Linee Guida 3/2019 sulla videosorveglianza: sempre attuali - parte II

di Angelo Di Perna - Coordinatore per la sicurezza urbana, DPO, esperto in videosorveglianza con knowhow in diritto amministrativo e polizia amministrativa. Ha svolto attività di docente formatore in convegni, eventi formativi e giornate di studio per molteplici PA

Proseguiamo con la disamina delle linee guida in materia di videosorveglianza n. 3 del 2019 iniziata sul numero di Giugno, domandandoci ora quale sia l’ambito di applicazione delle stesse. La risposta è: le linee guida si applicano nel caso di riprese di immagini di persone fisiche identificate o identificabili. Telecamere a bassa risoluzione poste sulle vie di comunicazione stradali per verificare il flusso dei veicoli o la presenza di neve non sono idonee a catturare dati come il numero delle targhe o i volti degli automobilisti. Secondo il Garante, l’installazione di una telecamera non in grado di riprendere immagini o suoni, non comporta trattamento di dati personali.

Riprendiamo l’orientamento del Garante con specifico riferimento alle telecamere finte: «l’installazione di una finta telecamera, non in grado di riprendere immagini o suoni, non comporta un trattamento di dati personali. Il ricorso presentato al Garante dalle persone che ritengono di essere state riprese, e relativo al trattamento delle informazioni eventualmente raccolte, è quindi inammissibile». L’installazione di telecamere può determinare forme di condizionamento nei movimenti e nei comportamenti delle persone in luoghi pubblici e privati (provvedimento generale del Garante del 2004, poi abrogato) ma non comporta un trattamento di dati. 

Quando non si applica il GDPR

Le linee guida specificano in quali casi nel settore della videosorveglianza non si applica il GDPR:

• quando il trattamento viene effettuato da una persona fisica per l’esercizio di attività esclusivamente personale o domestica (art. 2, par. 2.2, lett. c) de GDPR);

• quando il trattamento viene eseguito da parte delle autorità competenti per i fini di prevenzione, indagine, accertamento o perseguimento dei reati e per l’esecuzione delle sanzioni penali, rientrando nel campo di applicazione della Direttiva Europea 2016/680 attuata in Italia con il d.lgs. 18 maggio 2018 n. 51).

Vita privata 

Il Comitato estensore ribadisce che il GDPR non si applica al trattamento di dati personali effettuati da una persona fisica nel corso di attività a carattere esclusivamente personale o domestica e sottolinea come tale eccezione debba essere interpretata in senso restrittivo. Le linee guida richiamano sul punto la sentenza della Corte di giustizia dell’Unione Europea, sentenza nella causa C-101/01. Bodil Lindqvist, 6 novembre 2003 punto 47, che precisa che l’eccezione in esame deve «… interpretarsi nel senso che comprende unicamente le attività che rientrano nell’ambito della vita privata o familiare dei singoli, il che manifestamente non avviene nel caso del trattamento di dati personali consistente nella loro pubblicazione su Internet in modo da rendere tali dati accessibili ad un numero indefinito di persone».

Come capire se un trattamento è domestico?

Per stabilire se il trattamento di immagini di un soggetto possa considerarsi o meno domestico, chi utilizza la videosorveglianza presso il proprio domicilio deve verificare: se ha un qualche tipo di rapporto personale con l’interessato; se la portata o la frequenza della sorveglianza siano indicative di una qualche forma di attività professionale da parte sua e il potenziale impatto negativo della sorveglianza sugli interessati. La presenza di uno qualsiasi degli elementi summenzionati non implica necessariamente che il trattamento non rientri nell’ambito di applicazione della deroga relativa alle attività a carattere domestico; per stabilirlo è infatti necessaria una valutazione complessiva nel caso concreto. 

Cos’è allora la videosorveglianza?

Le linee guida evidenziano come manchi una definizione di videosorveglianza nel GDPR e richiamano la regola tecnica EN 62676-1-1:2014: Video surveillance systems for use in security applications – Part 1-1: Video system requirements, che definisce i tre elementi fondamentali che costituiscono un sistema di videosorveglianza (“VSS”): ambiente video; gestione del sistema; sicurezza del sistema. I componenti di un sistema di videosorveglianza possono essere così suddivisi: mezzi di ripresa; di visualizzazione; di videoregistrazione e di trasmissione.
I principi del GDPR devono essere incorporati in ciascuno dei componenti e applicati durante tutto il ciclo di vita delle immagini. 

Protezione in tutte le fasi

Il titolare del trattamento deve proteggere adeguatamente tutti i componenti di un sistema di videosorveglianza e i dati in tutte le fasi, vale a dire durante la conservazione (dati a riposo), la trasmissione (dati in transito) e il trattamento (dati in uso) degli stessi.

Il Comitato estensore ribadisce, pertanto, che nell’utilizzo dei dispositivi video devono essere applicati i principi del trattamento dei dati personali, di cui all’art. 5 par. 1 del GDPR:

• «liceità, correttezza e trasparenza» (requisiti del trattamento);

• «limitazione della finalità» (dati raccolti solo per scopi definiti e legittimi);

• «minimizzazione dei dati» (adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati);

• modalità delle riprese, dislocazione e gestione delle varie fasi del trattamento;

• «esattezza» (dati esatti e, se necessario, aggiornati);

• «limitazione della conservazione» (dati conservati in una forma che consenta l’identificazione non oltre il tempo minimo necessario);

• «integrità e riservatezza» (assicurare adeguata sicurezza, compresa la protezione, adottando adeguate misure tecniche e organizzative).

Quali finalità?

Le linee guida richiedono che le finalità dei trattamenti delle immagini siano specificate nel dettaglio prima dell’utilizzo e devono essere documentate per iscritto per ogni telecamera in uso. Tale previsione ha un impatto organizzativo complesso per le imprese e le PA, attenuato dalla previsione che le telecamere utilizzate dallo stesso scopo da un singolo titolare del trattamento possono essere documentate insieme. Il motivo del ricorso alla videosorveglianza, ossia la finalità del trattamento delle immagini in via esemplificativa (protezione dei beni, della vita), deve essere riportata nel cartello di segnalazione della presenza delle telecamere. Occorrerà verificare nel tempo in ottica di accountability se sono ancora attuali le finalità del trattamento indicate alla luce delle modifiche organizzative o tecniche verificatesi (es. cambio destinazione locali).