L’installazione di un impianto di telecamere di videosorveglianza all’esterno e all’interno della propria azienda, al fine di proteggere non solo il patrimonio aziendale da furti e danneggiamenti, ma anche i propri collaboratori e i terzi che visitano la nostra struttura, è in costante crescita.
In questo senso, è utile mettere in correlazione gli adempimenti privacy e la norma sulla tutela dei diritti dei lavoratori (Statuto dei lavoratori L. 300/70) che lievitano attorno agli impianti audiovisivi.
Indice degli argomenti
Telecamere di videosorveglianza: la normativa
Le nuove tecnologie hardware e software sono in grado di realizzare un incisivo controllo a distanza non solo sull’attività lavorativa, ma anche sulla vita privata del lavoratore, divenendo, in certi casi, strumenti invasivi poiché potenzialmente in grado di comprimere, sino ad annullare, la privacy.
Di conseguenza, è evidente la necessità di individuare un equilibrio fra interessi contrapposti di rango costituzionale: da un lato le aspettative di sicurezza, dall’altro la tutela della privacy.
La questione sottende aspetti ancor più delicati nell’ambito del rapporto di lavoro, ove è indispensabile conciliare le legittime esigenze datoriali con la tutela dei diritti dei lavoratori, storicamente garantiti a livello normativo.
Infatti, i controlli del datore di lavoro, in assenza di un perimetro ben definito, potrebbero avvenire in molteplici fasi: esame dei candidati, assunzioni, valutazione delle prestazioni lavorative, pianificazione ed organizzazione dell’attività lavorativa, salute e sicurezza dell’ambiente di lavoro, protezione dei beni del dipendente, conclusione del rapporto di lavoro.
Telecamere di videosorveglianza sul luogo di lavoro: alcuni accorgimenti
La normativa sulla privacy e lo Statuto dei Lavoratori consentono alle aziende di installare un sistema di videosorveglianza adottando alcuni accorgimenti fondamentali.
Innanzitutto, è necessario valutare quali sono le finalità che hanno portato l’azienda alla decisione di installare un impianto di videosorveglianza e, a seguito di tale valutazione, effettuare un bilanciamento d’interessi tra gli interessi dell’azienda e quelli dei dipendenti e dei terzi che possono essere ripresi.
Lo Statuto dei Lavoratori (art. 4 L. 300/1970) pone il divieto di controllo a distanza dell’attività lavorativa, divieto che va rispettato anche laddove si decida di installare un impianto di videosorveglianza.
Quindi, se l’impianto di videosorveglianza può riprendere i dipendenti durante l’attività lavorativa (anche semplicemente riprendendo il loro ingresso e/o la loro uscita dal posto di lavoro) è necessario stipulare un accordo con le rappresentanze sindacali aziendali o unitarie (RSA o RSU) o, in caso di loro assenza o di mancato raggiungimento dell’accordo, richiedere l’autorizzazione all’installazione all’Ispettorato Nazionale del Lavoro.
Indicazioni operative per l’ispezione delle telecamere di videosorveglianza
La circolare n. 5 del 19 febbraio 2018 dell’Ispettorato Nazionale del Lavoro fornisce indicazioni operative al personale ispettivo su norme e prassi riguardanti l’installazione e l’utilizzo a norma di impianti audiovisivi e altri strumenti di controllo, ai sensi dell’art. 4 della legge n. 300/1970.
Nello specifico, ci si rivolge all’ITL o all’INL in tre casi:
- quando ci sono lavoratori dipendenti o figure professionali simili;
- quando non sono stati eletti rappresentanti sindacali aziendali o unitari;
- quando è stato sottoscritto un verbale di mancato accordo in relazione all’utilizzo dell’impianto di videosorveglianza, pur in presenza dei rappresentati sindacali.
Sono chiamate “ragioni giustificatrici” le motivazioni che inducono all’installazione delle telecamere nei luoghi di lavoro. Ecco quali sono:
- esigenze organizzative e produttive: es. il controllo della qualità produttiva attraverso i video;
- esigenze di sicurezza sul lavoro: es. lavoratori che operano in luoghi isolati;
- tutela del patrimonio aziendale: es. presenza di componenti o materiale di alto valore.
La valutazione delle istanze per il rilascio del provvedimento di installazione va concentrata sulla valutazione dell’effettiva sussistenza delle ragioni legittimanti la richiesta, nonché sulle specifiche finalità per l’utilizzo della strumentazione, su cui ci soffermeremo più dettagliatamente più avanti.
Regole applicative per i nuovi strumenti di videosorveglianza
Con riferimento all’introduzione di nuovi strumenti di videosorveglianza, provvisti di rete IP, cablata oppure wireless che consente il trasporto di dati video e audio da un PC all’altro attraverso l’utilizzo di Internet, è possibile installare telecamere a circuito chiuso collegate all’intranet aziendale o via internet a postazione remota.
Tuttavia, l’accesso da postazione remota alle immagini in tempo reale è autorizzabile solo in casi eccezionali e debitamente motivati.
L’accesso alle immagini registrate deve essere necessariamente tracciato per un congruo periodo non inferiore a 6 mesi tramite apposite funzionalità che consentano la conservazione dei log di accesso. Non è più prevista la condizione dell’utilizzo del sistema della doppia chiave fisica o logica.
Quanto al perimetro spaziale di applicazione della normativa, l’orientamento prevalente identifica come luoghi soggetti alla normativa in questione anche quelli esterni dove venga svolta attività lavorativa anche in modo saltuario o occasionale e l’installazione di una telecamera diretta verso il luogo di lavoro dei propri dipendenti o su spazi dove essi hanno accesso anche occasionalmente deve essere preventivamente autorizzata da uno specifico accordo con le organizzazioni sindacali ovvero da un provvedimento dell’Ispettorato del Lavoro.
Telecamere di videosorveglianza e privacy
Questo rigido sistema nasce per tutelare la riservatezza dei lavoratori e per evitarne la violazione della privacy.
Non rispettare le procedure previste e installare i sistemi con fini non leciti e trattare i dati dei propri dipendenti in modo da violarne l’integrità e la privacy è rischioso e le sanzioni previste possono essere particolarmente salate.
Ad essere lesa da un eventuale caso di violazione della privacy sarebbe inoltre anche la reputazione aziendale.
Tutto dipende dal fatto che la legge dedicata alla videosorveglianza si basa su quattro principi solidi e irremovibili, che giustificano l’utilizzo di riprese del personale dipendente e dei clienti laddove questo sia necessario e nel rispetto di particolari condizioni.
Parliamo pur sempre di una situazione al limite tra tutela della sicurezza e violazione della privacy, i cui confini sono davvero molto sottili e per cui è necessario trovare un equilibrio che consenta di proteggere cose e persone senza ledere la libertà di nessuno.
I principi previsti dal provvedimento del 29 aprile 2004 sono:
- liceità, ossia il principio in base a cui possono essere utilizzate le immagini raccolte laddove necessarie per rispondere a un obbligo di legge oppure per tutelare un interesse legittimo;
- necessità, in base a cui deve esserci un motivo sufficiente ed evidente che giustifichi l’utilizzo di videocamere di sorveglianza;
- proporzionalità, che garantisce che l’installazione delle telecamere avvenga laddove ritenuta una misura proporzionata agli scopi prefissi;
- finalità, per cui gli scopi perseguiti mediante l’installazione di videocamere devono essere determinati, espliciti e legittimi.
Pertanto, le telecamere di sorveglianza possono essere installate laddove sia necessario per aumentare la sicurezza di un negozio, ufficio, stabile, cortile e via dicendo e nel caso in cui dipendenti, clienti e passanti siano informati della loro presenza mediante informativa e apposita segnaletica.
Come gestire un impianto con telecamere di videosorveglianza “fasulle”
L’installazione di videocamere “fasulle”, invece, non risponde ai principi sopra citati perché se è finta allora significa che non sono presenti le condizioni per cui la videosorveglianza sia necessaria per ragioni di sicurezza e, di conseguenza, è superfluo e inutile installarla.
Inoltre, accanto alle videocamere di sorveglianza finte, mancherebbe comunque la segnaletica obbligatoria per legge e apporla significherebbe dichiarare il falso. Qualora nell’ipotetico raggio di azione della telecamera avvenisse un crimine non sarebbero presenti riprese dell’evento, creando diversi problemi di responsabilità.
Le linee guida dell’EDPB
È bene ricordare inoltre che il Comitato europeo per la protezione dei dati (EDPB) ha adottato le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” allo scopo di fornire indicazioni sull’applicazione del Regolamento in relazione al trattamento di dati personali attraverso dispositivi video, inclusa la videosorveglianza.
Una delle novità principali delle Linee Guida riguarda il nuovo cartello di avviso di videosorveglianza che prevede più informazioni di quelle contenute nel modello precedente.
In particolare, il cartello include, oltre alle informazioni essenziali, quali finalità del trattamento, estremi identificativi del titolare e i diritti degli interessati, anche i dati di contatto del DPO, il riferimento al legittimo interesse del titolare o di terze parti, il codice QR e le modalità che rinviano all’informativa di “secondo livello”, eventuale trasferimento di dati extra-UE e il periodo di conservazione.
I chiarimenti del Garante privacy italiano
A tutt’oggi un passaggio dell’Autorità garante l’abbiamo avuto il 5 dicembre scorso con la pubblicazione delle FAQ che costituiscono “indicazioni di carattere generale ispirate alle risposte fornite a reclami, segnalazioni, quesiti ricevuti dall’Ufficio in questo periodo”.
Tali chiarimenti – si spiega nel documento – “si sono resi necessari in ragione delle nuove previsioni introdotte dal R.E. 679/2016, alla luce delle quali va valutata la validità del provvedimento del Garante in materia, che risale al 2010 e contiene prescrizioni in parte superate. Le FAQ tengono conto anche delle Linee guida recentemente adottate sul tema della videosorveglianza dal Comitato europeo per la protezione dei dati (EDPB)…”.
Dunque, il ricorso a impianti o sistemi di videosorveglianza obbedisce alle varie disposizioni del Regolamento (e alle altre disposizioni di legge di diritto interno come, per esempio, l’art. 4, L. 300/1970, per i casi in cui la videosorveglianza sia disposta nei luoghi di lavoro) e a quelle del provvedimento del Garante del 2010, in quanto compatibili con determinate norme di legge (si rammenti che l’art. 22, comma 4, D.lgs. 101/2018, ha stabilito che “a decorrere dal 25 maggio 2018, i provvedimenti del Garante per la protezione dei dati personali continuano ad applicarsi, in quanto compatibili con il suddetto regolamento e con le disposizioni del presente decreto”); mentre le Linee Guida EDPB n. 03-2019 e le FAQ del Garante intervengono a chiarire come secondo le rispettive autorità le disposizioni del Regolamento siano da recepire nel progettare e implementare impianti di videosorveglianza e quali parti del provvedimento del Garante del 2010 siano da considerare superate.
Telecamere di videosorveglianza, tra accountability e minimizzazione
Leggendo il documento del Garante troviamo in evidenza due concetti portanti del Regolamento UE 2016/679.
Il primo pilastro è l’accountability, concetto portante del sistema, che investe il titolare del potere e della responsabilità di compiere le scelte sulle finalità e sui mezzi del trattamento, di documentare quelle scelte, di renderne conto.
L’accountability è da esercitare a partire dalla decisione di ricorrere o meno ad impianti di videosorveglianza. Nelle Linee Guida EDPB, non a caso, si avvisa come la videosorveglianza non sia da considerare automaticamente una necessità quando siano disponibili altri mezzi per raggiungere lo scopo sottostante. Tale impianto dovrebbe reputarsi lecito ogni qualvolta rappresenti una risposta necessaria ad una esigenza effettiva, concreta, che non potrebbe essere altrimenti soddisfatta.
Accountability significa che compete al titolare del trattamento la valutazione della liceità e della proporzionalità del trattamento, tenuto conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti/libertà delle persone fisiche e la decisione sui tempi di conservazione dei dati.
Ulteriore concetto è la preventiva sottoposizione del trattamento ad una valutazione di impatto sulla protezione dei dati. L’art. 35 dispone la preventiva sottoposizione del trattamento ad una valutazione di impatto sulla protezione dei dati ossia un documento di valutazione preventiva dei rischi derivanti dal trattamento dei dati che si intende effettuare. I Considerando 75, 84, 89-93 ci danno le indicazioni e motivano in modo coinciso le norme essenziali dell’articolato.
Rilevati eventuali rischi per gli utenti, il titolare del trattamento deve individuare concrete misure tecnico-organizzative atte a ridurli o ad annullarli del tutto. Qualora emerga, dal documento, che il trattamento dei dati è causa di un rischio relativamente elevato per gli utenti, sussiste l’obbligo di interpello preventivo al Garante della privacy.
I dati raccolti devono poi essere protetti con misure di sicurezza tecniche (ad esempio credenziali di autenticazione idonee), organizzative e preventive che abbattano i rischi di distruzione, perdita, accesso non autorizzato dei dati.
Il secondo pilastro è il principio di minimizzazione, per cui il titolare deve prestare attenzione “alla scelta delle modalità di ripresa e dislocazione e alla gestione delle varie fasi del trattamento” e i dati trattati devono in ogni caso essere pertinenti e non eccedenti rispetto alle finalità perseguite.
Di minimizzazione si tratta anche quando il titolare deve stabilire i tempi di conservazione dei dati: “in via generale – si legge nelle FAQ – gli scopi legittimi della videosorveglianza sono spesso la sicurezza e la protezione del patrimonio. Solitamente è possibile individuare eventuali danni entro uno o due giorni”. E poi, “quanto più prolungato è il periodo di conservazione previsto, tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione”.
Il Comitato europeo per la protezione dei dati ritiene necessario procedere con due “misure”:
- una valutazione di impatto sulla protezione dei dati (DPIA), ai sensi dell’art. 35 del GDPR (“sorveglianza sistematica su larga scala di una zona accessibile al pubblico”);
- la nomina di un responsabile della protezione dei dati, in base all’art. 37.1 lett. b) del GDPR, qualora il trattamento comporti, per sua natura, un controllo regolare e sistematico degli interessati su larga scala.
Se per il GDPR l’onere di DPIA sussiste nel caso di “sorveglianza sistematica su larga scala di zona accessibile al pubblico”, stando ai criteri individuati nelle linee guida, la DPIA è obbligatoria nel caso di monitoraggio sistematico di una zona accessibile al pubblico e di trattamento di dati di soggetti vulnerabili, come possono essere i lavoratori.
Il Garante ha da ultimo predisposto l’elenco dei trattamenti soggetti a DPIA tra cui sono compresi quelli “effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dei dipendenti”.
Sembra, quindi, non esserci più dubbio sulla necessità di effettuare la DPIA quando la videosorveglianza comporta la possibilità di effettuare controlli a distanza dei lavoratori.
In definitiva, la nuova normativa sulla privacy è incentrata sulla responsabilizzazione dei soggetti che trattano i dati personali, ai quali è richiesto di adottare comportamenti proattivi che prevengano efficacemente i possibili danni.
