L’installatore in tribunale: la “memoria corta” della videosorveglianza

Nel precisare che tramite la videosorveglianza si trattano dati personali (immagini-suoni) ai sensi dell’art. 4, comma 1, lett. b, del DLgs, 196/2003 (il Codice della Privacy, ora ampiamente modificato dopo l’applicazione del GDPR ed il DLgs, 101/2018, ma comunque tutt’ora in vigore), il Provvedimento del Garante 8 aprile 2010 declina una serie di esempi – che vanno dai rapporti di lavoro agli ospedali, dalle scuole ai sistemi e via discorrendo, rammentando che la videosorveglianza deve comunque conformarsi ai principi di liceità, necessità e proporzionalità. Ovviamente si tratta di indicazioni generali, che nel tempo hanno comportato una serie di valutazioni sotto i profili operativi. E pertanto il Garante, lungi dal limitarsi a tale provvedimento generale, ha proceduto all’emanazione di una serie di provvedimenti di dettaglio attinenti l’oggetto che qui ci interessa. Per meglio comprendere lo “stato dell’arte”, vogliamo rammentarne alcuni emessi nel corso del 2018, al fine di comprendere quali sono i profili di maggiore attualità sul tema. Per oggi vogliamo concentrarci su…

I tempi di conservazione delle immagini

Un argomento certamente importante è quello che concerne l’allungamento dei tempi di conservazione delle immagini registrate attraverso sistemi di videosorveglianza. È noto che il termine previsto a livello generale dal Garante è pari a 24 ore, estendibili a 48 in alcune ipotesi e fino a massimo una settimana in caso di attività pericolose come per le banche. È ancora più noto che molti vorrebbero mantenere le immagini registrate finché c’è spazio sul disco. Non vogliamo entrare nella diatriba sull’utilità della conservazione di immagini per un periodo più o meno lungo, ma ci interessa segnalare un apposito provvedimento del 1° marzo 2018, attinente la richiesta di un importante soggetto istituzionale. In sintesi, la richiesta accolta dal Garante di allungamento del termine di registrazione delle immagini fino a 12 mesi, si fonda sulla duplice esigenza di aumentare i livelli di sicurezza degli stabilimenti a seguito di recenti fatti criminosi, e di conformarsi alle regole dettate a livello comunitario per l’accreditamento nel proprio settore di riferimento. È interessante rilevare che tra gli elementi portati a sostegno da parte del richiedente figurasse anche l’impedimento occorso nell’aderire alle richieste derivanti dall’Autorità giudiziaria a causa della mancanza di flussi video risalenti nel tempo e relativi a fatti che si sono poi dimostrati penalmente rilevanti.

Conservazione delle immagini e sistemi intelligenti

L’estensione del tempo di conservazione delle immagini è stata oggetto di un ulteriore provvedimento del Garante (n. 198 del 5 aprile 2018) reso particolarmente interessante dal fatto che ha ad oggetto un impianto di videosorveglianza dotato di videocamere “intelligenti” e installato presso un sito produttivo.

Il provvedimento ammette l’estensione della conservazione richiesta da una società, appartenente ad un gruppo multinazionale, che in qualità di titolare del trattamento aveva presentato istanza di verifica preliminare relativamente all’impianto posto presso il sito ove vengono conservati i prodotti lavorati e presso il quale si erano verificati diversi episodi di furto. Oltre alla tutela del personale dipendente e del patrimonio aziendale, tale ampliamento delle misure di sicurezza derivava dalla necessità di ottenere la certificazione del sito per l’esportazione, secondo gli standard elaborati dall’Organizzazione Mondiale delle Dogane, che impongono il monitoraggio delle merci dalla fabbrica al luogo di destinazione e l’adozione di efficaci misure di controllo dei luoghi di carico, scarico e stoccaggio delle merci.

Tra gli elementi presi espressamente in considerazione dal Garante, vi è il fatto che il sistema di videosorveglianza era stato oggetto di un preventivo accordo con le rappresentanze sindacali, all’esito del quale si era stabilito che le immagini vengano conservate per un periodo non superiore alle 72 ore e che il sistema possa essere abilitato con le funzioni di videoanalisi video motion detection e motion tracking. Da notare che il servizio di videosorveglianza viene gestito tramite un responsabile esterno del trattamento con la cui centrale operativa sono collegati in remoto sia l’impianto di videosorveglianza che l’impianto di allarme, e che l’accesso da parte del titolare alle immagini registrate è consentito esclusivamente a personale debitamente incaricato.

Anche l’informativa è stata oggetto di valutazione: questa infatti viene resa dal titolare sia in forma semplificata mediante apposita cartellonistica conforme al provvedimento del Garante in materia di videosorveglianza, nonché tramite l’affissione all’ingresso dei locali videosorvegliati di una comunicazione contenente tutti gli elementi richiesti dalla normativa applicabile.

Il titolare ha chiesto di potere conservare le immagini per 11 settimane (un termine ampiamente superiore alle 72 ore) quale periodo di durata massima del ciclo di spedizione della merce dal magazzino al luogo di destinazione più lontano. La necessità di estendere il periodo di conservazione delle immagini è stata oggetto di un successivo accordo con le rappresentanze sindacali nel senso di estendere i tempi di conservazione delle immagini ad 11 settimane, a condizione che tale estensione venga autorizzata dall’Autorità Garante. Quest’ultima, nell’autorizzarla ha sottolineato come le misure proposte, oltre a garantire la tutela del patrimonio aziendale e del personale dipendente, siano strettamente correlate all’obbligo di assicurare adeguati standard di sicurezza cui la Società in qualità di soggetto esportatore, al fine di monitorare accuratamente la filiera delle spedizioni.

In chiusura del provvedimento vi è una considerazione che appare fondamentale anche per comprendere il rapporto tra GDPR e videosorveglianza. Il Garante osserva (si era nell’aprile 2018) che a decorrere dal 25 maggio 2018 sarebbe entrato in applicazione il Regolamento (UE) 2016/679, e che pertanto il titolare del trattamento in ossequio al principio di responsabilizzazione di cui all’art. 24 dovrà valutare autonomamente la conformità del trattamento che intende effettuare alla disciplina vigente, verificando il rispetto di tutti i principi in materia. Tra i quali rileva la necessità di effettuare una valutazione di impatto ex art. 35 GDPR ovvero attivare la consultazione preventiva. E pertanto, secondo le indicazioni del Garante, rammentiamo sempre il principio di accountability nello svolgimento delle attività professionali.