Il GDPR impone l’obbligo di segnalare il sistema di videosorveglianza: l’interessato deve essere previamente informato che sta per accedere in una zona sorvegliata, per cui l’informativa deve essere collocata prima del raggio d’azione della telecamera ed essere chiaramente visibile agli interessati, in ogni area monitorata dalle telecamere.
Nello specifico, il supporto con l’informativa: deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti;
Deve avere un formato ed un posizionamento tale da essere chiaramente visibile, in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno.
Può inglobare un simbolo o una stilizzazione di esplicita e immediata comprensione, eventualmente diversificati, al fine di informare se le immagini siano solo visionate o anche registrate;
Il cartello area videosorvegliata deve riportare gli estremi identificativi del Titolare del trattamento (la società e/o la ditta) e lo scopo dell’attività di monitoraggio video.
Il sistema impiegato deve essere programmato in modo da operare al momento prefissato l’integrale cancellazione automatica delle informazioni allo scadere del termine previsto da ogni supporto, anche mediante sovra registrazione, con modalità tali da rendere non riutilizzabili i dati cancellati.
In presenza di impianti basati su tecnologia non digitale o comunque non dotati di capacità di elaborazione tali da consentire la realizzazione di meccanismi automatici di expiring dei dati registrati, la cancellazione delle immagini dovrà comunque essere effettuata nel più breve tempo possibile per l’esecuzione materiale delle operazioni dalla fine del periodo di conservazione fissato dal titolare.
Il Garante individua precise finalità, alle quali è preordinato un impianto di videosorveglianza, ossia:
- Protezione e sicurezza del personale;
- Protezione e sicurezza dei clienti (o terzi);
- Protezione della proprietà o del patrimonio aziendale;
- Acquisizione di prove (c.d. controlli difensivi).
Queste finalità devono bilanciarsi con il diritto alla riservatezza e alla dignità delle persone, con particolare riguardo ai lavoratori e alla luce dello Statuto dei lavoratori (legge n. 300/1970).
Il titolare o il responsabile devono designare per iscritto tutte le persone fisiche incaricate del trattamento, autorizzate sia ad accedere ai locali dove sono situate le postazioni di controllo, sia ad utilizzare gli impianti e, nei casi in cui sia indispensabile per gli scopi perseguiti, a visionare le immagini.
Occorre individuare diversi livelli di accesso in corrispondenza delle specifiche mansioni attribuite ad ogni singolo operatore, distinguendo coloro che sono unicamente abilitati a visionare le immagini dai soggetti che possono effettuare, a determinate condizioni, ulteriori operazioni (es. registrare, copiare, cancellare, spostare l’angolo visuale, modificare lo zoom, ecc.).
La nomina dei soggetti autorizzati è un profilo molto importante della disciplina privacy ed è oggetto di vari accertamenti da parte dell’Autorità, che ha riscontrato difformità rispetto a quanto previsto dall’art. 29 GDRP.
Il Titolare del trattamento deve osservare le regole ordinarie per quanto concerne la nomina di responsabili ai sensi dell’art. 28 GDPR.
Le persone fisiche possono, nell’ambito di attività di carattere personale o domestico, attivare sistemi di videosorveglianza a tutela della sicurezza di persone o beni senza alcuna autorizzazione e formalità, purché:
- Le telecamere siano idonee a riprendere solo aree di propria esclusiva pertinenza;
- Vengano attivate misure tecniche per oscurare porzioni di immagini in tutti i casi in cui, per tutelare adeguatamente la sicurezza propria o dei propri beni,
sia inevitabile riprendere parzialmente anche aree di terzi; - Nei casi in cui sulle aree riprese insista una servitù di passaggio in capo a terzi, sia acquisito formalmente (una tantum) il consenso del soggetto titolare di tale diritto;
- Non siano oggetto di ripresa aree condominiali comuni o di terzi;
- Non siano oggetto di ripresa aree aperte al pubblico (strade pubbliche o aree di pubblico passaggio);
- Non siano oggetto di comunicazione a terzi o di diffusione le immagini riprese.