Le telecamere di videosorveglianza si sono spesso rivelate fondamentali per ricostruire eventi collegati a illeciti di natura civile o penale, ma il loro impiego a questo scopo apre il problema dell’interpretazione del principio di necessità rispetto al trattamento dei dati, declinato in Italia in maniera particolarmente restrittiva. Scopriamo come può tutelarsi il titolare dell’impianto.
Nell’ambito del recente caso di cronaca che ha visto un giovane uccidere l’ex-fidanzata (responsabile solo di voler interrompere un rapporto sentimentale ormai concluso), ha destato particolare riprovazione la sequenza di immagini dell’aggressione alla ragazza, ripresa quasi integralmente dalle telecamere di un’azienda che inquadravano il luogo del delitto.
Se, dal punto di vista processuale-penale, non esiste una differenza sostanziale tra questa modalità di raccolta delle immagini e le occorrenze in cui le immagini pervengono all’attenzione della procura tramite terze parti, è però vero che dai pochi fotogrammi pubblicati dagli organi di stampa si vede chiaramente come le telecamere non fossero posizionate secondo le linee guida e i provvedimenti dell’autorità Garante per la protezione dei dati personali (ossia al solo fine di tutelare il perimetro della struttura ripresa).
Questo significa che, nonostante le telecamere abbiano consentito di individuare il criminale in fuga e metterlo di fronte alle proprie responsabilità (il mandato d’arresto europeo è scattato proprio a seguito degli elementi acquisiti dal filmato), teoricamente il titolare dell’impianto di videosorveglianza (e, quindi, del trattamento dei dati) rischia un’ispezione da parte del Nucleo Speciale Privacy della guardia di finanza e una sanzione a opera del Garante per possibile installazione non corretta o non adeguata delle telecamere di sorveglianza.
Declinazioni più o meno rigorose
L’evento ripropone il problema dell’interpretazione del principio di necessità del trattamento, che in Italia viene declinato in modalità particolarmente restrittiva, con la limitazione della conservazione delle immagini a sole 24 ore (contro i sette giorni previsti dalla precedente disciplina) e la progressiva riduzione degli spazi esterni che è possibile inquadrare con le telecamere.
Purtroppo, accade molto spesso che - in conseguenza del mascheramento, delle prescrizioni delle autorità territoriali e dei ridotti settori di inquadramento - gli apparecchi TVCC installati negli spazi esterni e nelle aree pubbliche siano ben poco utili al titolare del trattamento nei casi in cui si rende necessario fornire elementi utili all’individuazione di eventuali ipotesi di reato o altri illeciti avvenuti nel raggio d’azione dei dispositivi.
Sorge spontanea, quindi, la domanda sulla correttezza d’interpretazione del principio, che contrasta palesemente con le esigenze collettive attuali, conseguenti a un momento storico in cui viene progressivamente ridotto il personale delle forze dell’ordine e il controllo del territorio viene sempre più affidato agli strumenti tecnologici (che però, nella maggior parte dei casi, non sono pubblici ma appartengono ai privati).
Cosa dice il GDPR
Il Regolamento Europeo 679/2016 non fa menzione delle restrizioni che il Garante ha imposto alle imprese italiane, limitandosi a specificare che le attività di trattamento dei dati devono essere proporzionate alla base giuridica individuata e alla finalità dichiarata dal titolare. Per esempio, se il proprietario di un negozio deve proteggere le vetrine dalla classica rottura a opera di un ladro o da atti di vandalismo con pietre e bastoni durante le ore notturne o in occasione di eventi e manifestazioni, sarà probabilmente giustificata l’apertura del settore di inquadramento delle telecamere all’intera sede stradale.
Risulta infatti evidente a tutti che un malvivente posizionato al centro della strada oppure sul lato opposto non potrebbe mai essere inquadrato da una telecamera che riprende solo il marciapiede accanto al muro perimetrale. Si potrebbe fare lo stesso discorso anche per quanto riguarda la risoluzione delle immagini: si tratta di un fattore che sempre più spesso viene tirato in ballo per valutare l’efficacia di un impianto rispetto alla finalità perseguita, poiché frequentemente accade che le immagini riprese a distanza di qualche decina di metri siano inutilizzabili per procedere all’identificazione di un criminale.
È ovvio che un impianto ad alta risoluzione, con telecamere brandeggiabili dotate di zoom e settori di inquadramento piuttosto ampi, potrebbe dar luogo a trattamenti non conformi alle finalità dichiarate dal titolare; tuttavia, una simile ipotesi non appare configurabile come un illecito così grave da giustificare misure preventive tanto restrittive - anche in ossequio a un elementare principio di ragionevolezza.
Alla ricerca di coerenza
Il Regolamento Europeo 679/2016, come la precedente Direttiva 96/46CE, non pone l’attenzione sulla tecnologia utilizzata ma, correttamente, sulle finalità del trattamento dei dati e sul modo concreto di operare del titolare, che dev’essere censurato quando non tratta le informazioni in modo conforme al GDPR - tant’è che tra le prerogative del Garante è inclusa quella di prescrivere al singolo specifiche azioni correttive. A ben vedere, i poteri del Garante sono prevalentemente orientati a un compito di tipo educativo e consulenziale - non alla repressione. Anche le linee guida sull’applicazione delle sanzioni sono improntate al principio di gradualità e le condotte caratterizzate da buona fede e collaborazione sono considerate come elementi positivi di valutazione.
Quest’impostazione normativa fa comprendere, qualora ce ne fosse bisogno, che non è l’impianto in quanto tale a poter essere oggetto di una sanzione, ma l’utilizzo che il titolare fa dei dati acquisiti nel momento in cui esce dall’alveo della finalità dichiarata o viola i principi del GDPR. Si tratta di un’interpretazione ormai acquisita anche nella pratica dagli ispettorati territoriali del lavoro, che non si preoccupano di verificare come sia installato l’impianto e quali aperture focali abbiano le telecamere, ma cercano piuttosto di capire se gli apparecchi siano posizionati in zone “sensibili” (con riferimento alla possibilità di controllo a distanza dei lavoratori) e se il sistema di videosorveglianza sia conforme, almeno dal punto di vista della collocazione dei dispositivi, alla finalità dichiarata.
Lo stesso discorso vale, ormai da tempo, per i termini di conservazione delle riprese, che nelle stazioni ferroviarie, negli aeroporti e, più in generale, nelle strutture a elevato rischio di coinvolgimento in atti criminali o terroristici sono di gran lunga superiori rispetto alle 24 ore attualmente previste e anche ai sette giorni che in precedenza costituivano lo standard.
Le esigenze di ricostruire quanto accaduto, infatti, non consentono di limitare il trattamento dei dati a periodi così brevi (né di variare rapidamente le misure di sicurezza tecniche e organizzative) in siti di grandi dimensioni e importanza: basta pensare, per esempio, che un criminale con l’intenzione di rapinare una banca o eludere la sorveglianza per depositare un ordigno esplosivo potrebbe effettuare sopralluoghi anche 15 o 30 giorni prima di passare all’azione.
A maggior ragione, non si comprende perché una struttura privata, che ha a disposizione molte meno risorse rispetto all’ambito pubblico o alle realtà sopra menzionate, debba limitare la raccolta dei dati a sole 24 ore, con restrizioni che il più delle volte vanificano le misure di sicurezza adottate.
I punti chiave del disciplinare
Si rivela dunque di fondamentale importanza, per il titolare che decide di installare delle telecamere, redigere un vero e proprio disciplinare per la videosorveglianza da tenere a disposizione dell’autorità Garante in caso di controllo - soprattutto al fine di giustificare la durata del trattamento.
Oltre a procedere con una valutazione d’impatto sui diritti e sulle libertà degli interessati così da motivare l’installazione e l’utilizzo delle telecamere, sarà importante anche indicare le esigenze specifiche dell’impianto in base a cui non bastano 24 ore per garantire il perseguimento dell’obiettivo, operando un bilanciamento di interessi necessario a evidenziare che il diritto del titolare prevale su quello dei controinteressati.
In sostanza, non si può gestire la videosorveglianza con “quattro pezzi di carta” (magari acquistati in cartolibreria) poiché le modalità e necessità del trattamento devono invece essere documentate e appropriate alle esigenze del titolare. Ogni impianto dev’essere come un abito su misura e le prescrizioni standard del Garante per la privacy o i modelli che si possono acquistare sul mercato non possono sostituire l’analisi di un professionista volta ad adeguare il sistema di gestione dei dati e l’impianto di videosorveglianza alle esigenze emerse in seguito all’analisi delle attività che in concreto il titolare vuole tutelare, garantire, sorvegliare, prevenire.
Il principio di necessità nei rapporti comuni
Se nel caso di telecamere collocate all’interno degli spazi comuni condominiali può apparire corretta la restrizione legata all’uso dei dispositivi - perché, in base al principio di necessità, inquadrare soltanto la porta o, invece, tutto il vano scale non comporta alcuna differenza per la tutela della proprietà - le cose cambiano quando si tratta di inquadrare, per esempio, l’autovettura in un garage comune: questo tipo di sorveglianza comporta infatti la necessità di controllare le aree circostanti e di avere la disponibilità dei filmati ben oltre 24 ore, perché l’utente potrebbe non utilizzare il veicolo anche per giorni e accorgersi di un atto vandalico o di un danneggiamento causato da altro condomino anche a distanza di diverso tempo, perdendo qualsiasi possibilità di ricostruire l’accaduto.
