesso il datore di lavoro installa alcuni monitori, che sono messi a disposizione dei supervisori operativi, per osservare le immagini dell’impianto di videosorveglianza.
Le condizioni da rispettare sono le seguenti:

• coloro che osservano le immagini sono designati addetti al trattamento
• l’immagine dei monitori, da essi utilizzati, non deve essere visibili da terzi.

A volte invece le immagini vengono trasmesse a distanza, ad esempio ad un istituto di vigilanza privata, per effettuare video ronde notturne o per osservare l’accaduto, in caso di ricezione di una segnalazione di allarme. In questo caso occorre definire contrattualmente il profilo degli operatori dell’istituto di vigilanza, ad esempio designando l’istituto stesso come responsabile del trattamento.

In conclusione

Oggi gli impianti di videosorveglianza stanno incontrando favore crescente, sia da parte dei titolari del trattamento, sia da parte dei soggetti ripresi; a condizione le indicazioni operative sopra illustrate siano rispettate.

Le indicazioni operative non sono difficili da rispettare, ma devono essere tutte opportunamente motivate e documentate!

Per saperne di più consulta i volumi di EPC Editore:

Aggiornati con i corsi di formazione dell’Istituto INFORMA: