Ogni giorno ogni persona esce dalla propria abitazione e sa che sarà ripresa da più telecamere. Preservare la riservatezza dei propri movimenti è diventato molto difficile, se non addirittura impossibile, perché, praticamente, quasi in ogni luogo pubblico o privato, vi è una telecamera che, a volte, è sottratta alla vista, altre volte invece è segnalata ma con cartelli molto diversi tra loro per colore e per contenuti che spesso conformi al GDPR ed alle raccomandazioni delle Autorità di controllo.
Diamo di seguito alcune indicazioni utili per predisporre cartelli/segnali regolari.
Privacy incorporata nei prodotti e servizi IT: ecco come aumentare la competitività delle aziende
Indice degli argomenti
Il cartello di avvertimento, innanzitutto
Prima di fornire una qualsiasi suggerimento è necessario chiarire che ogni telecamera posta in un luogo pubblico o privato, per qualunque finalità, deve essere segnalata tramite un “cartello di avvertimento” i.e. tutte le persone che vengono riprese dalle telecamere devono essere ben consapevoli del fatto che è in funzione un sistema di videosorveglianza.
Invero, il processo di gestione di un sistema di videosorveglianza costituisce un trattamento di dati personali che può presentare rischi elevati per i diritti e le libertà fondamentali delle persone fisiche. Bisogna, pertanto, applicare con grande cura ed attenzione le norme del GDPR che agli artt.12 e 13 fissa, a carico dei titolari del trattamento, obblighi generali di trasparenza e informazione.
I Garanti Europei in più occasioni hanno chiarito[1] che l’art. 13 del GDPR, che stabilisce l’obbligo di fornire agli interessati un’informativa sul trattamento, indubitabilmente, si applica qualora i dati personali siano raccolti presso l’interessato mediante osservazione (e.g. utilizzando dispositivi o software per catturare dati in modo automatizzato come avviene con l’uso di telecamere).
Quindi, eseguire la videosorveglianza sistematica di un luogo pubblico o privato, senza segnalare, con apposita segnaletica, la presenza di telecamere, costituisce una violazione del GDPR ed in particolare del principio di trasparenza stabilito dall’art.5, paragrafo 1 lettera a).
L’approccio scalare a 2 livelli per assicurare la trasparenza
L’art. 13 del GDPR, che deve essere applicato per rendere compliant l’attività di videosorveglianza, impone ai titolari l’obbligo di fornire agli interessati una determinata gamma di informazioni.
I Garanti Europei hanno suggerito[2] che, proprio alla luce della quantità di informazioni da fornire agli interessati, gli stessi titolari possono seguire un approccio scalare, optando per una combinazione di metodi al fine di assicurare la trasparenza[3].
Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate sul cartello/segnale di avvertimento (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello).
Conformazione e contenuto del cartello di avvertimento
Aggirandosi negli spazi pubblici e privati è possibile vedere cartelli di ogni genere, posti per segnalare la posizione di telecamere di videosorveglianza, aventi le forme e i colori più disparati e contenenti florilegi di informazioni, spesso non fondate e non pertinenti.
Al punto 116 delle Linee Guida EDPB viene proposto il seguente cartello precisando che si tratta di un “esempio” e di un “suggerimento non vincolante”.
Pur essendo un “suggerimento non vincolante”, detto cartello è certamente un utilissimo e qualificato riferimento che consente di dare agli interessati un’informativa corretta.
Peraltro, se tale “modello” risulta adatto alle esigenze operative del titolare non vi è alcun ragionevole motivo per non utilizzarlo.
Quindi, non si comprende perché molti titolari adottino cartelli di avvertimento di forme diverse (anche tonde o ovali) e con colori diversi dal blu (giallo, rosso ecc.).
La “segnaletica” non deve essere un bel prodotto di arte grafica ma un adeguato veicolo di informazioni!
Per la verità, l’esempio non vincolante suggerito nelle Linee Guida EDPB 3/2019, seppure abbia una forma grafica molto semplice e minimalista, è ben strutturato, laddove prevede “blocchi di informazione” funzionali a dare una efficace informativa di “primo livello”.
L’informativa di “primo livello”
Il primo livello riguarda la modalità con cui avviene la prima interazione fra il titolare del trattamento e l’interessato; ed è in questa fase che i titolari possono utilizzare un segnale di avvertimento che indichi le informazioni pertinenti[4].
Tali informazioni possono essere fornite in combinazione con un’icona, (come quella riportata nel precedente “esempio non vincolante”) per dare, in modo ben visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto[5]. Ovviamente il formato delle informazioni dovrà adeguarsi alle varie ubicazioni[6].
I Garanti Europei hanno anche ben evidenziato[7] che l’informativa di primo livello posta nel cartello/segnale di avvertimento dovrebbe comunicare i dati più importanti, e.g.:
- le finalità del trattamento;
- l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento. Si può fare riferimento, ad esempio, ai legittimi interessi perseguiti dal titolare (o da un soggetto terzo) e ai recapiti del DPO;
- un riferimento (tipo QR Code o U.R.L.) per reperire e informazioni di secondo livello, più dettagliate, indicando precisamente dove e come trovarle;
- tutte le informazioni che potrebbero risultare inaspettate per l’interessato[8]. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale (senza alcuna registrazione di dati o trasmissione a soggetti terzi).
Queste raccomandazioni sono state anche ribadite dalla nostra Autorità Garante che le ha specificamente richiamate al punto 3.1 del provvedimento GPDP n. 214 del 9 giugno 2022 [doc. web n. 9794895].
Posizionamento della segnaletica di avvertimento
I cartelli/segnali di avvertimento contenenti l’informativa di primo livello dovrebbero essere posizionati in modo da permettere agli interessati di riconoscere facilmente le circostanze della sorveglianza, ancor prima di entrare nella zona sorvegliata (approssimativamente all’altezza degli occhi)[9]; e, comunque, non è necessario rivelare l’ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza.
Ogni interessato deve poter sempre stimare quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario.
Il cartello non è il solo strumento di compliance
È bene ricordare che una buona informativa (di primo e di secondo livello), predisposta per un’attività di videosorveglianza, non risolve in radice tutti i problemi di compliance, poichè realizza solo uno dei principi di protezione dei dati personali: i.e. la trasparenza.
In realtà un’informativa ben fatta dovrebbe essere un segmento dell’outcome di una sistematica attività di progettazione del trattamento.
In pratica, affinché l’attività sia compliant, il titolare, prima di avviare il trattamento, dovrebbe progettare tutte le operazioni necessarie a gestire il sistema di videosorveglianza, in modo da allinearle ai principi di protezione dei dati personali.
Il risultato di questa attività di design comprenderà, naturalmente, anche una corretta informativa di primo e secondo.
“Last but not least”, non bisogna dimenticare che la particolare natura dell’attività di videosorveglianza impone al titolare di eseguire, prima di avviare qualsiasi operazione di trattamento, una valutazione di impatto sulla protezione dei dati personali (la c.d. DPIA: Data Protection Impact Assessment), consultandosi con il proprio DPO e con l’Autorità Garante, qualora non si riesca a mitigare i rischi elevati (per i diritti e le libertà fondamentali) che sono naturalmente connessi alla gestione della videosorveglianza.
NOTE
Vds. punto 26 delle Linee Guida sulla trasparenza WP 260 nonché punto 110 delle Linee Guida EDPB 3/2019. ↑
Al punto 11 delle Linee Guida EDPB 3/2019. ↑
Punto 35 delle Linee Guida WP260 e punto 22 delle Linee Guida WP89. ↑
Così il punto 112 delle Linee Guida EDPB 3/2019. ↑
Vds. art. 12, paragrafo 7, del GDPR. ↑
punto 22 WP 89. ↑
Ai punti 114 e 115 delle Linee Guida EDPB 3/2019. ↑
Punto 38 delle Linee Guida WP260 sulla trasparenza. ↑
Così testualmente al punto 113 delle Linee Guida EDPB 3/2019. ↑
