L’EDPB pubblica le Linee Guida (3/2019) su GDPR e videosorveglianza: un vademecum con le novità e gli accorgimenti più importanti

L’EDPB ha adottato il 10 Luglio 2019 le “Guidelines 3/2019 on processing of personal data through video devices”. Si tratta di un documento che è al momento aperto alla consultazione pubblica (che si concluderà alla fine della prossima settimana).
Le Linee Guida sono della massima rilevanza in quanto rappresentano il primo documento europeo che applica i principi del GDPR al trattamento dei dati effettuati tramite riprese video. In Italia, infatti, l’ultimo documento in materia è il “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010 (consultabile qui).

Il trattamento dei dati effettuato tramite videoriprese rappresenta una delle aree più rischiose e oggetto di sanzioni da parte dei garanti europei: si pensi alla sanzione di 200.000 € emanata dal garante francese (qui il nostro approfondimento) o quella di 120.000£ del garante britannico (qui il provvedimento);

Analizziamo ora i punti più salienti delle Linee Guida.

I. Il GDPR non si applica nel caso di videoriprese relative a soggetti non identificabili, né direttamente né indirettamente.

ESEMPI PRATICI:

1. Non si applica se le telecamere sono finte o se non sono collegate. 
   N.B. È importante notare che anche nel caso di telecamere finte o non collegate si potranno presentare dei profili relativi alla tutela del lavoratore come sancito dallo Statuto dei lavoratori.
2. Non si applica, nel caso di riprese da un’altitudine elevata, se i dati non possono essere collegati ad una persona precisa;
3. Non si applica nel caso di videocamere integrate nelle auto per il parcheggio se queste sono settate in un modo tale da non riprendere informazioni relative a persone, come ad esempio le targhe o i passanti;

II. “Household exception” – “Eccezione domestica”: le garanzie previste dal GDPR non si applicano nel caso in cui le telecamere riprendano esclusivamente attività domestiche e luoghi privati e non riprendano, anche parzialmente, uno spazio pubblico.

ESEMPI PRATICI:

1. Un turista registra un video delle sue vacanze con il cellulare e con una videocamera personale e lo mostra solo ad amici e famiglia, ma non lo mette a disposizione di un numero indeterminato di persone (ad es. caricandolo su YouTube): NON SI APPLICA IL GDPR;
2. Una persona installa una videocamera di sorveglianza che riprende esclusivamente il proprio giardino: NON SI APPLICA IL GDPR;

III. Non è sufficiente affermare che le telecamere sono installate per motivi di “sicurezza”: bisogna sempre specificare la base legittimante il trattamento dei dati analizzati tramite la videosorveglianza.

Anche se in teoria si applicano tutte le condizioni di liceità stabilite all’articolo 6 (1) del GDPR, quelle che risultano più applicate nella prassi sono il legittimo interesse (art. 6.1. lett. f) e l’esecuzione di un compito di interesse pubblico (art. 6.1. lett. e). Il consenso può essere utilizzato in casi eccezionali.  Quindi sarà opportuno valutare con molta attenzione quale debba considerarsi la base giuridica corretta del trattamento.

IV. Per quanto riguarda le riprese basate sul legittimo interesse: questo deve essere sempre reale e attuale.

Nella pratica, ciò significa che il Titolare deve dimostrare – anche tramite ad esempio un diario degli incidenti o dei danni subiti – di essere in una situazione di pericolo reale prima di incominciare l’attività di videosorveglianza.

ESEMPI PRATICI:

1. Un commerciante vuole aprire una nuova attività ed installare un impianto di videosorveglianza: può giustificare l’impianto dimostrando, anche tramite statistiche, che quel particolare quartiere è oggetto di atti di vandalismo frequenti. Non è sufficiente, nel caso di controlli, riportare statistiche nazionali o generali senza alcun riferimento all’area specifica.
2. Nel caso di attività commerciali caratterizzate innatamente pericolose, come la vendita di preziosi o le stazioni di rifornimento, non c’è bisogno di alcuna dimostrazione per l’installazione di telecamere di videosorveglianza;

V. È obbligatorio dimostrare la necessità dell’installazione di un impianto di videosorveglianza.

Prima di installare le telecamere, il Titolare dovrà utilizzare altri strumenti quali: personale di sicurezza, cancelli telecomandati, illuminazione adeguata, vetri antimanomissione, vernice antigraffiti, ecc. Sarà inoltre necessario limitare geograficamente e temporalmente le videoriprese al minimo indispensabile.

In generale, la necessità di utilizzare telecamere di videosorveglianza coincide con i confini della proprietà. Tuttavia, sono ammesse eccezioni nei casi cui è necessario eccedere questi confini per garantire una tutela effettiva.
ESEMPI PRATICI:

1. Se il titolare di un’azienda vuole difendersi contro i furti, sarà sufficiente installare delle telecamere funzionanti solo negli orari notturni e/o al di fuori degli orari normali di lavoro;
2. Se il titolare deve necessariamente riprendere anche aree non pertinenti alla sua proprietà, deve applicare alcuni accorgimenti tecnici come ad esempio pixellare le aree non rilevanti.
   

VI. È obbligatorio effettuare un bilanciamento degli interessi coinvolti: legittimo interesse del titolare vs. diritti e libertà fondamentali dell’individuo ripreso.

ESEMPI PRATICI:

1. Un parcheggio privato ha subito diversi furti documentati alle macchine parcheggiate. Il parcheggio si trova in un’area all’aperto e l’accesso è aperto anche se i confini sono segnalati chiaramente. L’azienda gestrice ha un interesse legittimo ad installare un impianto di videosorveglianza che prevale su quello degli interessati a non essere ripresi all’interno del parcheggio;
2. Un ristorante vuole installare delle videocamere nei servizi igienici per controllare la pulizia: in questo caso NON è concesso perché il diritto alla riservatezza degli interessati è prevalente;

VII. Videoriprese effettuate sulla base del consenso: attenzione!

Come detto sopra, deve essere usato eccezionalmente come condizione di liceità delle videoriprese. È importante dimostrare che il consenso sia stato prestato liberamente: entrare un’area segnalata con i cartelli non è un’espressione di consenso sufficiente.

VIII. Diritti degli interessati

Gli impianti di videosorveglianza richiedono alcuni adattamenti relativamente ai diritti concessi agli interessati dal GDPR. I titolari devono informare gli interessati con precisione relativamente alle informazioni di cui necessitano per poter soddisfare le richieste di accesso.  Nel caso di richiesta eccessiva o manifestamente infondata, il Titolare può far pagare una somma all’interessato o rifiutarsi di soddisfare la richiesta.

ESEMPI PRATICI:

Se un soggetto richiede l’accesso alle immagini registrate da un impianto di videosorveglianza situato all’ingresso di un centro commerciale con 30.000 visitatori al giorno, dovrà specificare quando ha attraversato l’area indicando al massimo un periodo di 2 ore. Se da queste immagini possono essere individuati altri soggetti, il titolare dovrà anonimizzare la presenza di questi (ad esempio sfocando o pixellando l’immagine) prima di dare la copia all’interessato;

IX. Trasparenza e obblighi informativi: basta il cartello?

Viene consigliato l’utilizzo di un’informativa strutturata (cartello + informativa completa online o cartacea) perché devono essere comunicate tutte le informazioni stabilite all’articolo 13 del GDPR.

X. Periodo di conservazione delle immagini

Il nostro Garante ha sancito un periodo standard di conservazione di 24 ore. Tempi di conservazione superiori devono essere sempre giustificati.