Videosorveglianza ed esigenze di sicurezza: l’impatto del GDPR

Su Ambiente&Sicurezza sul lavoro n.2/2019, nell’articolo “Videosorveglianza ed esigenze di sicurezza. L’impatto del GDPR” di Paolo G. Piccioli (Senior Security Manager & Security Coach), analizziamo i capisaldi che guidano l’applicazione concreta e corretta della normativa sulla protezione dei dati personali in materia di videosorveglianza: essi trovano fondamento, oltre che nel Codice Privacy e nel GDPR, nel Provvedimento in materia di videosorveglianza del Garante Privacy del 2010.
L’articolo completo è disponibile per gli abbonati alla rivista Ambiente&Sicurezza sul Lavoro.

La decisione di impiegare la videosorveglianza, sia per usi privati che pubblici, richiede un’attenta valutazione preventiva dei potenziali benefici in rapporto all’impatto sul diritto alla privacy, sulle libertà fondamentali e sulla dignità e riservatezza personali di coloro che possono trovarsi nella zona di copertura delle telecamere. Si tratta, cioè, di trovare il giusto equilibrio fra le esigenze di libertà, riservatezza e sicurezza degli individui, vincendo una certa resistenza e diffidenza sociale nei confronti dell’evoluzione tecnologica degli impianti TVCC, la cui “social sustainability” è strettamente connessa alla loro percezione sociale, alla sensibilizzazione pubblica circa la loro utilità e alla corretta gestione dei rischi connessi al loro impiego.

In Italia, non esiste una vera e propria legislazione specifica sulla videosorveglianza: il quadro normativo di riferimento va individuato nelle disposizioni vigenti in materia di privacy, compresi i provvedimenti e pareri ad hoc del nostro Garante. Le immagini che rendono possibile l’identificazione o la semplice riconoscibilità – anche indiretta – di persone fisiche, costituiscono a tutti gli effetti “dati personali” e, di conseguenza, ricadono sotto la disciplina del D.Lgs. 30 giugno 2003, n. 196 (c.d. “Codice Privacy“) e del Regolamento Generale Europeo per la Protezione dei Dati Personali, meglio noto con l’acronimo inglese GDPR (General Data Protection Regulation). Le attività di raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, raffronto o interconnessione, limitazione, cancellazione o distruzione di immagini acquisite mediante l’uso di sistemi di videosorveglianza configurano un trattamento di dati personali, tutelato dall’art. 1 del GDPR.

L’intuibile esponenziale incremento d’impiego dei sistemi TVCC in ambito pubblico e privato aveva destato l’attenzione dell’Autorità italiana per la tutela della riservatezza personale fin dall’entrata in vigore della Legge 675/1996: il Garante emanò un primo disciplinare degli impianti di videosorveglianza a carattere generale (c.d. “Decalogo” del 29 novembre 2000), al fine di salvaguardare i diritti e le garanzie dei cittadini, nel rispetto del principio di proporzionalità fra mezzi impiegati e fini perseguiti. Il Decalogo conteneva già tutte le cautele fondamentali da adottare per svolgere un’attività di videosorveglianza non invasiva: obbligo di informativa, obbligo di notificazione, periodo di conservazione delle immagini, divieto di controllo a distanza dei lavoratori, diritto di accesso ai dati. Principi garantisti tuttora fondanti nella vigente normativa di riferimento.
Con la pubblicazione del D.Lgs. 196/2003, il Garante emanò un articolato Provvedimento integrativo il 29 aprile 2004, poi sostituito da quello dell’8 aprile 2010, che a tutt’oggi, stante la sua natura prescrittiva, regge l’intera architettura degli impianti di videosorveglianza a salvaguardia del diritto alla privacy.
Il citato Provvedimento del Garante del 2010 afferma che la raccolta, la registrazione, la conservazione e, in generale, l’utilizzo di immagini configura un trattamento di dati personali e, in virtù di ciò, vanno applicati i principi previsti dall’art. 5 del GDPR: il Data Controller dovrà agire per finalità determinate, esplicite e legittime, in modo lecito, corretto e trasparente nei confronti dell’interessato, limitando la conservazione delle informazioni raccolte al tempo strettamente necessario al conseguimento delle finalità del trattamento e adottando adeguate misure di protezione e sicurezza dei dati.
L’osservanza di tali principi normativi consente, peraltro, di dimostrare che il trattamento delle immagini avviene nel rispetto del principio di trasparenza e rendicontazione (o di “accountability”) previsto dall’art. 24 del GDPR: tenuto conto della natura, del campo di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento deve attuare misure tecniche e organizzative adeguate, ed essere in grado di dimostrare di aver agito secondo conformità. Sotto una nuova veste, si ripropone quell’onere della “documentazione delle scelte” che il Garante Privacy, con grande lungimiranza, aveva già previsto nel Provvedimento generale in materia di videosorveglianza del 2004.

Riferimenti bibliografici:
Videosorveglianza ed esigenze di sicurezza: l’impatto del GDPR
Paolo G. Piccioli (Senior Security Manager & Security Coach)
Ambiente&Sicurezza sul lavoro n.2/2019

Conosci la rivista Ambiente&Sicurezza sul Lavoro?

Dal 1985 un aggiornamento competente e puntuale per i professionisti della sicurezza.
Ogni anno 11 fascicoli con approfondimenti normativi, tecnici e applicativi delle leggi; risposte pratiche ai dubbi che s’incontrano nella propria professione; aggiornamenti su prodotti e servizi per la prevenzione.
Scopri la rivista Ambiente & Sicurezza sul Lavoro