Videosorveglianza e privacy: direttive e risoluzioni del Garante

Cos’è la videosorveglianza

La videosorveglianza è l’attività del vigilare a distanza tramite telecamere o altri strumenti in grado di offrire la trasmissione di immagini. Il sistema è composto da telecamere e da un registratore NVR (Network Video Recorder), sul cui disco fisso possono essere memorizzate le immagini con diverse modalità.

Il tema della videosorveglianza è molto importante e delicato, date anche le sue strette implicazioni con la privacy. Per questo il Garante per la Privacy (GPDP) ha fissato alcune direttive fondamentali sia per la fase di installazione degli impianti di videosorveglianza che per la fase di gestione degli stessi. L’installazione di un sistema di videosorveglianza difatti prevede specifiche procedure, cautele, avvisi, limiti.

Chi è il Garante della Privacy

Il Garante per la Protezione dei Dati Personali (GPDP), è un’autorità amministrativa indipendente italiana istituita dalla Legge sulla Privacy n. 675/1996 (poi sostituita dal D. Lgs. N. 196/2003) con lo scopo di tutelare il trattamento dei dati personali e di garantire il rispetto della dignità della persona. Il Garante è l’autorità di controllo indicata anche per l’attuazione del Regolamento generale sulla protezione dei dati personali (GDPR), regolamento dell’Unione Europea in materia di trattamento dei dati personali e di privacy adottato nel 2016 (2016/679).

Tra i compiti di quest’organo, composto da quattro membri eletti dal Parlamento e che possono rimanere in carica per massimo 7 anni, ritroviamo:

• controllare che i trattamenti dei dati personali siano effettuati nel rispetto delle norme di legge;
• ricevere ed esaminare ricorsi, reclami e segnalazioni;
• vietare i trattamenti illeciti o non corretti e, se necessario, disporne il blocco;
• promuovere la conoscenza della disciplina in materia di trattamento dei dati personali;
• erogare eventuali sanzioni amministrative e penali.

Obblighi normativi in materia di videosorveglianza

La regolamentazione in materia di videosorveglianza, riguardante dunque l’installazione e la gestione dei sistemi, è molto complessa ed è disciplinata da norme che vanno dal diritto civile, al diritto penale, al diritto del lavoro, alla normativa a tutela della privacy individuale.

Il DM 37/2008 (Disposizioni in materia di installazione degli impianti all’interno di edifici) stabilisce che:

• i progettisti di impianti devono realizzarli secondo la regola specifiche  (conformità alla normativa e alle regole dell’UNI, CEI, ecc.);
• gli installatori devono rilasciare apposita certificazione di conformità;
• il committente è tenuto ad affidare i lavori ad imprese abilitate e ad adottare le misure necessarie per mantenere le caratteristiche di sicurezza previste.

Il Codice della Privacy (D. Lgs. 196/2003) prescrive obblighi specifici per il committente, il titolare del trattamento delle immagini acquisite, e anche per l’installatore. Questo è stato poi ampliato e in parte modificato dal Regolamento generale sulla protezione dei dati (GDPR o Regolamento UE n. 2016/679), ovvero un regolamento dell’Unione Europea sul trattamento dei dati personali e sulla privacy adottato nell’aprile del 2016, entrato in vigore nello stesso anno e diventato operativo dal 2018. L’obiettivo è quello di rafforzare la protezione dei dati personali e unificare la normativa per i paesi dell’Unione; in Italia infatti il GDPR ha abrogato gli articoli di Codice per la protezione dei dati personali (Codice della privacy) incompatibili.

Il D. Lgs. 81/2008 dispone obblighi specifici per impianti installati in luoghi di lavoro, sia per i committenti (che devono adottare le misure necessarie per salvaguardare i lavoratori), che per i progettisti (che devono rispettare i principi di prevenzione in materia di salute e sicurezza), che per gli installatori (che devono rispettare le norme in materia di salute e sicurezza). Inoltre devono essere rispettate le regole dello Statuto dei lavoratori nell’utilizzo di impianti in azienda.  

Videosorveglianza e regolamentazioni

Come già detto la videosorveglianza è strettamente collegata con la privacy. La libertà è inviolabile e i cittadini devono poter circolare nei luoghi pubblici senza dover subire intromissioni eccessive nella loro privacy; libertà che va, quindi, bilanciata con le esigenze di sicurezza dei cittadini stessi. 

L’installazione e la gestione dei sistemi di videosorveglianza deve rispettare i principi e le norme stabilite dal Garante attraverso il Provvedimento n.99 del mese di aprile 2010 (che, in sostituzione del Provvedimento del 2004, ha fissato requisiti più stringenti per tutelare i diritti del cittadini). Tuttavia, al fine di adeguare il datato Provvedimento alle odierne evoluzioni in materia, il Garante ha pubblicato nel 2020 delle FAQ in materia di videosorveglianza: ciò conforma la disciplina italiana alle novità introdotte dal Regolamento generale europeo sulla protezione dei dati personali e alle Linee guida del 03/2019 sul trattamento dei dati personali attraverso dispositivi video pubblicate dal Comitato europeo per la protezione dei dati (EDPB). Inoltre ciò permette ai cittadini di informarsi in modo piuttosto semplice in materia di diritti e doveri circa questo tema.

I 4 principi fondamentali

Il Garante stabilisce che l’attività di videosorveglianza è consentita se sono rispettati i principi di: 

• liceità: l’uso di sistemi di videosorveglianza è lecito se è funzionale allo svolgimento delle funzioni istituzionali quando si tratta di enti pubblici, oppure, nel caso di privati o enti pubblici economici, se sono rispettati gli obblighi di legge come le norme del Codice Penale che vietano le intercettazioni di comunicazioni e conversazioni (art. 615 bis del Codice Penale) e le norme in materia di controllo a distanza dei lavoratori, o, ancora, se c’è il consenso libero ed espresso da parte delle persone riprese dalle telecamere;
• necessità: l’uso di sistemi di videosorveglianza è necessario quando l’obiettivo non può essere raggiunto con modalità diverse; inoltre deve essere rispettato il principio di minimizzazione dei dati, che devono essere pertinenti e non eccedenti rispetto alle finalità;
• proporzionalità: tale requisito obbliga a ricorrere alle telecamere solo come misura ultima di controllo, cioè quando altre misure sono insufficienti o inattuabili (ad esempio non è ammissibile l’uso di telecamere solo perché l’impianto è meno costoso rispetto ad altri sistemi);
• finalità: chi installa le telecamere può perseguire solo fini di sua pertinenza, cioè può utilizzare le telecamere solo per il controllo della sua attività, ma non può mai utilizzare le telecamere per finalità di sicurezza pubblica (di competenza, invece, delle autorità giudiziarie ed amministrative).  

In genere gli scopi legittimi della videosorveglianza sono la sicurezza e la protezione del patrimonio (per tutelarsi, dunque, da atti di vandalismo, furti, scassinamenti, ecc.). In ambito pubblico la rilevazione dei dati non può essere estesa ad ambiti, aree o attività che non presentino rischi concreti. Allo stesso modo, se la finalità è individuata nella protezione dei beni, il posizionamento di sistemi di videosorveglianza può essere considerato lecito solo laddove sia stata valutata l’inefficacia di misure alternative e meno impattanti (come ad esempio controlli da parte del personale di sicurezza, sistemi di allarme, ecc.).

Adeguamenti al quadro europeo: le FAQ sulla videosorveglianza

Vediamo ora alcune questioni trattate dalle FAQ pubblicate il 5/12/2020 dal Garante della Privacy, funzionali a colmare vari “vuoti” creatisi tra il Provvedimento del 2010 e l’entrata a pieno regime del GDPR, e funzionali ad adeguare al contesto normativo nazionale con le Linee guida EDPB (03/2019) sulla videosorveglianza, rendendole di facile lettura per tutti i soggetti interessati e fornendo chiarimenti e indicazioni. Le linee guida (in formato FAQ) sono state pubblicate su sito web istituzionale del Garante.

Obblighi informativi del titolare del trattamento

Il nuovo vademecum del Garante è utile, innanzitutto, per ribadire gli obblighi del titolare del trattamento, ovvero quei soggetti che decidono di installare videocamere di sorveglianza.

Per installare un impianto di videosorveglianza non è necessario il consenso preventivo né dei soggetti ripresi né del Garante. Occorre, però, esibire un cartello (informativa semplificata), di cui lo stesso Garante fornisce un modello, che avverta i cittadini quando entrano in una zona controllata da telecamere. Il cartello deve essere esposto prima dell’inizio dell’area soggetta a riprese, deve essere visibile anche di notte, e deve indicare i dati del titolare e la finalità delle registrazioni. Non occorre indicare la precisa ubicazione delle telecamere ma il cittadino deve poter capire quali sono le aree coperte. Inoltre nel cartello informativo deve essere indicato se le immagini sono inviate alle autorità di polizia. Va indicato anche il tempo di conservazione delle riprese, che varia in base alla finalità.

Nelle FAQ, nello specifico, si fa riferimento ad un approccio informativo progressivo articolato in due livelli di informazione: il cartello informativo (primo livello) deve rimandare ad una informativa più estesa e completa (secondo livello) contenente tutti gli elementi di cui all’art. 13 del Regolamento, indicando come e dove reperirla (ad esempio affissa in bacheche o locali del titolare del trattamento, o sul suo sito Internet attraverso l’indicazione di un link o di un QR code).

Le telecamere installate per tutela dell’ordine e della sicurezza pubblica (non da privati) non devono essere segnalate, ma il Garante suggerisce comunque l’uso di cartelli informativi per i cittadini. 

Autorizzazioni per l’installazione dei sistemi di videosorveglianza

Come detto, l’installazione di un impianto di videosorveglianza non necessita di consenso preventivo. Non serve dunque l’autorizzazione del Garante ma spetta al titolare del trattamento (un’azienda, una pubblica amministrazione, un professionista, un condominio, ecc.), sulla base del principio di responsabilizzazione (art. 5, par. 2, del Regolamento) valutare la liceità e la proporzionalità del trattamento, tenendo conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti e le libertà delle persone fisiche.

Tempi di conservazione dei dati raccolti

Per quanto riguarda i tempi di conservazione dei dati, la normativa impone che sia fissato un termine alla scadenza del quale le videoriprese devono essere cancellate. A tal proposito il Garante si rifà sempre al principio di responsabilizzazione, ovvero rimette al titolare la decisione temporale (art. 5, par. 2, del Regolamento). I dati registrati devono essere conservati per il solo periodo di tempo necessario calcolato valutando le finalità di acquisizione, il contesto e i rischi per gli interessati (art. 5, par. 1, del Regolamento).

Nei casi in cui l’installazione di un sistema sia collegato ad esigenze di sicurezza e di protezione del patrimonio, un tempo giusto di conservazione potrebbe essere compreso tra le 24 e le 72 ore, in quanto solitamente è possibile individuare eventuali danni entro uno o due giorni; scaduto questo termine, le immagini dovrebbero essere cancellate, preferibilmente mediante meccanismi automatici. Ciò non toglie che in alcuni casi possa essere necessario prolungare i tempi di conservazione delle immagini (ad esempio, nel caso in cui tale prolungamento si renda necessario a dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad un’attività investigativa in corso, o ancora nel caso di chiusura nei fine settimana o in periodi festivi più lunghi).

Nel caso dell’utilizzo da parte dei Comuni di sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico per la tutela della sicurezza urbana, la conservazione dei dati, delle informazioni e delle immagini è limitata ai sette giorni successivi alla rilevazione, eccetto in casi speciali che richiedono ulteriore conservazione.

Obblighi del titolare in veste di datore di lavoro

Nelle FAQ il Garante chiarisce le possibilità per i datori di lavoro di installare un sistema di videosorveglianza nei locali aziendali. L’installazione di videocamere sul luogo di lavoro non è vietata ma è necessario per il datore di lavoro tenere conto dell’art. 4 dello Statuto dei Lavoratori, che disciplina gli strumenti di controllo a distanza dei lavoratori. Esso dispone che gli impianti che possono comportare un controllo a distanza dei lavoratori debbano essere impiegati solo ed esclusivamente per esigenze organizzative, produttive, di sicurezza e per la tutela del patrimonio aziendale. Tali dispositivi possono essere installati solo dopo un accordo stipulato con le rappresentanze sindacali.

Obbligo di valutazione di impatto sulla protezione dei dati personali (DPIA)

L’installazione di impianti di videosorveglianza deve essere realizzata in modo da evitare trattamenti di dati non necessari. Se c’è l’eventualità che si possa presentare un rischio elevato per la privacy delle persone potrebbe essere necessaria la valutazione di impatto e una verifica preliminare del Garante (prior checking, previsto dall’art. 36 del GDPR). Infatti nelle FAQ il Garante dichiara che l’installazione di sistemi di videosorveglianza può comportare la necessità per i titolari di effettuare una valutazione di impatto preventiva (DPIA).

L’effettuazione di una DPIA è richiesta se è previsto l’uso di nuove tecnologie e il trattamento può presentare un rischio elevato per le persone fisiche, in caso di sistemi intelligenti capaci di analizzare immagini ed elaborarle per rilevare automaticamente comportamenti o eventi anomali, segnalarli ed eventualmente registrarli, in caso di sorveglianza sistematica su larga scala di una zona accessibile al pubblico. Negli altri casi la decisione deve essere presa dal titolare in base alle linee guida comunitarie e nazionali.

Inoltre il titolare del trattamento deve istruire le persone autorizzate al trattamento, ovvero coloro che possono accedere ai dati. Il numero di tali soggetti deve essere limitato e la visione delle immagini deve essere consentita solo se è indispensabile. Quindi l’accesso al monitor dove sono visibili le immagini deve essere consentito solo alle persone designate e gli stessi devono essere installati in un locale separato e chiuso.

Riprese illecite rendono le registrazioni inutilizzabili, e possono comportare il blocco e il divieto del trattamento dei dati da parte del Garante. In alcuni casi (quelli più estremi) si può incorrere in reati penali. 

Comuni e sicurezza urbana

L’art. 6, commi 7 e 8, del “Decreto sicurezza” (approvato con il Decreto Legge n.11 del 23 febbraio 2009 e convertito in Legge n. 38 del 23 aprile 2009, e denominato “Piano straordinario di controllo del territorio”), consente ai Comuni di far uso di sistemi di videosorveglianza come forma di prevenzione dei reati e controllo del territorio. Per i Comuni, quindi, non esiste più il limite della finalità delle riprese. 
Ovviamente devono essere garantite misure di sicurezza, come la tracciabilità degli accessi, l’identificazione del personale che ne ha l’autorizzazione, e l’impossibilità di ricostruire i percorsi dei cittadini nell’ambito del territorio comunale. Il comma 8 del predetto articolo prevede che la conservazione dei dati, delle informazioni e delle immagini è limitata ai sette giorni successivi alla rilevazione, fatta eccezione per speciali esigenze. 

Inoltre, laddove non siano possibili forme di controllo alternativo, i Comuni possono installare sistemi di videosorveglianza per controllare discariche di sostanze pericolose ed “eco piazzole” per monitorare le modalità del loro uso, la tipologia dei rifiuti scaricati e l’orario di deposito. Anche in questo caso vige l’obbligo di affissione dei cartelli di avvertimento nelle aree soggette alla videosorveglianza.

Accertamento delle violazioni al codice della strada

Nel caso di telecamere installate per il monitoraggio delle violazioni del codice della strada la circolare del Ministero degli Interni del 21 luglio 2016 prevede che gli apparecchi registrino le immagini solo nel caso di infrazione. Le immagini devono essere usate solo per l’accertamento e la contestazione delle violazioni e successivamente devono essere cancellate.  

La registrazione continua del monitoraggio del traffico conserva i dati in forma anonima, ovvero senza poter identificare i veicoli o le persone, e può essere utilizzata per studi e ricerche sul traffico. 

Videosorveglianza privata

Spesso le persone fisiche (i privati) decidono di installare nell’ambito di attività di carattere personale o domestico sistemi di videosorveglianza a tutela della sicurezza di persone. Molte volte però non sono a conoscenza delle norme basilari che riguardano la riservatezza dei dati. Per questo, il Garante Privacy ha pubblicato una scheda informativa che spiega cosa è consentito e cosa non è consentito fare.

Nell’ambito di attività personali o domestiche i sistemi di videosorveglianza possono essere installati senza alcuna autorizzazione e formalità, purché:

• le telecamere siano essere idonee a riprendere solo le aree di propria pertinenza, per evitare di incorrere nel reato di interferenze illecite nella vita privata (art. 615-bis c.p.)
• siano attivate misure tecniche per oscurare porzioni di immagini ogni volta che sia inevitabile riprendere parzialmente anche aree di terzi
• nei casi in cui sulle aree riprese insista una servitù di passaggio in capo a terzi sia acquisito formalmente e una tantum il consenso del soggetto titolare di quel diritto
• non siano riprese aree condominiali comuni o di terzi (come cortili, pianerottoli, scale, ecc.)
• non siano riprese aree aperte al pubblico (come strade pubbliche, aree di passaggio pubblico)
• le immagini riprese non siano oggetto di diffusione o di comunicazione a terzi.

Nel caso di riprese in locale commerciale non è possibile rivolgere il monitor di controllo verso l’utenza, perché in questo modo i dati raccolti sarebbero diffusi a tutta l’utenza. Inoltre anche in questo caso è necessario indicare la presenza di telecamere con apposita informativa ben visibile (il modello è sempre quello fornito dal Garante) e non è concesso installare i dispositivi in ambienti che ledano la dignità della persona (bagni, camerini, ecc.).

Inoltre è possibile installare videocamere per filmare l’interno della propria abitazione (smart cam) e in questo caso non si applicano le norme in materia di tutela dei dati personali, essendo le riprese a fini personali. Le riprese tuttavia non possono essere comunicate a terzi (tranne le forze dell’ordine).

Non è ammissibile, però, l’utilizzo di videocamere per spiare chi lavora all’interno dell’abitazione (badanti, babysitter, collaboratori, ecc.). In questo caso è necessario informare per iscritto i lavoratori della presenza delle telecamere e specificare le finalità delle riprese. Inoltre è necessario evitare il monitoraggio di ambienti che ledano la dignità della persona, come i bagni.

Nel caso dell’impianto di sistemi di videosorveglianza in condominio l’installazione deve essere deliberata dall’assemblea condominiale, con il consenso della maggioranza dei millesimi dei presenti. Secondo la normativa, le telecamere devono essere segnalate con appositi cartelli e le registrazioni devono essere conservate per un periodo limitato, che comunque non superi i 7 giorni.

Altre casistiche

L’installazione di telecamere su veicoli privati adibiti ad uso pubblico, come i taxi, è consentita purché siano rispettati i limiti e le norme. 

Nel caso dei trasporti pubblici la videosorveglianza sui mezzi e presso le fermate è lecita in situazioni di particolare rischio. L’angolo di visuale deve essere circoscritto all’area di permanenza, con inquadrature sulla sola pensilina.

E’ consentito l’uso di videocamere di sorveglianza negli istituti scolastici, ma solo quando indispensabile per la tutela dell’edificio e dei beni scolastici. La presenza delle telecamere deve essere segnalata. Le riprese devono comunque essere circoscritte alle aree interessate da eventuali furti o atti vandalici. Le aree esterne possono essere riprese anche durante le lezioni, mentre le aree interne possono essere riprese solo negli orari di chiusura. 

Non è invece consentito l’uso di videocamere di sorveglianza nelle aule universitarie.  

Indagine su videosorveglianza e privacy del 2022

Data l’importanza del tema della videosorveglianza e dell’impatto che questa ha sui dati personali che raccoglie, il Garante italiano è intervenuto varie volte per sensibilizzare sull’argomento e per monitorare il rispetto della normativa a livello nazionale. Per la prima metà del 2022 infatti ha inserito nel “Piano delle attività ispettive” per l’anno corrente un’attività di controllo dei sistemi di videosorveglianza: sono molti i titolari che non rispettano la normativa mettendo a rischio i dati personali raccolti.

La Federprivacy ha condotto e pubblicato un’indagine i cui risultati sono stati pubblicati nel rapporto “Videosorveglianza & Privacy tra cittadino, professionisti e imprese”. Dall’indagine emerge che su un campione di 2000 individui intervistati solo l’8% che è entrato in un esercizio pubblico dotato di un sistema di videosorveglianza afferma di aver trovato esposto un regolare cartello informativo in conformità con il Regolamento UE; nel 38% dei casi non c’è nessun cartello; per il restante 54% dei casi è esposto un cartello che però non risulta compilato adeguatamente a causa di riferimenti normativi obsoleti o sbagliati.

Per quanto riguarda le imprese circa il 15,2% delle sanzioni stabilite dal momento dell’introduzione del GDPR sono relative a violazioni commesse mediante telecamere e strumenti di videosorveglianza, per un ammontare complessivo di circa 3,9 milioni di euro. Appena il 3% delle aziende italiane intervistate che ha un referente privacy o un DPO (Data Protection Officer, figura aziendale introdotta dal Regolamento UE, il cui compito è quello di osservare, valutare e organizzare la gestione del trattamento di dati all’interno di un’azienda pubblica o privata) ha sede al sud.

È evidente e preoccupante la mancanza di consapevolezza tra gli addetti ai lavori (ma anche fra i cittadini) circa l’importanza del rispetto delle regole in materia di tutela della privacy per il buon funzionamento di una società civile, nonostante siano passati ormai tempo da quando i garanti europei hanno pubblicato le Linee Guida n.3/2019 per fornire ogni chiarimento necessario. Purtroppo, ad oggi il mancato rispetto delle garanzie a tutela della riservatezza è più spesso dovuto a negligenza e al rifiuto di rispettare regole percepite come troppo gravose e di scarsa rilevanza.

Martina Malavolta

© Riproduzione Riservata