Vademecum Videosorveglianza

VADEMECUM VIDEOSORVEGLIANZA
Premessa
La raccolta, la registrazione, la conservazione e l’utilizzo di immagini configura un trattamento di dati personali.
Le predette operazioni sono pertanto regolamentate sia dal D.lgs 196/2003 (c.d. Codice della privacy) che da alcuni provvedimenti del Garante della privacy, tra cui in particolare si segnala quello dell’8 aprile 2010.
1. Videosorveglianza nei luoghi di lavoro
Nel caso specifico della videosorveglianza nei luoghi di lavoro occorre inoltre tener conto del divieto di controllo a distanza dell’attività lavorativa di cui all’art. 4 L. 300/1970, il quale statuisce che è vietata l’installazione di apparecchiature specificatamente preordinate alla predetta finalità. In particolare, non devono essere effettuate riprese al fine di verificare l’osservanza dei doveri di diligenza stabiliti per il rispetto dell’orario di lavoro e la correttezza nell’esecuzione della prestazione lavorativa.
Fermo restando il citato divieto, l’art. 4 St. Lav. consente l’installazione e l’uso di “impianti e apparecchiature di controllo” dai quali possa derivare “anche la possibilità di controllo a distanza dell’attività dei lavoratori” laddove ciò sia richiesto da esigenze organizzative, produttive o di sicurezza del lavoro.
L’installazione e l’uso di impianti di videosorveglianza devono tuttavia formare oggetto di un preventivo accordo con le rappresentanze sindacali aziendali oppure, in assenza di accordo (o in assenza delle rappresentanze sindacali stesse), di autorizzazione da parte dell’Ispettorato del Lavoro. Più precisamente, in presenza delle RSA/RSU il datore di lavoro è tenuto preliminarmente (ossia prima della installazione stessa dei dispositivi audiovisivi) a tentare un accordo con le stesse: il previo esperimento di un tentativo di accordo con le RSA/RSU è condizione di ammissibilità della successiva istanza all’Ispettorato, o comunque un onere preventivo che il datore di lavoro è tenuto ad assolvere.
Si aggiunga a quanto sopra che l’art. 4 St. Lav., richiedendo espressamente che intervenga un accordo con le rappresentanze sindacali aziendali, lascia intendere che è necessaria la sottoscrizione di una specifica intesa con la RSA/RSU sulle modalità di funzionamento degli impianti in questione. Conseguentemente, non si riterrebbe sufficiente il mero silenzio-assenso delle rappresentanze sindacali stesse.
Infine, laddove nella gestione dell’attività dovesse subentrare un nuovo gestore (e dunque un nuovo datore di lavoro) diverso da colui che aveva in precedenza siglato l’accordo con la RSA/RSU, il subentrante dovrà stipulare un nuovo accordo con la propria RSU/RSA ovvero, in difetto, presentare una nuova richiesta di autorizzazione all’Ispettorato del Lavoro (magari precisando, in quest’ultimo caso, che gli impianti audiovisivi, non modificati, sono stati oggetto di precedente autorizzazione emessa dal medesimo ufficio). Non può infatti continuare a trovare applicazione l’accordo precedentemente siglato (o l’autorizzazione precedentemente ottenuta) e ciò per la semplice ragione che con il subentro di un nuovo gestore (e quindi di un nuovo datore di lavoro) mutano i soggetti legittimati a siglare l’accordo sindacale ovvero il soggetto legittimato a presentare l’istanza all’Ispettorato.
2 Misure di sicurezza e Misure minime
I dati raccolti medianti sistemi di videosorveglianza devono essere protetti con idonee e preventive misure di sicurezza, riducendo al minimo i rischi di distruzione, perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta, anche in relazione alla trasmissione delle immagini (art. 31 e ss. del D.lgs 196/2003).
Sempre con riferimento all’utilizzo di strumenti di videosorveglianza (da intendersi quali strumenti elettronici), la legge impone, tra le altre, il rispetto delle seguenti misure minime di sicurezza (art. 34 del D.lgs 196/2003):
- adozione di procedure di gestione delle credenziali di autenticazione (password);
- protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;
- adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi.
Al riguardo, sovente capita di leggere, negli stessi provvedimenti autorizzativi resi dall’Ispettorato del Lavoro, l’obbligo per il datore di lavoro di dotare il sistema di videoregistrazione immagini di doppia password software di cui una nella disponibilità aziendale e una nella disponibilità di un rappresentante nominato dai lavoratori. I duplicati di dette chiavi devono essere conservati in busta chiuda sigillata, controfirmata dalle persone alle quali sono state affidate le chiavi, e depositati in apposito contenitore di sicurezza. L’accesso alle immagini sarà consentito solo congiuntamente con sistema a “doppia password”, di cui in possesso del responsabile aziendale e una assegnata ad un rappresentante dei lavoratori.
3 Informativa
Gli interessati (clienti, lavoratori etc.) devono essere sempre informati che stanno per accedere ad una zona videosorvegliata. A tal fine, è sufficiente utilizzare un modello di informativa c.d. “minima”, indicante il nome del titolare del trattamento e la finalità perseguita (come da fac-simile allegato alla decisione del Garante dell’8 aprile 2010).
In presenza di più telecamere potranno essere installati più cartelli.
Il supporto con l’informativa: (a) deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti; (b) deve avere un formato ed un posizionamento tale da essere chiaramente visibile in ogni condizione di illuminazione ambientale ed anche in orario notturno (laddove il sistema sia attivo anche in tale fascia oraria); (c)può inglobare un simbolo o una stilizzazione di esplicita ed immediata comprensione.
L’informativa minima dovrebbe poi rinviare ad un testo completo, disponibile agevolmente senza oneri per gli interessati, con modalità facilmente accessibili anche con strumenti informatici e telematici (se ne consiglia l’affissione in parte visibile dei locali ed eventualmente anche la pubblicazione su proprio sito internet).
4. Responsabili e incaricati
Il titolare o il responsabile devono designare per iscritto tutte le persone fisiche, incaricate del trattamento, autorizzate sia ad accedere ai locali dove sono situate le postazioni di controllo, sia ad utilizzare gli impianti e, nei casi in cui sia indispensabile per gli scopi perseguiti, a visionare le immagini (art. 30 D.lgs. 196/2003).
Deve trattarsi di un numero delimitato di soggetti, specie quando il titolare si avvale di collaboratori esterni. Occorre altresì individuare diversi livelli di accesso in corrispondenza delle specifiche mansioni attribuite ad ogni singolo operatore, distinguendo coloro che sono unicamente abilitati a visionare le immagini dai soggetti che possono effettuare, a determinate condizioni, ulteriori operazioni, come ad esempio registrare, copiare, cancellare, spostare l’angolo visuale, modificare lo zoom, ecc.
5 Durata dell’eventuale conservazione delle immagini
Nei casi in cui sia stato scelto un sistema di videosorveglianza che prevede la conservazione delle immagini, in applicazione del principio di proporzionalità (art. 11, comma 1, lett. e), D.lgs 196/2003) anche l’eventuale conservazione temporanea dei dati deve essere “commisurata al tempo necessario - e predeterminato - a raggiungere la finalità perseguita”.
Come previsto al paragrafo 3.4 del provvedimento a carattere generale emanato dal Garante in data 8 aprile 2010, la conservazione deve essere limitata a poche ore o, al massimo, alle 24 ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria. Solo in alcuni casi, per peculiari esigenze tecniche (mezzi di trasporto) o per la particolare rischiosità dell’attività svolta dal titolare del trattamento (ad esempio, per alcuni luoghi come le banche può risultare giustificata l’esigenza di identificare gli autori di un sopralluogo nei giorni precedenti una rapina), può ritenersi ammesso un tempo più ampio di conservazione dei dati che, sulla scorta anche del tempo massimo legislativamente posto per altri trattamenti, si ritiene non debba comunque superare la settimana.
In tutti i casi in cui si voglia procedere a un allungamento dei tempi di conservazione per un periodo superiore alla settimana, una richiesta in tal senso deve essere sottoposta ad una verifica preliminare del Garante, e comunque essere ipotizzato dal titolare come eccezionale nel rispetto del principio di proporzionalità.
L’eventuale conservazione delle registrazioni oltre i limiti sopra indicati espone il titolare del trattamento (a) all’inutilizzabilità dei dati raccolti; (b) all’adozione di provvedimenti di blocco o di divieto del trattamento dei dati disposto dal Garante e all’adozione di analoghe decisioni da parte dell’autorità giudiziaria; e (c) all’applicazione delle sanzioni amministrativa di cui all’art. 162, comma 2-ter del Codice della privacy (il cui importo è compreso tra un minimo di € 30.000,00 ed un massimo di € 180.000,00).
>