Può l’azienda per cui lavoro estendere il periodo di conservazione delle immagini registrate dall’impianto di videosorveglianza a 15 giorni? Si è verificato un furto e nelle due settimane precedenti era stata notata un’autovettura transitare più volte nei dintorni
È il quesito che abbiamo ricevuto da A. P. di Brescia, un nostro lettore. L'avvocato Gianluca Pomante risponde così.
Il provvedimento generale sulla videosorveglianza dell’8 aprile 2010 consentiva l’estensione del periodo di conservazione delle immagini, per giustificati motivi, fino a un massimo di 7 giorni ma già rispetto a tali linee guida erano state ammesse diverse eccezioni, per esempio in favore di stazioni, banche e aeroporti, in cui è necessario poter ricostruire ciò che è accaduto anche nei mesi precedenti un determinato evento, perché si tratta di obiettivi sensibili che potrebbero essere stati osservati per diverso tempo, da parte di eventuali malintenzionati, al fine di progettare un attentato o una rapina.
Con l’avvento del nuovo Regolamento Europeo sulla protezione dei dati personali, meglio noto come GDPR 679/2016, è cambiato l’approccio del legislatore alle modalità di adozione delle misure di sicurezza all’interno di un’azienda, che devono ora essere valutate, in termini di adeguatezza, dal Titolare del trattamento, rispetto ai beni da proteggere, operando un bilanciamento con i diritti e le libertà degli interessati.
La progettazione di un sistema di videosorveglianza deve quindi tener conto, oltre che delle indicazioni del Garante, anche di tali fattori, e analizzare i rischi connessi al termine di conservazione dai dati, sottoponendo il nuovo trattamento anche alla valutazione d’impatto sui diritti e le libertà degli interessati (DPIA).
Poiché allungando i termini di conservazione aumentano anche i rischi per i diritti fondamentali degli individui e le misure di sicurezza (come la cifratura dei dati e delle comunicazioni) potrebbero non essere sufficienti a compensare le esigenze di sicurezza aziendali, è opportuno procedere alla consultazione preventiva dell’Autorità Garante per la protezione dei dati personali al fine di ottenere, eventualmente, opportune prescrizioni per operare.
In tal modo, sulla base del semplice progetto e senza ancora eseguire alcun investimento, l’azienda potrà ottenere un parere dell’Autorità sul caso concreto ed eventualmente adeguarsi alle prescrizioni che quest’ultima riterrà di imporre a tutela degli interessati.
Sanzioni - Il trattamento dei dati in un locale commerciale
Un'altra nostra lettrice, M .C. di Bologna, ci ha posto il seguente quesito.
Ho preso in locazione un locale commerciale già dotato di sistema di videosorveglianza ma non so per quanto tempo vengono conservate le immagini. In caso di controllo, di chi è la responsabilità per eventuali sanzioni?"
La risposta del nostro avvocato Gianluca Pomante è la seguente.
Il titolare del trattamento è individuato dal Regolamento Europeo 679/2016 nel soggetto che opera le scelte e predispone gli strumenti necessari a operare il trattamento dei dati, al fine di tutelare i propri interessi e, nel caso di un sistema di videosorveglianza, va individuato nel gestore del locale, che lo utilizza, evidentemente, per preservare il proprio patrimonio, per esigenze organizzative, per tutelare la sicurezza delle persone. È in capo al titolare che permane quindi la responsabilità per la valutazione dell’adeguatezza dei termini di conservazione delle immagini rispetto alle finalità perseguire e ai beni da tutelare.
Come più volte chiarito, occorre operare un corretto bilanciamento tra gli interessi del titolare e i diritti fondamentali degli individui che entrerebbero nel raggio d’azione delle telecamere per potersi eventualmente discostare dalle indicazioni fornite dall’Autorità Garante con le linee guida del 2010 che, altrimenti, restano un’indicazione ben precisa su come impostare il sistema di videosorveglianza. Attenzione anche a presumere di non avere responsabilità per non aver installato le telecamere, perché già presenti.
Sull’argomento della responsabilità, l’Autorità si è già pronunciata con il provvedimento n. 31 del 21 gennaio 2019, specificando che, ai sensi dell’art. 3 della L. 689/1981, “l’errore può ritenersi scusabile, e quindi sussistere la buona fede, quando tale errore si fondi su un elemento positivo, estraneo all’agente e idoneo a determinare in lui la convinzione della liceità del suo comportamento, oltre alla condizione che da parte di tale agente sia stato fatto tutto il possibile per osservare la legge così che tale elemento positivo deve risultare non ovviabile dall’interessato con l’uso dell’ordinaria diligenza”.
Ne deriva che il gestore non potrà semplicemente spiegare, in caso di controllo, di aver trovato l’impianto di videosorveglianza già installato ma dovrà invece essere in grado di dimostrare di averlo controllato (eventualmente affidandosi ad una ditta specializzata) e di aver operato una corretta valutazione al fine di giustificare i tempi di conservazione delle immagini e di aver agito per rispettare le norme vigenti.
