Videosorveglianza e GDPR: le regole del Garante Privacy
Le regole sulla videosorveglianza devono essere valutate alla luce del Regolamento europeo 2016/679 (GDPR) e dei principi applicabili al trattamento dei dati personali.
Il Garante per la protezione dei dati personali ha pubblicato specifiche FAQ sulla videosorveglianza, fornendo indicazioni sulle condizioni da rispettare per l’installazione e l’utilizzo di sistemi di videosorveglianza da parte di soggetti pubblici e privati.
Le indicazioni del Garante tengono conto del GDPR e delle Linee guida 3/2019 dell’EDPB sul trattamento dei dati personali attraverso dispositivi video, adottate nel gennaio 2020.
Videosorveglianza e principio di minimizzazione
L’installazione di un sistema di videosorveglianza deve rispettare il principio di minimizzazione dei dati.
Questo significa che le modalità di ripresa, la posizione delle telecamere e la gestione delle immagini devono essere definite in modo proporzionato rispetto alle finalità perseguite.
I dati raccolti devono essere pertinenti e non eccedenti rispetto allo scopo del trattamento. Non è quindi sufficiente individuare una generica esigenza di sicurezza: il titolare deve valutare concretamente se le riprese siano necessarie e proporzionate rispetto alla finalità perseguita.
Chi è responsabile della videosorveglianza?
In base al principio di responsabilizzazione (accountability) previsto dal GDPR, spetta al titolare del trattamento valutare la liceità e la proporzionalità del sistema di videosorveglianza.
Il titolare può essere, ad esempio:
- un’azienda;
- una pubblica amministrazione;
- un professionista;
- un condominio;
- un’associazione o altro soggetto privato.
La valutazione deve tenere conto del contesto, delle finalità del trattamento e dei possibili rischi per i diritti e le libertà delle persone fisiche.
Informativa e cartelli per la videosorveglianza
Le persone che accedono a un’area videosorvegliata devono essere informate della presenza delle telecamere.
Il Garante prevede la possibilità di utilizzare un’informativa di primo livello, ad esempio attraverso un apposito cartello, che deve essere collocato prima dell’ingresso nell’area videosorvegliata.
Il cartello deve consentire all’interessato di comprendere che sta per entrare in una zona sottoposta a videosorveglianza e deve riportare le informazioni essenziali sul trattamento. Deve inoltre essere possibile accedere alle informazioni di secondo livello contenenti tutti gli elementi previsti dall’art. 13 del GDPR (informativa con il testo completo).
Quanto tempo possono essere conservate le immagini?
Anche il periodo di conservazione delle immagini deve essere definito in relazione alle finalità del trattamento.
Non esiste quindi un unico periodo di conservazione valido per tutti i sistemi di videosorveglianza: la durata deve essere adeguatamente motivata in relazione alle specifiche esigenze del trattamento.
La definizione del periodo di conservazione dovrebbe essere supportata da una valutazione documentata della necessità e proporzionalità del trattamento. In particolare, quando la base giuridica è il legittimo interesse, il titolare può utilizzare la Legitimate Interest Assessment (LIA) per documentare le ragioni che giustificano il trattamento e verificare il corretto bilanciamento tra l’interesse perseguito e i diritti e le libertà degli interessati.
Videosorveglianza: serve l’autorizzazione del Garante?
No. Per installare un sistema di videosorveglianza non è prevista un’autorizzazione preventiva da parte del Garante Privacy.
È invece responsabilità del titolare verificare la liceità del trattamento, individuare una base giuridica adeguata e rispettare i principi previsti dal GDPR.
Il titolare deve inoltre valutare se, in relazione alle caratteristiche del trattamento, sia necessario effettuare una valutazione d’impatto sulla protezione dei dati (DPIA) prima di procedere all’installazione del sistema.
Videosorveglianza: quali adempimenti verificare?
Prima di installare un sistema di videosorveglianza è quindi opportuno verificare:
- la finalità del trattamento;
- la base giuridica;
- la necessità e proporzionalità delle riprese;
- la posizione e l’angolo di ripresa delle telecamere;
- l’informativa agli interessati;
- i tempi di conservazione delle immagini;
- le misure di sicurezza;
- l’eventuale necessità di una DPIA;
- gli eventuali ulteriori obblighi previsti dalla normativa applicabile, anche in ambito lavorativo.
Conclusioni
Il GDPR non vieta l’utilizzo dei sistemi di videosorveglianza, ma richiede che il trattamento delle immagini sia lecito, necessario, proporzionato e adeguatamente documentato.
Lo Studio Patrizia Meo offre consulenza in materia di videosorveglianza e privacy, supportando aziende ed enti nella valutazione degli adempimenti, nella predisposizione della documentazione e nella verifica della conformità del sistema.