Linee guida sulla Videosorveglianza

L’art. 4 della Legge n. 300 del 1970 stabilisce che gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. Le aziende che intendono installare nei luoghi di lavoro un impianto di videosorveglianza, in difetto di Accordo con la rappresentanza sindacale unitaria o la rappresentanza sindacale aziendale, hanno l’obbligo di munirsi di apposita autorizzazione all’installazione ed all’utilizzo dell’impianto, rilasciata dall’Ispettorato Territoriale del Lavoro competente per territorio, previa presentazione di apposita istanza. Le imprese con unità produttive ubicate in diverse province della stessa regione, ovvero in più regioni, possono presentare apposita istanza o alle singole sedi territoriali dell’Ispettorato Territoriale del Lavoro ovvero alla sede centrale dell’Ispettorato Nazionale del Lavoro. Sono soggette alla richiesta di Autorizzazione tutte le imprese che hanno un impianto di videosorveglianza con registrazione e/o visione delle immagini. Si rammenta, inoltre, che gli impianti di Videosorveglianza sono soggetti anche alle prescrizioni impartite dal Garante per la Protezione dei Dati Personali in ambito Privacy (Provvedimento in materia di Videosorveglianza dell’8 aprile 2010). Tale norma impone alle aziende una serie di adempimenti, quali:

• l’obbligo di esporre un informativa “minima”,
• l’obbligo di esporre un avviso che riporti gli elementi dell’art.13 del Codice Privacy,
• l’obbligo di incaricare i soggetti addetti alla visione delle immagini.

In caso di sistemi collegati alle forze di Polizia, occorre uno specifico cartello informativo. Si precisa, infine, che le immagini dovranno essere conservate per un periodo di tempo limitato (max 24/48 ore), e che rimane comunque inammissibile l’installazione di impianti di videosorveglianza in luoghi riservati esclusivamente ai lavoratori o non destinati all’attività lavorativa (es. bagni, spogliatoi, docce, armadietti e luoghi ricreativi). Nella pratica, dunque, si tratterà di verificare se l’installazione delle telecamere sia compatibile con i principi di liceità, di necessità, di proporzionalità e di finalità sanciti dal Codice della Privacy e per ciò che riguarda, in particolare, la liceità del trattamento, se esso sia compatibile con il divieto sancito dallo Statuto dei lavoratori. Per “essere in regola” si dovrà quindi: 1. indicare con apposita modulistica la presenza delle videocamere; 2. redigere un documento interno sulle motivazioni e la scelta della videosorveglianza nell’area aziendale; 3. informare il personale dipendente raggiungendo un accordo con la RSU aziendale o, in sua mancanza, chiedere l’autorizzazione alla competente Direzione Provinciale del Lavoro (che DEVE essere preventiva all’installazione). Nel caso si sia già installato un impianto di videosorveglianza bisognerà scollegare l’impianto, coprire le telecamere e svolgere al più presto tutti gli adempimenti sopra indicati per non incorrere in sanzioni importanti. Ospedali e luoghi di cura No alla diffusione di immagini di persone malate mediante monitor quando questi sono collocati in locali accessibili al pubblico. È ammesso, nei casi indispensabili, il monitoraggio da parte del personale sanitario dei pazienti ricoverati in particolari reparti (es. rianimazione), ma l’accesso alle immagini deve essere consentito solo al personale autorizzato e ai familiari dei ricoverati. Videosorveglianza con audio In questo senso il Garante privacy è stato esplicito: è vietato sorvegliare i lavoratori con telecamere che registrano anche l’audio a meno che non esistano esigenze ambientali specifiche. Altrimenti si configurerebbe il reato di intercettazioni non autorizzate che ledono ovviamente i principi della privacy stessa. Si può attivare l’audio solo al di fuori degli orari di lavoro attivabile con un timer. MODULISTICA La modulistica comprende i modelli della istanza di autorizzazione all’installazione di impianti di videosorveglianza e di sistemi di controllo a distanza diversi dalla videosorveglianza con l’esatta indicazione della documentazione necessaria da allegare alla medesima. L’istanza è soggetta all’imposta di bollo nella misura di euro 16,00, così come il provvedimento di autorizzazione rilasciato dalla sede centrale o territoriale dell’Ispettorato Nazionale del Lavoro. Si fa presente che in mancanza degli elementi minimi indicati nell’istanza, la medesima risulterà incompleta e laddove tali mancanze non venissero sanate, l’autorizzazione non potrà essere rilasciata. PRINCIPI L’attività di videosorveglianza è particolarmente invasiva. Per questo motivo il Garante per la Privacy ha fissato alcuni principi che devono essere sempre rispettati. Principio di liceità: La videosorveglianza deve avvenire nel rispetto, oltre che della disciplina in materia di protezione dei dati personali, di quanto prescritto da altre disposizioni di legge da osservare in caso di installazione di apparecchi audiovisivi. Principio di necessità: va escluso ogni uso superfluo e vanno evitati eccessi e ridondanze. Principio di proporzionalità: gli impianti di videosorveglianza possono essere attivati solo quando altre misure siano ponderatamente valutate insufficienti o inattuabili. Nel commisurare la necessità di un sistema al grado di rischio presente in concreto, va evitata la rilevazione di dati in aree o attività che non sono soggette a concreti pericoli, o per le quali non ricorre un’effettiva esigenza di deterrenza, come quando, ad esempio, le telecamere vengono installate solo per meri fini di apparenza o di “prestigio”. Se la loro installazione è finalizzata alla protezione di beni, anche in relazione ad atti di vandalismo, devono risultare parimenti inefficaci altri idonei accorgimenti quali controlli da parte di addetti, sistemi di allarme, misure di protezione degli ingressi, abilitazioni agli ingressi. Non va adottata la scelta semplicemente meno costosa, o meno complicata, o di più rapida attuazione, che potrebbe non tener conto dell’impatto sui diritti degli altri cittadini o di chi abbia diversi legittimi interessi. La videosorveglianza è, quindi, lecita solo se è rispettato il c.d. principio di proporzionalità, sia nella scelta se e quali apparecchiature di ripresa installare, sia nelle varie fasi del trattamento. Principio di finalità: gli scopi perseguiti devono essere determinati, espliciti e legittimi. Ciò comporta che il titolare possa perseguire solo finalità di sua pertinenza. I soggetti pubblici e privati non possono assumere quale scopo della videosorveglianza finalità di sicurezza pubblica, prevenzione o accertamento dei reati che invece competono solo ad organi giudiziari o di polizia giudiziaria oppure a Forze Armate o di Polizia. In ogni caso, possono essere perseguite solo finalità determinate e rese trasparenti, ossia direttamente conoscibili attraverso adeguate comunicazioni e/o cartelli di avvertimento al pubblico (fatta salva l’eventuale attività di acquisizione di dati disposta da organi giudiziari o di polizia giudiziaria), e non finalità generiche o indeterminate, tanto più quando esse siano incompatibili con gli scopi che vanno esplicitamente dichiarati e legittimamente perseguiti. Le finalità così individuate devono essere correttamente riportate nell’informativa. La videosorveglianza da parte di soggetti pubblici Un soggetto pubblico può effettuare attività di videosorveglianza solo ed esclusivamente per svolgere funzioni istituzionali. Anche quando un’amministrazione è titolare di compiti in materia di pubblica sicurezza o prevenzione dei reati, per installare telecamere deve comunque ricorrere un’esigenza effettiva e proporzionata di prevenzione o repressione di pericoli concreti. Non è quindi lecita, senza tale valutazione, una capillare videosorveglianza d’intere aree cittadine. Sono ammesse, nel rispetto di principi specifici, telecamere su alcuni mezzi di trasporto pubblici, nei luoghi di culto e sepoltura. Sono ingiustificati gli impianti installati al solo fine di controllare il divieto di fumare, di calpestare aiuole, di depositare sacchetti dell’immondizia, etc. La videosorveglianza da parte di soggetti privati Si possono installare telecamere senza il consenso degli interessati, sulla base delle prescrizioni indicate dal Garante, quando chi intende rilevare le immagini deve perseguire un interesse legittimo a fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo, prevenzione incendi, sicurezza del lavoro, ecc.. Le riprese di aree condominiali da parte di più proprietari o condomini, di studi professionali, società ed enti sono ammesse esclusivamente per preservare, da concrete situazioni di pericolo, la sicurezza di persone e la tutela dei beni. L’installazione da parte di singoli condomini richiede comunque l’adozione di cautele: angolo visuale limitato ai soli spazi di propria pertinenza, nessuna ripresa di aree comuni o antistanti le abitazioni di altri condomini, ecc.. I videocitofoni sono ammessi per finalità identificative dei visitatori. Durata dell’eventuale conservazione In applicazione del principio di proporzionalità, anche l’eventuale conservazione temporanea dei dati deve essere commisurata al grado d’indispensabilità e per il solo tempo necessario – e predeterminato – a raggiungere la finalità perseguita. La conservazione deve essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria. Solo in alcuni specifici casi, per peculiari esigenze tecniche (mezzi di trasporto) o per la particolare rischiosità dell’attività svolta dal titolare del trattamento (ad esempio, per alcuni luoghi come le banche può risultare giustificata l’esigenza di identificare gli autori di un sopralluogo nei giorni precedenti una rapina), è ammesso un tempo più ampio di conservazione dei dati, che non può comunque superare la settimana. L’informativa Gli interessati devono essere informati che stanno per accedere o che si trovano in una zona videosorvegliata e dell’eventuale registrazione; ciò anche nei casi di eventi e in occasione di spettacoli pubblici (concerti, manifestazioni sportive) o di attività pubblicitarie (attraverso web cam). L’informativa deve fornire gli elementi previsti dal Codice anche con formule sintetiche, ma chiare e senza ambiguità. Tuttavia il Garante ha individuato un modello semplificato di informativa “minima”, riportato nel fac-simile di fianco. PRIVACY Chi intende svolgere attività di videosorveglianza deve osservare almeno le seguenti cautele, rispettando comunque il principio di proporzionalità tra mezzi impiegati e fini perseguiti: 1. Tutti gli interessati devono determinare esattamente le finalità perseguite attraverso la videosorveglianza e verificarne la liceità in base alle norme vigenti. Se l’attività è svolta in presenza di un pericolo concreto o per la prevenzione di specifici reati, occorre rispettare le competenze che le leggi assegnano per tali fini solo a determinate amministrazioni pubbliche, prevedendo che alle informazioni raccolte possano accedere solo queste amministrazioni. 2. Il trattamento dei dati deve avvenire secondo correttezza e per scopi determinati, espliciti e legittimi (art. 9, comma 1, lett. a) e b), legge 675/1996). 3. Nei casi in cui la legge impone la notificazione al Garante dei trattamenti di dati personali effettuati da determinati soggetti (art. 7 legge 675/1996), questi devono indicare fra le modalità di trattamento anche la raccolta di informazioni mediante apparecchiature di videosorveglianza. Non è prevista alcuna altra forma di specifica comunicazione o richiesta di autorizzazione al Garante. 4. Si devono fornire alle persone che possono essere riprese indicazioni chiare, anche se sintetiche, che avvertano della presenza di impianti di videosorveglianza, fornendo anche le informazioni necessarie ai sensi dell´art. 10 della legge n. 675/1996. Ciò è tanto più necessario quando le apparecchiature non siano immediatamente visibili. 5. Occorre rispettare scrupolosamente il divieto di controllo a distanza dei lavoratori e le precise garanzie previste al riguardo (art. 4 legge 300/1970). 6. Occorre rispettare i princìpi di pertinenza e di non eccedenza, raccogliendo solo i dati strettamente necessari per il raggiungimento delle finalità perseguite, registrando le sole immagini indispensabili, limitando l’angolo visuale delle riprese, evitando – quando non indispensabili – immagini dettagliate, ingrandite o dettagli non rilevanti, e stabilendo in modo conseguente la localizzazione delle telecamere e le modalità di ripresa. 7. Occorre determinare con precisione il periodo di eventuale conservazione delle immagini, prima della loro cancellazione, e prevedere la loro conservazione solo in relazione a illeciti che si siano verificati o a indagini delle autorità giudiziarie o di polizia. 8. Occorre designare per iscritto i soggetti – responsabili e incaricati del trattamento dei dati (artt. 8 e 19 della legge 675/1996) – che possono utilizzare gli impianti e prendere visione delle registrazioni, avendo cura che essi accedano ai soli dati personali strettamente necessari e vietando rigorosamente l´accesso di altri soggetti, salvo che si tratti di indagini giudiziarie o di polizia. 9. I dati raccolti per determinati fini (ad esempio, ragioni di sicurezza, tutela del patrimonio) non possono essere utilizzati per finalità diverse o ulteriori (ad esempio, pubblicità, analisi dei comportamenti di consumo), salvo le esigenze di polizia o di giustizia, e non possono essere diffusi o comunicati a terzi. 10. I particolari impianti per la rilevazione degli accessi dei veicoli ai centri storici e alle zone a traffico limitato devono essere conformi anche alle disposizioni contenute nel d.P.R. 250/1999. E´ altresì necessario che la relativa documentazione sia conservata per il solo periodo necessario per contestare le infrazioni e definire il relativo contenzioso e che ad essa si possa inoltre accedere solo a fini di indagine giudiziaria o di polizia. Con l’entrata in vigore del GDPR 679/2016 è necessario: 1. Sostituire le «vecchie» informative sintetiche prive di idoneo rimando (es. link al sito) all’informativa estesa 2. Predisporre e rendere disponibili le nuove informative estese, ovvero:

• dati di contatto RPD-DPO
• base giuridica del trattamento
• interesse legittimo alla base giuridica del trattamento
• periodo di conservazione dei dati
• diritto di opposizione
• cancellazione
• reclamo (GDPR art. 14),
• dati autorizzativi
• caratteristiche impianto,
• riserva uso immagini a scopo disciplinare (art.4 Stat. Lav).

3. Per i nuovi impianti: vale il criterio privacy by design (art. 25 GDPR) fin dalla progettazione con le relative applicazioni informatiche di supporto, creando team multidisciplinari (progettisti, installatori, legali, informatici). SINTESI DEGLI ADEMPIMENTI DA PARTE DEL TITOLARE DEL TRATTAMENTO Una azienda che vuole installare telecamere di sorveglianza sul posto di lavoro ed essere conforme a tutte le normative vigenti, compreso quanto previsto dal GDPR, deve effettuare le seguenti attività prima di poter mettere in funzione l’impianto:

1. Informare i lavoratori interessati mediante un’informativa privacy adeguata alle finalità del trattamento;
2. Nominare un responsabile alla gestione dei dati registrati;
3. Posizionare le telecamere soltanto nelle zone a rischio, evitando di riprendere in maniera unidirezionale i lavoratori;
4. Affiggere dei cartelli visibili che informino i dipendenti ed eventuali clienti, ospiti o visitatori della presenza dell’impianto di videosorveglianza (cfr. i summenzionati provvedimento generale dell’8 aprile 2010);
5. Conservare le immagini per un limitato periodo di tempo (24-48 ore);
6. Formare il personale addetto alla videosorveglianza;
7. Predisporre le misure minime di sicurezza;
8. Predisporre misure idonee di sicurezza atte a garantire l’accesso alle immagini solo al personale autorizzato;
9. Nel caso in cui le videocamere riprendano uno o più dipendenti mentre lavorano, stipulare un accordo con le rappresentanze sindacali aziendali o con la Direzione Provinciale del Lavoro e ottenere l’autorizzazione all’installazione dei dispositivi elettronici di controllo a distanza (cfr. sezione modulistica del sito web dell’Ispettorato Nazionale del Lavoro).
10. Aggiornare il Registro dei Trattamenti (art. 30 GDPR)
11. Nel caso in cui la sorveglianza sia sistematica ed effettuata su larga scala di una zona accessibile al pubblico, provvedere a effettuare un Data Protection Impact Assessment (Valutazione d’impatto sulla protezione dei dati o PIA – art. 32 GDPR).