Videosorveglianza: “occhio” a non incorrere in sanzioni

Le esigenze possono essere varie: tutela del patrimonio aziendale, protezione dei dipendenti, controllo dei macchinari, verifica dell’operato dei lavoratori. La risposta a tutte queste esigenze solitamente è una sola: impianto di videosorveglianza.

Ogni azienda, ente o organizzazione ha un proprio impianto di videosorveglianza, siamo sicuri però che sia a norma e che, in caso di controlli o segnalazioni, non ci faccia incorrere a sanzioni anche pesanti?

Partiamo proprio da qua, il Garante ha già sanzionato, anche pesantemente, diverse aziende. Qualche esempio:

• Ordinanza ingiunzione nei confronti di Rebirth s.r.l. - 7 aprile 2022: 15.000€ per assenza di idonea informativa e mancato accordo con l’ispettorato del lavoro;
• Ordinanza ingiunzione nei confronti di Gioielleria caradonna - 1 dicembre 2022: 2.000€ per assenza informativa (su segnalazione da parte della polizia locale)
• Ordinanza ingiunzione impresa individuale “Woolen” - 1° dicembre 2022: 3.000€ per informativa non ben visibile (su segnalazione della polizia locale)
• Ordinanza ingiunzione l’esercizio commerciale denominato “Joy Unique Collection”- 1° dicembre 2022: 6.000€ per mancata informativa e autorizzazione (su segnalazione della polizia locale)

Cosa ci dicono queste sanzioni?

Il Garante ha, al momento, emanato 169 ingiunzioni nell’ambito della “Videosorveglianza”, di gran lunga quello più sanzionato dal Garante privacy (al secondo posto troviamo infatti la macro-categoria “Informative” su cui il Garante ha emanato 8 ingiunzioni). Questo per due ordini di motivi:

• Praticamente tutte le aziende in Italia, di tutte le tipologie, hanno installato un impianto di videosorveglianza;
• Molto spesso è la polizia locale che segnala l’inidoneità dell’impianto; quindi, non occorre aspettare l’intervento diretto del Garante o della Guardia di Finanza ma anche la polizia locale può intervenire sull’argomento, inviando la segnalazione al Garante che a quel punto si attiva per richiedere maggiori informazioni o procedere direttamente con una ispezione.

Quindi chiunque abbia un impianto di videosorveglianza o ha intenzione di installarlo è esposto e rischia la sanzione.

Cosa richiede la normativa?

Prima dell’installazione dell’impianto si dovrebbe procedere con un’analisi approfondita che ci permetterà di capire se l’impianto può essere installato e come può essere installato (ci sono alcuni frangenti in cui una telecamera non può essere assolutamente attivata). Se l’impianto è già stato installato occorre procedere con urgenza agli step successivi per poterlo adeguare il più velocemente possibile.
Dopo questa prima analisi occorre capire chi verrà ripreso dalle telecamere poiché potrebbe essere necessario effettuare una DPIA (Data Protection Impact Assessment), ossia una approfondita valutazione del rischio sul trattamento relativo alla videosorveglianza. La valutazione comporta, ad esempio, l’analisi degli strumenti utilizzati, delle misure di sicurezza, dei soggetti autorizzati ad accedere alle immagini, etc. Il Garante, infatti, ha stabilito che è obbligatorio effettuare una DPIA nel caso di:

• Impianti che riprendano su larga scala zone accessibili al pubblico;
• Trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti. In tal caso oltre alla DPIA occorre procedere con la richiesta dell’autorizzazione da parte dell’ispettorato territoriale del lavoro o del sindacato (ove presente).

Una volta effettuata la valutazione è ottenuto un ok a procedere, si deve produrre la documentazione obbligatoria:

• l’informativa di primo livello (la classica cartellonistica) da apporre prima delle zone riprese dall’impianto;
• l’informativa di secondo livello, ossia quella completa da mettere a disposizione dell’interessato;
• l’analisi sui tempi di conservazione: non esiste infatti un’indicazione precisa sui tempi di conservazione delle immagini ma l’azienda dovrà valutare per quanto tempo è necessario conservare le immagini in base alle proprie esigenze e caratteristiche.

Cosa dobbiamo fare per non incorrere in sanzioni?

Una sola cosa: non sottovalutare la videosorveglianza, è un trattamento di dati personali (ebbene sì le immagini, i video e l’audio sono dati personali) che può facilmente diventare un trattamento molto delicato e sensibile, quindi a rischio. Occorre dunque analizzare attentamente cosa si vuole riprendere, chi si vuole riperdere, come lo si vuole fare e perché lo si vuole fare e attuare tutte le misure imposte dal GDPR e dal Garante. 
Tutte le analisi da effettuare sono documenti di fondamentale importanza: saranno indispensabili per gestire velocemente e senza problemi un controllo. Il Garante richiede innanzitutto (anche a seguito di segnalazione da parte della Polizia Locale) approfondimenti all’Azienda, che deve essere velocemente in grado di fornire tutta la documentazione richiesta, altrimenti la sanzione può aumentare. 
Tutto deve essere documentabile: 

• la DPIA o l’analisi sulla non necessarietà della stessa: dobbiamo infatti essere in grado di dimostrare che abbiamo effettuato un’analisi dalla quale non è emersa la necessità di procedere con una valutazione approfondita;
• l’analisi sulle tempistiche di conservazione, 
• l’analisi sulle misure di sicurezza tecniche e organizzative attuate
• un elenco dei soggetti autorizzati, interni e/o esterni, ad accedere alle immagini
• le istruzioni prodotte per tali soggetti;
• nomina ad eventuali fornitori esterni quali Responsabili del Trattamento.

Questa è la principale documentazione da produrre, archiviare e aggiornare periodicamente per gestire senza problemi e rapidamente un’ispezione o delle richieste di informazioni da parte del Garante.