Le nuove linee guida sulla videosorveglianza

Il provvedimento dell’European Data Protection Board n. 3 è del mese di luglio 2019 ed è il primo basato sui nuovi principi del Regolamento 679/2016. L’approfondimento è solo all’inizio, perché - data l’importanza dell’argomento - proseguiremo la rubrica anche sul prossimo numero di Sicurezza, n. 10 - dicembre 2019

a cura dell'avvocato Gianluca Pomante

È passato ormai oltre un anno dall’entrata in vigore del Regolamento Europeo 679/2016 e numerose sono le perplessità per la sua applicazione ai vari ambiti in cui è presente un trattamento di dati personali.

Uno dei più interessanti, almeno dal punto di vista scientifico, è il settore della videosorveglianza, che implica una serie di valutazioni anche sulla finalità e necessità del trattamento, che spesso mettono in difficoltà le aziende che devono installare un impianto.

L’aggiornamento del precedente provvedimento dell’Autorità Garante per la protezione dei dati personali, risalente al mese di aprile del 2010, appariva difficile e potenzialmente foriero di ulteriori equivoci sul lecito utilizzo delle immagini acquisite.

È giunto in soccorso degli operatori del settore il provvedimento n. 3, del mese di luglio 2019, varato dal gruppo di lavoro europeo meglio noto come European Data Protection Board, composto dai rappresentanti delle autorità nazionali per la protezione dei dati e dal Garante europeo.

Il nuovo provvedimento sulla videosorveglianza, che di fatto mette a riposo ogni precedente interpretazione, perché è il primo ad essere basato sui nuovi principi del Regolamento 679/2016, non è un atto a contenuto normativo ma, come per i provvedimenti generali del Garante italiano, consiste in una linea guida, un orientamento, che deve necessariamente essere tenuto in considerazione, per l’autorevolezza della fonte da cui proviene, ma che può anche essere motivatamente disatteso.

Il ruolo dei sistemi di identificazione biometrica

La parte introduttiva del provvedimento pone l’attenzione non tanto sull’uso dei sistemi di videosorveglianza tradizionali, che in ogni caso hanno fortemente condizionato l’attuale società dell’informazione, ma soprattutto sull’associazione tra immagini e persone e tra persone e comportamenti, a opera dei sistemi di identificazione biometrica, basati sul rilevamento dei volti, e dei sistemi assistiti dalla cosiddetta intelligenza artificiale, che associano a determinati comportamenti le reazioni automatiche dei sistemi informatici.

Dato che è stato accertato che gli algoritmi che sovrintendono al funzionamento di tali dispositivi sono tutt’altro che infallibili e, anzi, si comportano diversamente anche in base all’età e all’etnia del soggetto inquadrato, i componenti dell’EDPB evidenziano come tali malfunzionamenti o funzionamenti diversi potrebbero accentuare le discriminazioni e i contrasti sociali e sono quindi necessarie adeguate garanzie a tutela degli interessati.

Priorità o soluzioni alternative

A conclusione dell’introduzione, il gruppo di lavoro evidenzia come la videosorveglianza non debba essere considerata la soluzione prioritaria quando sono possibili altre soluzioni. L’uso dei sistemi di videosorveglianza, infatti, dovrebbe essere limitato alle sole situazioni in cui altre soluzioni non sono ipotizzabili e non solo quando rappresentano la scelta più comoda o più economica (fattore che, in seguito alla continua riduzione dei prezzi conseguente alla digitalizzazione, sta diventando il principale motivo di ricorso alle telecamere).

L’uso dei sistemi di videosorveglianza attuali comporta l’immagazzinamento di una notevole quantità di dati personali degli interessati, anche per effetto dell’aumento della risoluzione che permette di rilevare ogni dettaglio, rendendo così più facilmente identificabili e profilabili quando entrano nel raggio d’azione degli impianti. Per questa ragione gli articoli 35 e 37 del GDPR richiedono la valutazione d’impatto sui diritti e sulle libertà degli interessati nell’ipotesi di monitoraggio sistematico di aree pubbliche e la nomina di un Responsabile per la protezione dei dati che aumenti la tutela degli interessati.

Il caso delle “fake cameras”

Contrariamente a quanto in precedenza - temerariamente - ipotizzato dal Garante Italiano, il gruppo di lavoro dell’EDPB esclude che possa applicarsi il Regolamento Europeo all’ipotesi delle “fake cameras”, ossia delle telecamere finte, poiché, ovviamente, in assenza di qualsiasi trattamento, manca l’elemento essenziale per l’applicazione della norma.

Allo stesso modo non possono essere considerati soggetti al regolamento quei dispositivi che nascono con scopi diversi dal videocontrollo o dalla videoregistrazione, giacché, ovviamente, l’identificazione di chi si trova accidentalmente nel raggio d’azione del dispositivo deve considerarsi solo casuale (come avviene, per esempio, nell’ipotesi di una telecamera di retromarcia di un’autovettura). Sottolinea, inoltre, il provvedimento, come non sia parimenti soggetto al GDPR l’utilizzo di sistemi di videosorveglianza o videocontrollo da parte delle autorità preposte alla prevenzione o repressione dei reati e alla tutela dell’ordine pubblico e della pubblica sicurezza, perché tali ambiti sono sottratti all’applicazione del GDPR e sottoposti, invece, alla Direttiva Europea 680/2016.

Quando le riprese riguardano un uso familiare

Dopo tale premessa, prosegue il novero delle esclusioni dall’ambito di applicazione del GDPR con la descrizione dei casi in cui il trattamento è considerato “domestico”. In tutte le situazioni in cui le riprese riguardano un uso familiare o privato e non sono soggetti a diffusione, ritiene il provvedimento che possa applicarsi il principio di esclusione meglio noto come “household exemption”, esclusione familiare. Tale non è, viceversa, la diffusione tramite Internet delle immagini riprese da una telecamera o la registrazione sistematica di ciò che avviene in uno spazio pubblico. Nell’ipotesi di pubblicazione tramite social network, in realtà, il GDPR prevede espressamente l’esclusione dei dati utilizzati per fini domestici, e quindi anche dei filmati ripresi da eventuali telecamere private, ma appare evidente che, in tale ultima ipotesi, si dovrà operare un necessario bilanciamento tra finalità della pubblicazione e potenziale lesivo dei diritti dell’interessato.

Quando la videosorveglianza è lecita

Dal punto di vista delle basi giuridiche del trattamento, la videosorveglianza può essere ritenuta lecita per diversi motivi, tra i quali il legittimo interesse del titolare a effettuare le riprese per tutelare il proprio patrimonio o salvaguardare l’incolumità dei propri dipendenti sui luoghi di lavoro, l’esercizio di una funzione pubblica o la tutela di un interesse pubblico da parte delle Istituzioni o di concessionari di pubblico servizio, il consenso degli interessati nell’ipotesi di evento promozionale che prevede le riprese e la pubblicazione su Internet delle immagini rilevate dalle telecamere durante la festa.

Il provvedimento si dilunga su diversi esempi al fine di rappresentare con chiarezza le modalità di applicazione del criterio del legittimo interesse, sottolineando come “... ai sensi dell’articolo 21, il responsabile del trattamento può procedere alla videosorveglianza dell’interessato solo se si tratta di un interesse legittimo, convincente e che prevalga sugli interessi, i diritti e le libertà dell’interessato...”.

Il legittimo interesse

Il legittimo interesse dev’essere una situazione di effettiva necessità, valutata alla luce dei danni o delle conseguenze che potrebbero derivare al titola del trattamento qualora non proceda all’installazione e all’utilizzo del sistema di videosorveglianza, restando invece escluse tutte le situazioni in cui la necessità appare solo fittizia o di comodo. Per esempio, l’apertura di un negozio e il timore di reati contro il patrimonio può giustificare l’installazione di un sistema di videosorveglianza ma l’indicazione dei motivi non può limitarsi a citare generiche statistiche sulla criminalità nazionale dovendosi invece propendere per l’analisi della situazione ambientale in cui il negozio dev’essere aperto.

Anche l’apertura di un negozio intrinsecamente a rischio, come un’attività di “compro oro” o di gioielleria, può ovviamente legittimare l’installazione delle telecamere poiché a prescindere dalle statistiche vi è il fondato rischio che, senza tale deterrente, un malintenzionato potrebbe essere portato a commettere un reato anche in una zona precedentemente non considerata pericolosa. 

Accesso riservato

Questo contenuto è riservato agli abbonati alla rivista.

Se sei abbonato, fai per visualizzare il contenuto, altrimenti abbonati

Sei abbonato a Sicurezza ma non hai mai effettuato l’accesso al sito?
Registrandoti qui con la stessa e-mail utilizzata per la sottoscrizione del tuo abbonamento, entro 24 ore verrai abilitato automaticamente alla consultazione di tutti i contenuti riservati agli abbonati.

Per qualsiasi problema scrivi a abbonamenti@newbusinessmedia.it

LASCIA UN COMMENTO

Inserisci il tuo commento
Inserisci il tuo nome