Istallazione circuito di video sorveglianza su locali del Municipio

L’argomento è vastissimo per cui si forniranno le indicazioni necessarie per ogni singolo passaggio da garantire. Nel caso sia necessario un approfondimento relativamente ad una specifica fase si potrà aprire un focus nell’ambito di ulteriori quesiti.

Il datore di lavoro che intenda installare un sistema di videosorveglianza all’interno del proprio contesto lavorativo, prima dell’installazione e della messa in esercizio dell’impianto, è chiamato a svolgere un dettagliato processo di valutazione per la compliance rispetto agli obblighi relativi ad almeno due distinti profili normativi: da un lato la normativa in materia di protezione dei dati personali e, dall’altra, quella giuslavoristica.

Al riguardo, è opportuno premettere come l’immagine ripresa dal sistema di videosorveglianza debba essere ricompresa nell’ampia definizione di “dato personale”, così come offerta all’art. 4, n. 1, Regolamento UE 679/2016 (GDPR), laddove sia possibile identificare la persona fisica. L’estesa definizione di “trattamento”, offerta dal successivo punto numero 2, include poi attività quali la raccolta, la conservazione o la mera attività di consultazione. Da ciò si deduce che la semplice visualizzazione delle immagini riprese dal sistema in tempo reale costituisce già di per sé un trattamento dei dati personali.

Sotto il profilo degli adempimenti formali da porre in essere, come chiarito nel Provvedimento in materia di videosorveglianza dell’8 aprile 2010 e nelle FAQ sulla videosorveglianza del dicembre 2020 del Garante per la protezione dei dati personali (GPDP), è fatta richiesta al titolare del trattamento di informare gli interessati che stanno per accedere a una zona videosorvegliata. Ogni soggetto che transita nell’area videosorvegliata e viene ripresa dal sistema deve essere avvisato di tale circostanza.

A tal fine, viene prevista la necessaria presenza di un modello di “informativa minima” (adeguata cartellonistica), di cui la stessa Autorità ha reso disponibile un fac-simile, allegato alle richiamate FAQ, sulla scia di quanto già previsto nelle Linee guida 3/2019 sulla videosorveglianza dell’European Data Protection Board (EDPB), adattabile in ragione del contesto e che, come indicato nel citato provvedimento del 2010:

• deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti;

• deve avere un formato ed un posizionamento tale da essere chiaramente visibile in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno;
• può inglobare un simbolo o una stilizzazione di esplicita e immediata comprensione, eventualmente diversificati al fine di informare se le immagini sono solo visionate o anche registrate. Nel caso in cui il sistema fosse collegato con le forze di polizia, nell’immagine presente nel cartello dovrebbe altresì essere illustrata tale circostanza, così come dovrebbe essere inserita all’interno dell’informativa estesa.

Sul punto, inoltre, la FAQ n. 4 del Garante ha chiarito come non sia necessario: “rivelare la precisa ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza. L’interessato deve poter capire quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario”.

È necessario, inoltre, che l’informativa minima faccia rinvio a un modello di informativa estesa redatto ai sensi e contenente le informazioni di cui all’art. 13 GDPR, reso disponibile agevolmente agli interessati e con modalità facilmente accessibili ad esempio mediante affissioni in bacheche, siti web e con modalità intelligibili, così come stabilito dall’art. 12 GDPR.

Per quanto attiene alla condizione di liceità del trattamento, che dovrà essere indicata all’interno dell’informativa, alla luce delle oggettive difficoltà di acquisire un consenso da parte dell’interessato la base giuridica può essere individuata nel bilanciamento di interessi e, pertanto, nel legittimo interesse del titolare del trattamento (art. 6, GDPR) connesso, ad esempio, a esigenze di sicurezza o di tutela del patrimonio comunale.

Tutti i soggetti ai quali sarà concesso effettuare qualsiasi attività di trattamento che abbia ad oggetto le immagini del sistema di videosorveglianza dovranno essere autorizzati a farlo.

Internamente al comune (titolare del trattamento), dovranno essere pertanto previste apposite nomine per i soggetti designati o autorizzati all’interno delle quali prevedere istruzioni di dettaglio circa gli obblighi e i divieti per tali soggetti. Ciò, senza dimenticare che l’obbligo di fornire specifiche istruzioni ai soggetti sottoposti alla sua autorità, risulta già in capo al titolare in ragione dell’art. 32, comma 4, GDPR.

Qualora l’attività, o una parte di essa, venga esternalizzata (si pensi, ad esempio, alla società di vigilanza che visualizza le immagini e/o ha accesso alle registrazioni; società installatrice che ha accesso al sistema per ragioni di manutenzione e assistenza), il titolare deve procedere alla nomina della società che effettua le attività di trattamento per suo conto, quale responsabile secondo l’art. 28 GDPR. Ne consegue la necessaria indicazione, all’interno del contratto o altro atto giuridico di nomina, delle istruzioni che vincolino il responsabile al titolare del trattamento e che vadano a perimetrarne l’ambito operativo delle attività, oltre alla: “durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento” (art. 28, comma 3, GDPR).

Per queste ragioni occorre evitare, a mero titolo esemplificativo, il posizionamento del monitor in modo tale che le immagini siano visibili da parte di soggetti non autorizzati come, ad esempio, soggetti di passaggio. Tali accorgimenti rientrano tra le misure di sicurezza organizzative adeguate.

Per quanto l’approccio al GDPR sia, già in sé, da considerare “basato sul rischio” (cosiddetto “risk based approach”), in caso di videosorveglianza sorgerà l’obbligo formale per il titolare di redigere una valutazione d’impatto (Data Protection Impact Assessment) tutte le volte in cui il sistema sfrutti nuove tecnologie dalle quali possano derivare rischi per diritti e libertà dei soggetti ad esempio, termocamere, sistemi di facial recognition, collegamenti a sistemi IoT o machine learning, sorveglianza sistematiche su larga scala di zone accessibili al pubblico e nel caso in cui il sistema sia inserito in un contesto lavorativo.

Sotto il profilo della sicurezza appare centrale il concetto di “adeguatezza” di cui all’articolo 32 GDPR. Al titolare, pertanto, sono rimesse le opportune valutazioni per stabilire ex ante quale siano le misure di sicurezza tecniche e organizzative da implementare rispetto al sistema e al contesto nel quale quest’ultimo è inserito. La scelta dovrà essere commisurata rispetto allo stato dell’arte e ai costi di attuazione, nonché alla natura, all’oggetto, al contesto e alle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche.

All’interno degli atti di nomina interni più sopra richiamati potranno essere individuate specifiche modalità e restrizioni per quanto riguarda l’accesso alle registrazioni conservate; ad esempio, si potrà inserire che le stesse siano consultabili solo da parte di taluni soggetti.

Il sistema di videosorveglianza deve poi rispettare i principi di privacy by design e by default di cui all’art. 25 GDPR: in particolare, devono essere previste fin dalla progettazione del sistema di videosorveglianza e per tutta la durata del trattamento effettuato attraverso di esso; inoltre, come impostazione predefinita, il sistema deve essere orientato al rispetto del principio di minimizzazione ovvero trattando i dati in modo pertinente e non eccedente rispetto a quelli che sono gli scopi e le finalità di raccolta.

Proprio quest’ultimo principio dovrà orientare le scelte del titolare in merito ai tempi di conservazione delle registrazioni: il titolare deve individuarli, in base al principio di responsabilizzazione, tenendo in debita considerazione il contesto e le finalità del trattamento, il rischio per i diritti e le libertà delle persone fisiche.

Nel provvedimento del 2010 il Garante indicava per il contesto privato che la conservazione fosse “limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria”. Nelle sue più recenti FAQ del 2010 lo stesso indica come: “nella maggior parte dei casi devono essere cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici”. Pertanto, “quanto più prolungato è il periodo di conservazione previsto tanto più argomentata deve essere l’analisi”.

Anche in questo caso non si potrà prescindere da una autovalutazione da parte del titolare che, nel rispetto del principio di accountability, dovrà dimostrare la fondatezza delle proprie scelte circa la determinazione dei tempi di conservazione con riguardo a scopi e finalità di raccolta.

Resta poi inteso che il titolare deve rispettare gli ulteriori obblighi per lui previsti dalla normativa europea in materia di protezione dei dati personali:

• obbligo di tenuta di un registro del trattamento, all’interno del quale registrare l’attività di trattamento condotta per mezzo del sistema di videosorveglianza;
• procedure interne volte a riscontrare, nei tempi previsti, le eventuali richieste di esercizio dei diritti da parte degli interessati;
• procedure interne volte a rispondere efficacemente, nonché nei termini e nelle modalità di cui agli articoli 33 e 34 GDPR, a eventuali ipotesi di violazione dei dati personali (c.d. data breach);
• idonea e aggiornata formazione del personale e presenza di policy interne (che richiede al titolare di fornire istruzioni nei confronti di tutti i soggetti sottoposti alla sua autorità);
•  nomina del responsabile per la protezione dei dati o Data Protection Officer (DPO).

Inoltre, l’intenzione da parte del datore di lavoro di installare un sistema di videosorveglianza non può prescindere dal rispetto di quanto richiesto dalla cornice normativa giuslavoristica, oltre alla tutela del dato personale.

Il principale riferimento normativo è costituito dall’art. 4 dello Statuto dei Lavoratori (L. 300/1970). In particolare, il primo comma, se da un lato prevede la possibilità di installare “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori”, dall’altro quest’ultima viene circoscritta alternativamente a esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale.

Gli impianti possono essere installati previo accordo collettivo sottoscritto dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere sottoscritto dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale.

Nel caso in cui l’accordo non sia raggiunto, oppure per le realtà dove non siano presenti rappresentanze sindacali, occorre procedere con la richiesta di autorizzazione della sede territoriale dell’Ispettorato nazionale del lavoro o, nel caso di imprese con unità produttive dislocate negli ambiti di competenza di più sedi territoriali, della sede centrale dell’Ispettorato nazionale del lavoro.

Soltanto a seguito del raggiungimento dell’accordo o del rilascio dell’autorizzazione, sarà possibile installare e avviare il sistema.

Appare utile sottolineare come il sistema di videosorveglianza in ambito lavorativo non può basarsi sul consenso dei lavoratori. Ciò in quanto una delle caratteristiche del consenso di cui all’art. 7 GDPR, nonché alle Linee guida sul consenso 5/2020 dell’EDPB, è quello di dover essere liberamente prestato, ossia costituire manifestazione di una libera volontà dell’interessato.

Ciò premesso, alla luce dello squilibrio tra le parti contrattuali del rapporto lavorativo (datore/titolare del trattamento da un lato, lavoratore/interessato dall’altro), occorre concludere che il consenso eventualmente prestato dal lavoratore non potrebbe ritenersi valido.

Inoltre, si considerino anche le novità introdotte dal “decreto trasparenza” (D. Lgs. 104/2022) e, nello specifico, dal nuovo articolo 1-bis nel D. Lgs. 152/2022, il quale potrebbe verosimilmente trovare applicazione nell’eventualità in cui la videosorveglianza possa rappresentare un “sistema decisionale e di monitoraggio automatizzato” incidente sul rapporto lavorativo. Pensiamo, ad esempio, al caso di dispositivi dotati di riconoscimento facciale o connessi a sistemi IoT o di machine learning.

In tal caso, il datore deve fornire al dipendente le ulteriori informazioni, prevedere ulteriori tutele, provvedere alle integrazioni sulla documentazione privacy, nonché effettuare una comunicazione alle rappresentanze sindacali, se presenti, o alle sedi territoriali delle associazioni sindacali comparativamente più rappresentative sul piano nazionale, nei termini già approfonditi.

23 gennaio 2023           Elena Conte

Per i clienti Halley: ricorrente QS n. 2455, sintomo n. 2528