Sistemi di videosorveglianza intelligenti: quando occorre la verifica preliminare del Garante

Regola

Come noto, i sistemi di videosorveglianza c.d. intelligenti, quindi videocamere che non si limitano a riprendere e registrare le immagini, ma sono in grado di rilevare automaticamente comportamenti o eventi anomali, segnalarli, ed eventualmente registrarli, dovrebbero essere sottoposti alla verifica preliminare del Garante per la protezione dei dati personali ex art.17 del D.lgs.196 del 2003 e s.m.i., perché il trattamento deve considerarsi eccedente rispetto alla normale attività di videosorveglianza, in quanto possono determinare effetti particolarmente invasivi sulla sfera di autodeterminazione dell’interessato e, conseguentemente, sul suo comportamento (Cfr. punto 3.2.1.del provvedimento del Garante per la protezione dei dati personali dell’8 aprile 2010 in materia di videosorveglianza).

Eccezioni

Il Garante si è espresso in merito ai sistemi di videosorveglianza c.d. Intelligenti rispondendo ad alcune verifiche preliminari:

1. Verifica preliminare richiesta dal Duomo di Milano per evitare eventuali attacchi terroristici del 23 febbraio 2017.
2. Verifica preliminare richiesta da una società che tratta GPL con la finalità di mettere in sicurezza il cantiere e il porto cittadino da eventuali attacchi terroristici del 6 luglio 2016.
3. Verifica preliminare richiesta dalla Città Metropolitana di Roma Capitale per controllo accesso aree interne del 10 novembre 2016.
4. Verifica preliminare richiesta da parte di un’azienda operante nel settore dei semiconduttori per l’impianto di un sistema che permette il riconoscimento di condizioni anomale – ad esempio la rilevazione di un uomo a terra – e l’attivazione di allarme a seguito dell’individuazione di forme in movimento in una “no access zone”, per la sicurezza di un’area ad alto rischio di incidenti rilevanti e lettura targhe per controllo accessi del 17 marzo 2016.etc.

Come si legge, sono tutte verifiche preliminari che si riferiscono a particolari situazioni di alto rischio che giustificano l’istallazione dell’impianto. In ogni caso, entrando nello specifico, nelle verifiche preliminari già analizzate dal Garante gli argomenti trattati sono essenzialmente:

• termine di conservazione delle immagini: il Garante analizza molto spesso nelle verifiche preliminari sopra indicate le richieste di allungamento dei termini di conservazione da 24/48 a 30 giorni;
• struttura tecnica dell’impianto: l’Autorità pone particolare attenzione alla struttura dell’impianto e alla modalità di rilevamento delle immagini (Quante telecamere verranno istallate? Come e dove verranno istallate? Quali saranno gli angoli di ripresa delle telecamere? Come funziona il software etc.);
• finalità di utilizzo delle immagini e liceità del trattamento: il Garante si focalizza sull’utilizzo del sistema ribadendo che lo stesso risulterebbe giustificato solo in casi particolari, tenendo conto delle finalità e del contesto in cui essi sono trattati, da verificare caso per caso tenendo in debito conto, innanzitutto:
• se il sistema è ben determinato e specificato (Principio di finalità) ovvero se il trattamento che verrà effettuato è ben delineato. Che scopo ha il trattamento delle immagini che verranno rilevate dall’impianto di videosorveglianza c.d. intelligente?
• se il sistema è necessario per il raggiungimento delle finalità perseguite (Principio di necessità) oppure può essere sostituito con un altro sistema meno invasivo che riesce a raggiungere il medesimo risultato?
• se il sistema è proporzionato alla finalità di trattamento (Principio di proporzionalità) nel senso che le immagini che verranno acquisite risulteranno pertinenti, complete e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati?

1. se il sistema è urgente tenendo conto dei concreti rischi esistenti (furti, atti vandalici, etc.)?

Rispetto a quanto sopra indicato, occorre quindi analizzare bene l’impianto in via di realizzazione e comprendere le sfaccettature sopra dette prima di decidere di presentare o meno la verifica preliminare al Garante per la protezione dei dati personali.

Ulteriore eccezione

Si ricorda che la verifica preliminare al Garante sopra detta deve essere presentata perché il trattamento deve considerarsi eccedente rispetto alla normale attività di videosorveglianza, in quanto possono determinare effetti particolarmente invasivi sulla sfera di autodeterminazione dell’interessato e, conseguentemente, sul suo comportamento.

In specifico, il Garante richiede la verifica preliminare se il sistema di videosorveglianza c.d. Intelligente:

• è in grado di rilevare automaticamente comportamenti o eventi anomali,
• è in grado di segnalarli,
• è in grado eventualmente di registrarli.

Tali 3 attività devono sussistere contemporaneamente per dover richiedere la verifica preliminare. Se manca una di tali attività (per esempio non è previsto alcun allarme o alert o avviso o segnalazione né sonora né tantomeno visiva) la verifica preliminare può essere evitata (cfr. sul punto il provvedimento del Garante per la protezione dei dati personali del 22 maggio 2014 in risposta alla verifica preliminare richiesta da Banca d’Italia). Nel provvedimento ora richiamato l’Autorità esclude espressamente l’obbligo di richiedere la verifica preliminare relativamente all’impianto che ha la funzione di “lettura targhe e identificazione mezzi”, “motion detection digitale”, “automazione accesso su chiamata citofonica” e “conteggio” in quanto non è prevista la generazione di allarmi.

Pertanto, se il sistema non prevede alcun allarme o alert o avviso o segnalazione né sonora né tantomeno visiva il Titolare del trattamento può schivare la verifica preliminare.

La verifica preliminare dopo il GDPR

L’art. 35 del GDPR (Regolamento europeo n. 2016/679) introduce l’istituto della valutazione d’impatto la DPIA (Data Protection Impact Assessment), in precedenza non previsto dalla Direttiva 95/46/CE dal D.lgs.196/2003, che per quei trattamenti che presentano rischi specifici disciplina invece l’obbligo di verifica preliminare davanti all’Autorità Garante.

In sintesi la DPIA sostituirà dal 25 maggio 2018 l’obbligo di verifica preliminare davanti all’Autorità Garante, ex art. 17 del D.lgs.196 del 2003 e s.m.i., e consiste in una valutazione preliminare, fatta dallo stesso Titolare del trattamento, degli impatti a cui andrebbe incontro un trattamento laddove dovessero essere violate le misure di protezione dei dati.

La DPIA è uno strumento importante perché aiuta il Titolare non soltanto a rispettare le prescrizioni del Regolamento europeo, ma anche a dimostrare l’adozione di misure idonee a garantirne il rispetto.

E’ una chiara espressione del principio dell’“accountability” che è uno dei punti chiave del nuovo GDPR secondo il quale è necessario che i Titolari adottino di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento. Il GDPR non specifica al Titolare i comportamenti da tenere, ma affida direttamente ai Titolari il compito di decidere autonomamente le modalità, le garanzie e i limiti del trattamento dei dati personali ai sensi della normativa.

Per maggiori informazioni sulla DPIA si rimanda alle linee guida adottate l’anno scorso dall’Article 29 data protection working party.