Due recenti provvedimenti del Garante privacy fanno chiarezza e ricordano qualche regola da rispettare
La videosorveglianza è uno strumento sempre più diffuso per la tutela di beni e persone, ma il suo utilizzo deve rispettare precise regole per non ledere i diritti altrui.
Il Garante è intervenuto su questo argomento con due recenti provvedimenti del 16 gennaio scorso*.
Nel primo caso, due telecamere installate fuori da un bar. Nel secondo, tre telecamere posizionate all'esterno di una macelleria.
In entrambi i casi alcuni aspetti non erano stati gestiti correttamente e le attività non hanno potuto sottrarsi alla sanzione del Garante.
Il Garante ha spiegato ancora una volta che la videosorveglianza deve sempre rispettare regole precise. Indipendentemente dalla dimensione dell’attività.
Il primo provvedimento: telecamere all'esterno di un bar
La vicenda
A dicembre 2024 la Polizia Locale controlla un bar e trova due telecamere funzionanti ai lati della vetrina d'ingresso. Le telecamere riprendono l'area esterna dove ci sono i tavolini per il servizio alla clientela.
Ma nessun cartello informa della presenza della videosorveglianza.
Le immagini non vengono registrate ma solo visualizzate in diretta tramite app sul cellulare della titolare.
La titolare, durante l'istruttoria, ha spiegato di aver installato le telecamere come deterrente, dopo aver subito danneggiamenti all'esterno (lancio di sassi e oggetti contro vetrina e tende). Si era affidata a un operatore professionale per l'installazione ed era convinta, in buona fede, di non avere altri obblighi.
Le violazioni accertate
Il Garante ha rilevato la violazione del principio di trasparenza (articolo 5, paragrafo 1, lettera a) e dell'obbligo di informativa (articolo 13 del GDPR), perché mancavano i cartelli che avvisano della presenza delle telecamere.
Il Garante ha però verificato che le telecamere riprendevano principalmente l'area dove si svolge l'attività commerciale, cioè i tavolini esterni del bar regolarmente autorizzati. Non c'era quindi un problema di ripresa eccessiva di aree pubbliche.
La decisione del Garante
Il Garante ha sanzionato l’attività con il pagamento di 600 euro e ha ordinato alla titolare di conformare il trattamento installando idonei cartelli informativi entro 30 giorni
Il Garante ha considerato come attenuanti l'assenza di precedenti violazioni, la natura colposa della condotta e il fatto che le telecamere riprendevano principalmente aree usate per l'attività commerciale.
Il secondo provvedimento: telecamere all'esterno di una macelleria
La vicenda
Nel marzo 2023 la Polizia Locale in occasione di un controllo presso una macelleria rileva tre telecamere installate all'esterno (una non funzionante).
Le telecamere posizionate davanti all'ingresso riprendono l'area antistante adibita a parcheggio e parte della strada pubblica. La terza telecamera, sulla parete laterale, riprende l'area laterale adibita a parcheggio e altra parte della strada pubblica.
Anche in questo caso nessun cartello che segnala la videosorveglianza.
La titolare della macelleria non risponde alle comunicazioni del Garante durante il procedimento.
Le violazioni accertate
Il Garante in questo caso ha rilevato violazioni più gravi rispetto al caso precedente:
- mancanza di informativa (articoli 5, paragrafo 1, lettera a e 13 del GDPR)
- ripresa di aree pubbliche senza base giuridica (articolo 6 del GDPR), perchè le telecamere riprendevano non solo i parcheggi della macelleria, ma anche parti della strada pubblica, senza che ci fosse una base giuridica valida per questo trattamento
La decisione del Garante
In questo caso, la sanzione è stata più elevata, pari a 1.500 euro. Oltre al pagamento, è stato ingiunto al titolare di installare cartelli informativi e riorientare le telecamere per non riprendere spazi pubblici o condominiali
Il Garante ha considerato come aggravante il fatto che la titolare non avesse collaborato durante il procedimento e che le telecamere riprendessero aree pubbliche in modo eccessivo.
Alcuni principi sulla videosorveglianza ricordati dal Garante
Il Garante ha ricordato alcuni principi fondamentali che valgono per chiunque installi telecamere per un'attività imprenditoriale o professionale:
1. la sola visualizzazione di immagini (anche senza registrazione) è un trattamento di dati personali
Nel caso del bar, la titolare visualizzava le immagini in diretta sul cellulare senza registrarle.
Il Garante ha ricordato che anche la sola visualizzazione in diretta costituisce trattamento di dati personali.
Il provvedimento parte infatti dal presupposto che "l'utilizzo di sistemi di videosorveglianza determina un trattamento di dati personali ai sensi dell'art. 4, par. 1, n. 2, del Regolamento", senza fare distinzioni tra registrazione e sola visualizzazione e richiede quindi il rispetto di tutti gli obblighi GDPR, compreso quello di rendere l'informativa.
2. principio di trasparenza e obbligo di informativa
Le persone devono sapere che stanno entrando in una zona videosorvegliata. L’informativa deve avvenire mediante un cartello, che rappresenta l'informativa di primo livello e deve:
- contenere le informazioni essenziali (chi raccoglie i dati, perché, per quanto tempo)
- essere ben visibile, posizionato prima della zona ripresa
- essere approssimativamente all'altezza degli occhi
Deve poi essere resa accessibile un’informativa di secondo livello, ossia un'informativa completa (ad esempio su un sito web o affissa in un luogo accessibile) che dettaglia tutti gli elementi previsti dall'art. 13 del GDPR, come i tempi di conservazione e i diritti degli interessati, facilmente accessibile dall’informativa di primo livello
Ricordiamo che il principale atto di indirizzo in materia rimane il Provvedimento in materia di videosorveglianza dell'8 aprile 2010.
Con l'avvento del GDPR, il Comitato Europeo per la Protezione dei Dati (EDPB) ha pubblicato le Linee Guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, che hanno ulteriormente specificato e rafforzato gli obblighi informativi, e che sono recepite e costantemente applicate dal Garante italiano in tutte le sue decisioni più recenti.
Il Garante sul suo sito ha anche messo a disposizione il modello semplificato del cartello per la videosorveglianza aggiornato alle Linee Guida dell’EDPB.
Le telecamere devono riprendere solo ciò che serve. Se un’attività installa telecamere per proteggersi, l'angolo di ripresa deve limitarsi alle aree che appartengono a quell’attività o che sono usate per l’attività (come i tavolini esterni autorizzati).
Pertanto, è necessario:
limitare al massimo l'inquadratura eventualmente usare sistemi di mascheramento o pixelatura delle zone non rilevanti
Le telecamere possono essere installate solo per scopi determinati, espliciti e legittimi (es. tutela del patrimonio, prevenzione di atti vandalici). Il trattamento deve essere limitato a quanto strettamente necessario per raggiungere tali finalità. Ciò si traduce nel principio di minimizzazione dei dati: si devono raccogliere meno dati possibili. Ad esempio, se non è necessario identificare le persone, si potrebbero usare immagini a bassa risoluzione o sistemi che oscurano i volti.
Dal secondo provvedimento relativo alla macelleria emerge che la Polizia locale aveva accertato l'idoneità delle telecamere a riprendere aree ulteriori rispetto a quelle di esclusiva proprietà (in particolare, l'area pubblica adibita a parcheggio antistante e laterale rispetto all'ingresso dell'esercizio commerciale e parte della strada pubblica)
Questa ripresa è stata ritenuta illegittima perché in violazione dell'art. 6 del Regolamento essendo priva di idonea base giuridica.
Quando le telecamere riprendono aree che non sono di proprietà (come strade pubbliche o parcheggi pubblici), serve una base giuridica specifica tra quelle previste dall'art. 6 GDPR. Non basta installarle genericamente "per sicurezza" - il titolare deve essere in grado di indicare quale specifica base giuridica dell'art. 6 sta utilizzando per quel trattamento di aree esterne alla sua proprietà o disponibilità.
Indicazioni pratiche per l'installazione di un sistema di videosorveglianza
Questi casi ci consentono di ricordare alcune indicazioni pratiche:
1. valuta la necessità e definisci le finalità:
chiediti se la videosorveglianza sia indispensabile o se esistano alternative (es. allarmi, porte blindate, controlli da parte di addetti). Sii chiaro sul perché stai installando le telecamere (es. prevenire furti, atti vandalici). Questo scopo deve essere legittimo e documentato. Per un'attività commerciale, la base giuridica più comune è il legittimo interesse del titolare del trattamento (art. 6, par. 1, lett. f) del GDPR), come la protezione della proprietà o la prevenzione di reati
2. ricorda che anche la sola visualizzazione in diretta delle immagini è un trattamento di dati:
Quindi valgono tutte le regole del GDPR.
3. verifica l'angolo di ripresa delle telecamere:
controlla che le telecamere inquadrino solo le aree di proprietà o comunque utilizzate dall’attività. Se riprendono anche aree pubbliche, occorre fare una attenta valutazione se la ripresa è necessaria e quale è la base giuridica che consente la ripresa
4. informa correttamente e in modo trasparente:
predisponi cartelli informativi (informativa di primo livello). Non è un dettaglio, ma un obbligo di trasparenza. I cartelli devono essere posizionati prima che le persone entrino nella zona videosorvegliata e contenere le informazioni essenziali previste dal GDPR, perché le persone devono sapere che sono riprese. Rendi disponibile l'informativa completa (di secondo livello) in un luogo facilmente accessibile
5. stabilisci i tempi di conservazione:
le immagini registrate dovrebbero essere conservate per un periodo limitato, generalmente non superiore a 24-48 ore. Periodi più lunghi sono ammessi solo in casi eccezionali e motivati (es. chiusura dell'esercizio, indagini in corso, particolare rischiosità dell'attività)
6. conserva la documentazione:
è importante tenere traccia della data di installazione dell’impianto, delle valutazioni fatte sull'angolo di ripresa, i cartelli installati, l'informativa completa
7. se le telecamere sono in aree dove lavorano dipendenti o collaboratori, e, dunque le telecamere potrebbero riprenderli:
ricorda che è necessario rispettare anche le garanzie previste dall'art. 4 dello Statuto dei Lavoratori. Questa norma stabilisce che le telecamere sul luogo di lavoro possono essere installate esclusivamente per tre finalità: esigenze organizzative e produttive; sicurezza del lavoro; tutela del patrimonio aziendale. È quindi vietato utilizzare gli impianti per controllare a distanza l'attività lavorativa del personale. In questo caso, poi, l'installazione non è libera. Il datore di lavoro,di attivare le telecamere, deve obbligatoriamente verificare se serve un accordo sindacale o l'autorizzazione dell'Ispettorato del Lavoro.
8. nomina e cura la formazione del personale autorizzato:
Il titolare del trattamento deve designare per iscritto le persone fisiche autorizzate ad accedere e trattare i dati raccolti (visionare le immagini, estrarre copie, ecc.). Queste persone, spesso definite "incaricati" o "persone autorizzate", devono ricevere istruzioni precise e una formazione adeguata in materia di protezione dei dati personali
9. adotta adeguate misure di sicurezza tecniche e organizzative:
oltre agli aspetti già menzionati, l'articolo 32 del GDPR impone al titolare di adottare misure tecniche e organizzative adeguate a garantire la sicurezza dei dati personali. Questo obbligo, nel contesto della videosorveglianza, si traduce in azioni concrete volte a prevenire accessi non autorizzati, perdite o distruzioni dei dati
10. valuta se è necessaria una Valutazione d'impatto (DPIA):
in aggiunta ai punti precedenti, se il trattamento presenta un "rischio elevato per i diritti e le libertà delle persone fisiche", il GDPR impone di effettuare, prima di iniziare, una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) . Per la videosorveglianza, la DPIA è quasi sempre obbligatoria in caso di "sorveglianza sistematica su larga scala di una zona accessibile al pubblico" . Anche se un'attività commerciale potrebbe non rientrare sempre nella "larga scala", una DPIA è comunque richiesta se il trattamento presenta almeno due dei criteri di rischio individuati dalle autorità (es. monitoraggio sistematico, uso di tecnologie innovative come l'analisi video, trattamento di dati di soggetti vulnerabili) . La DPIA è uno strumento essenziale di responsabilizzazione che serve a valutare e mitigare i rischi prima che si verifichino . La sua mancata o tardiva redazione potrebbe costituire una violazione del GDPR .
La compliance è una protezione concreta e genera fiducia nelle persone
Anche per le piccole attività, rispettare le regole sulla videosorveglianza non è solo un obbligo formale. È:
- una scelta di trasparenza verso la clientela, fornitori, passanti
- una protezione da sanzioni e contenziosi
- un modo per una migliore organizzazione e governance dell’attività.
La videosorveglianza è uno strumento utile e lecito, ma va gestito correttamente.
Iscriviti alla nostra newsletter
Per ricevere novità e approfondimenti sul tema della conformità delle organizzazioni (aziende, studi professionali, associazioni, enti): contratti, privacy, regole del digitale, sostenibilità, modello 231.
