Le Linee Guida 3/2019 sul trattamento di dati personali effettuato mediante apparati video

Nella sessione plenaria dal 9-10 luglio 2019, il Comitato Europeo per la protezione dei dati personali nuovo ente previsto dall’art. 68 del RGPD quale organismo indipendente dell’Unione Europea, dotato di personalità giuridica, composto dai Presidenti delle Autorità privacy nazionali ed integrato nella sua composizione dal Garante europeo della protezione dei dati e da un delegato rappresentante della Commissione UE ha sottoposto a consultazione pubblica le Linee Guida 3/2019 sul trattamento di dati personali effettuato mediante apparati video.

Gli attuali scenari della videosorveglianza alla luce del Regolamento UE 679/2016 RGPD” i presupposti delle Linee Guida 3/2019 sul trattamento di dati personali effettuato mediante apparati video. Ancorchè provvisorio i soggetti e gli operatori interessati potranno esprimere opinioni e proposte di modifica e integrazione al testo fino al prossimo 9 Settembre, inviandole alla email ufficiale EDPB@edpb.europa.eu si tratta di un importante documento che in un settore delicato e dalle varie implicazioni – quale quello che in generale definiremo della videosorveglianza” – cala nella realtà degli adempimenti pratici i principi di tutela della protezione dei dati così come fissati dal RGPD. Va difatti ricordato che ai sensi dell’articolo 4, nn. 1 e 14 del RGPD le immagini che identificano o rendono identificabile una persona fisica sono appunto dati personali” e che quando le immagini di un individuo – si pensi all’immagine facciale – a seguito di un trattamento tecnico specifico relativo alle caratteristiche fisiche di una persona fisica” consentono o confermano l'identificazione univoca” della persona, siamo altresì in presenza di dati biometrici” sottoposti allo speciale regime normativo di cui all’articolo 9 del RGPD. Inoltre, anche i presupposti della adozione di Linee Guida specifiche come indicati dal Comitato sono conferma di quanto sia importante – nella attuale società tecnologizzata, globale e videosorvegliata ad ogni livello, privato e pubblico – richiamare in un documento ad hoc le indicazioni sulla concreta applicazione dei principi di protezione dei dati personali. Sono difatti massive” – per utilizzare lo stesso termine dei Garanti UE - le implicazioni sulla protezione dei dati dei cittadini in termini di a significativo sviluppo e uso intensivo di apparati e strumenti di sistematico monitoraggio e ripresa ottica e/o audio-visiva nella sfera individuale delle persone, con tecnologie che – rilevando senza soluzione di continuità la presenza o il comportamento della persona nello spazio ripreso/monitorato - limitano le possibilità di movimento anonimo del cittadino o di un suo utilizzo in anonimato di servizi rimanere anonimo o preservare una sfera di riservatezza sta diventando esponenzialmente sempre più difficile” b rischi di secondary use” quando non di utilizzo illecito della grande quantità di dati personali generati da video, unitamente all’impiego combinato di strumenti e tecniche di trattamento avanzate c rischi di finalità impreviste” ad esempio, quando la videosorveglianza è finalizzata a scopi di prevenzione e di sicurezza, ma i dati e le informazioni tratti dalle immagini sono poi utilizzati a scopi marketing, o di monitoraggio/profilazione del comportamento del cittadino, o di controllo dei lavora-tori, etc d rischi derivanti dalla circostanza che la videosorveglianza è attualmente altamente performante” se solo si considerano le tecniche di intelligenza artificiale applicate alla video-analisi e rischi connessi a possibili malfunzionamenti dei device che catturano le immagini o dei software/algoritmi e che sono atti a creare pregiudizio e discriminazioni alcuni ricercatori hanno evidenziato che i software di riconoscimento facciale possono funzionare più o meno efficacemente a seconda dell’età, del sesso e della razza dell’individuo . Per questo, ma non solo, il Comitato ha avvertito la stringente esigenza di adottare linee guida che – a partire soprattutto dai principi generali sul trattamento fissati nell’articolo 5 RGPD – chiarissero ad operatori e interessati le modalità applicative della normativa sulla protezione dei dati di cui al RGPD allo specifico settore della videosorveglianza. E i Garanti UE partono da una considerazione preliminare da non sottovalutare la videosorveglianza non deve essere di default la prima scelta o essere ritenuta sempre e comunque necessaria se – invece - vi sono altri strumenti meno invasivi che comunque possono allo stesso modo realizzare gli scopi sottostanti di sicurezza, tutela del patrimonio, etc in ciò i Garanti UE sembrano riecheggiare la prescrizione del Garante italiano nel vecchio Provvedimento Generale sulla videosorveglianza del 2004, che al punto 2.3 disponeva Gli impianti di videosorveglianza possono essere attivati solo quando altre misure siano ponderatamente valutate insufficienti o inattuabili . Il rischio è altrimenti quello di determinare nel lungo periodo un cambio nell’approccio culturale in grado di portare in definitiva alla accettazione della mancanza di privacy come principio generale . Infine, va in sede introduttiva riportato lo specifico richiamo effettuato dai Garanti UE in merito alla possibile applicazione di ulteriori e specifici principi nazionali in materia di videosorveglianza integrativi di quelli contenuti nelle Linee Guida 3/2019 se così previsto e consentito dal RGPD”. Tale richiamo sarà utile nelle valutazioni finali del presente contributo in merito al rapporto tra le Linee Guida in commento è il Provvedimento generale sulla Videosorveglianza emanato dal garante privacy italiano l’8 aprile 2010.

Quali sanzioni per l’inosservanza delle Linee Guida 3/2019? Quali sanzioni si applicheranno per la eventuale inosservanza delle raccomandazioni contenute nelle Linee Guida 3/2019? Il potere del Comitato europeo per la protezione dei dati personali di adottare linee guida, raccomandazioni e migliori prassi al fine di promuovere l'applicazione coerente del presente regolamento” è specificatamente previsto dall’articolo 70, comma 1, lettera e del RGPD. A stretto rigore formale, anche data la natura di raccomandazioni, va evidenziato che non esiste nel RGPD una sanzione diretta per violazione da parte di Titolari o Responsabili del trattamento delle indicazioni contenute in tali documenti emanati dal Comitato. E’ però ovvio che le Linee Guida non fanno altro che applicare nel settore specifico della videosorveglianza i principi fondamentali sul trattamento come stabiliti all’articolo 5 del RGPD e che dunque la inosservanza delle indicazioni specifiche sui trattamenti di videosorveglianza come contenute nelle Linee Guida 3/2019 potrebbe altresì comportare la violazione dell’articolo 5 RGPD e l’applicabilità delle sanzioni di cui all’articolo 83, comma 5 del RGPD fino a 20.000.000 EUR, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore . Identico importo sanzionatorio sarebbe poi applicabile al titolare o al responsabile del trattamento nel caso di comunicazione o diffusione delle immagini a terzi destinatari ubicati al di fuori della UE, in violazione delle prescrizioni di cui agli articoli da 44 a 49 del RGPD. Vi potrebbero poi essere casi di violazione diretta delle indicazioni che le Linee Guida 3/2019 ricollegano ad obblighi specifici che il RGPD prevede per i trattamenti di videosorveglianza es articoli 35 e 37 su obbligo di DPIA e di nomina del RPD nel caso di videosorveglianza su larga scala in questi casi troverebbe applicazione la sanzione prevista dall’articolo 83, comma 4 del RGPD fino a 10.000.000 EUR, o per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore . Se poi una qualsiasi Autorità dovesse esercitare, per l’inosservanza da parte di Titolari o Responsabili del trattamento delle indicazioni fornite nelle Linee Guida, i propri poteri correttivi e di ingiunzione ai sensi dell’articolo 58, comma 2 del RGPD es ingiungere al titolare del trattamento o al responsabile del trattamento di conformare la videosorveglianza alle disposizioni del RGPD, imporre una limitazione provvisoria o definitiva al trattamento di videosorveglianza, incluso il divieto di trattamento ordinare la cancellazione delle immagini, etc , laddove il titolare o il responsabile non rispettassero l’ordine dell’Autorità di controllo, sarebbe applicabile la sanzione di cui all’articolo 83, comma 6 per l’inosservanza di un ordine da parte dell'autorità di controllo fino a 20.000.000 EUR, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. Il rapporto tra le Linee Guida 3/2019 e il Provvedimento Generale sulla Videosorveglianza 8 aprile 2010 del Garante privacy quali scenari applicativi? Quando, all’esito della consultazione pubblica che terminerà il 9 Settembre 2019, il Comitato Europeo per la protezione dei dati personali adotterà formalmente le Linee Guida 3/2019 sulla videosorveglianza, che ne sarà del Provvedimento Generale del Garante italiano adottato in materia l’8 aprile 2019? Prima di rispondere a tale domanda, ne va posta preliminarmente un’altra dopo l’entrata in vigore del RGPD, tale provvedimento al pari di altri provvedimenti generali del Garante privacy è ancora vigente oppure è stato abrogato? Il legislatore, con l’articolo 22, comma 4, d.lgs. 10 agosto 2018, n. 101 recante Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 si è limitato a prevedere che A decorrere dal 25 maggio 2018, i provvedimenti del Garante per la protezione dei dati personali continuano ad applicarsi, in quanto compatibili con il suddetto regolamento e con le disposizioni del presente decreto . Principio pilatesco e di assoluta ambiguità applicativa chi stabilisce – difatti – se un provvedimento del Garante è compatibile” con il RGPD? Ciò soprattutto a fronte della mancanza, ad oggi, di un censimento ufficiale di tutti i provvedimenti emanati nel tempo dal Garante in termini di loro compatibilità con il RGPD o di necessità di loro abrogazione che avrebbe ben potuto, nel biennio 2016-1028, essere redatto dalla competente Autorità per la protezione dei dati personali. Quid se ad esempio un avvocato o un consulente o un Responsabile per la protezione dei dati personali ritiene un provvedimento del Garante non compatibile” con il RGPD e dunque abrogato o comunque da disapplicare e poi, in una eventuale sede ispettiva, il Garante contesta la sua mancata osservanza? Inoltre, in che termini può essere svolta la valutazione di compatibilità tra un provvedimento del Garante e il RGPD se vi sono dei profili di incompatibilità, ma altre parti di un dato provvedimento del Garante risultano in linea con il RGPD, si dovrà procedere ad una sua applicazione e disapplicazione selettiva? Tutte domande che pongono criticità di assoluta delicatezza, ma alle quali né il legislatore né l’Autorità hanno dato risposte. Infine non esiste alcuna norma né nel RGPD, né nel vigente Codice della privacy e né nel d.lgs. 101/2018 che coordini – in termini di effetti abrogativi o comunque di coordinamento e successione nel tempo – le Linee guida del Comitato Europeo per la protezione dei dati personali adottate ai sensi dell’art. 70, comma 1, lettera e del RGPD e i provvedimenti generali delle Autorità nazionali di controllo anche previgenti in identiche materie o in identici settori anche se è un fatto che sul sito web ufficiale dell’Autorità italiana per la protezione dei dati personali - nella revisione del 15 Luglio 2019 – nella sezione dedicata alla Videosorveglianza” siano pubblicate come unico documento proprio le Linee Guida 3/2019, mentre il vecchio” provvedimento 8 aprile 2010 sulla videosorveglianza è stato spostato nella sezione dei materiali di archivio . Non si può dunque che procedere adottando cautela interpretativa. Ad esempio, se è vero che la gran parte dei principi pratici del provvedimento generale sulla Videosorveglianza del Garante 8 aprile 2010 sono comunque assorbiti nelle Linee Guida 3/2019, in altri casi vi sono palesi incompatibilità o chiari effetti abrogativi ad esempio sono del tutto inapplicabili i paragrafi del provvedimento 8 aprile 2010 sulla videosorveglianza che impongono la verifica preliminare o la notificazione, istituti – come è noto – abrogati. Decadono poi per certo i famosi cartelli grafici con l’informativa sintetica riportati negli Allegati 1 e 2 del provvedimento del Garante, in quanto non recano tutti gli elementi informativi sintetici che i nuovi cartelli sulla videosorveglianza dovranno contenere a fini di trasparenza ai sensi dell’art. 13 RGPD e delle Linee Guida 3/2019 quando le Linee Guida saranno in vigore, i Titolari del trattamento dovranno sostituirli con quelli che le stesse Linee Guida evidenziano come format strutturali grafici da riempire” con i contenuti sintetici previsti. In altri ambiti, vi sono invece delle prescrizioni specifiche del provvedimento generale del Garante sulla videosorveglianza che potrebbero sopravvivere. Va difatti ricordato che non solo le stesse Linee Guida 3/2019 precisano più volte si veda il Paragrafo n. 41 che la normativa nazionale può prevedere prescrizioni integrative ulteriori e più specifiche in materia di videosorveglianza ivi inclusa la permanenza di prescrizioni già vigenti , ma che l’articolo 154-bis rubricato Poteri” del Codice della privacy prevede che rispetto ai poteri delle Autorità nazionali come stabiliti dal RGPD, il Garante abbia il potere aggiuntivo di adottare linee guida di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del Regolamento, anche per singoli settori . Dunque la sopravvivenza – in sede integrativa delle Linee Guida 3/2019 - di taluni principi ancora validi del provvedimento sulla videosorveglianza del 2010 e compatibili con il RGPD, può ad esempio ravvisarsi con riferimento 1 alle prescrizioni del paragrafo 4.1 del provvedimento 8 aprile 2010 riferite alla videosorveglianza nel settore specifico dei rapporti di lavoro anche perché le Linee Guida 3/2019 e il Capo IX del RGPD specificatamente rimandano a norme nazionali nel settore dei rapporti di lavoro 2 alle prescrizioni di tutela specifiche quando la videosorveglianza è attuata in ospedali e luoghi di cura si veda il paragrafo 4.2 del provvedimento del Garante quanto alla videosorveglianza negli istituti scolastici, nel trasporto pubblico, effettuata tramite web cam, etc, le relative prescrizioni del provvedi-mento sono di principio e assorbite comunque dalle corrispondenti previsioni delle Linee Guida 3/2019 3 alle prescrizioni di cui al paragrafo 4.6 relative all’impiego di sistemi integrati di videosorveglianza condivisi tra diversi soggetti, pubblici e privati, o relative alla offerta di servizi centralizzati di videosorveglianza remota da parte di fornitori società di vigilanza, Internet service providers, fornitori di servizi video specialistici, etc. in tale ambito il provvedimento del Garante – rispetto alle Linee Guida 3/2019 - è integrativo e prevede obblighi ad hoc es le prescrizioni sulla adozione di sistemi idonei alla registrazione degli accessi logici degli addetti e delle operazioni compiute sulle immagini registrate, compresi i relativi riferimenti temporali, con conservazione per un periodo di tempo congruo all´esercizio dei doveri di verifica periodica dell’operato dei responsabili da parte del Titolare, comunque non inferiore a sei mesi le prescrizioni relative alla separazione logica delle immagini registrate dai diversi Titolari etc 4 alle prescrizioni sulla videosorveglianza attuata da soggetti pubblici 5 alle prescrizioni relative alla designazione per iscritto di tutte le persone fisiche autorizzate sia ad accedere ai locali dove sono situate le postazioni di controllo, sia ad utilizzare gli impianti e, nei casi in cui sia indispensabile per gli scopi perseguiti, a visionare le immagini da intendersi ora quali persone autorizzate al trattamento ai sensi degli articoli 29 e 32 RGPD o soggetti designati ai sensi dell’articolo 2-quaterdecies, del Codice della privacy e alle prescrizioni relative alla necessità di individuare diversi livelli di accesso in corrispondenza delle specifiche mansioni attribuite ad ogni singolo operatore, distinguendo coloro che sono unicamente abilitati a visionare le immagini dai soggetti che possono effettuare, a determinate condizioni, ulteriori operazioni es. registrare, copiare, cancellare, spostare l´angolo visuale, modificare lo zoom, ecc. 6 alle prescrizioni in materia di misure di sicurezza idonee specifiche come individuate al paragrafo 3.3.1 del provvedimento del Garante, le quali sono del tutto in linea con l’art. 32 RGPD e appaiono integrative delle Linee Guida 3/2019 7 alle prescrizioni specifiche sulle modalità di resa tramite cartelli dell’informativa del primo strato” es illuminazione notturna o dislocazione nelle vicinanze di ogni telecamera, anche se le Linee Guida 3/2019 non prevedono la visibilità dei cartelli informativi di notte e specificano che essi non vanno posti nei pressi di ogni telecamera, ma le relative previsioni del provvedimento del Garante ben possono considerarsi su tali punti integrative e ulteriori . Infine, altro possibile vuoto normativo è quello delle possibili sanzioni amministrative applicabili richiamate al paragrafo 7 del Provvedimento del Garante, parzialmente applicabile difatti, alla eventuale violazione delle prescrizioni del provvedimento generale sulla videosorveglianza che fossero ritenute integrative delle Linee Guida 3/2019 e ancora vigenti anche ai sensi dell’articolo 154-bis del Codice della privacy sarebbero applicabili solo i poteri di blocco o divieto dei trattamenti ora previsto dall’art. 58 RGPD ma non anche le specifiche sanzioni che nella previgente disciplina era possibile comminare direttamente per la specifica infrazione amministrativa di inosservanza dei provvedimenti generali del Garante privacy. La nuova versione del Codice della privacy, difatti, non prevede all’articolo 166 sanzioni specifiche – ad esempio – per la violazione dei provvedimenti emessi dal Garante in esercizio del suo potere specifico di emanazione di provvedimenti e linee guida, ai sensi dell’art. 154-bis del medesimo Codice. Né il d.lgs. 101/2018, che pure ha specificato – per le sole autorizzazioni generali del Garante - all’articolo 21, comma 5 che le violazioni delle prescrizioni contenute nelle autorizzazioni generali . Sono soggette alla sanzione amministrativa di cui all'articolo 83, paragrafo 5, del Regolamento UE 2016/679” ha previsto analoga previsione sanzionatoria con riferimento specifico ai provvedimenti generali o linee guida. Resterebbe dunque da valutare se la eventuale violazione delle prescrizioni del provvedimento generale sulla videosorveglianza 8 aprile 2010 che fossero ritenute integrative delle Linee Guida 3/2019 e ancora vigenti non sia indirettamente sanzionabile ai sensi dell’art. 83, comma 5 del RGPD fino a 20 milioni di Euro o 4% del fatturato mondiale per violazione dei principi di cui all’articolo 5 RGPD, ed in particolare perché il trattamento non rispetterebbe tutte le condizioni di liceità. Ovvio che la ricostruzione interpretativa fornita nel presente paragrafo è una delle conclusioni plausibili e prudenziali di non illogica compatibilità tra provvedimenti diversi e che solo un auspicabile intervento specifico del Garante potrebbe apportare – in un settore così delicato e dalle rilevanti implicazioni – un definitivo chiarimento.

Le Linee Guida 3/2019 ricordano poi che quando si effettuano trattamenti di videosorveglianza, essi sono il presupposto di specifici obblighi ad esempio, ai sensi dell’art. 35, comma 3, lettera c RGPD, è obbligatorio condurre una Valutazione di Impatto per i casi di sorveglianza sistematica su larga scala di una zona accessibile al pubblico”. Saranno dunque applicabili le specifiche Linee Guida WP 248 sulla Data Protection Impact Assessment DPIA” , unitamente agli specifici dettami degli elenchi nazionali adottati dalle Autorità privacy in merito a tipologie di trattamento soggetto all’obbligo di DPIA si ricordi, ad esempio, che nell’elenco del Garante privacy italiano è obbligatoria la Valutazione di Impatto nei casi di a trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi di videosorveglianza dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti b trattamenti effettuati mediante interconnessione, combinazione o raffronto di informazioni c trattamenti su larga scala di dati aventi carattere estremamente personale, quali i dati sull’ubicazione di una persona fisica d trattamenti che prevedono un utilizzo sistematico di dati per l’osservazione, il monitoraggio o il controllo degli interessati e trattamenti che comportano la profilazione degli interessati tutte ipotesi di obbligo di DPIA applicabili alla videosorveglianza . Inoltre, ai sensi dell’articolo 37, comma 1, lettera b scatta l’obbligo di nomina di un Responsabile della protezione dei dati personali DPO/RPD se il Titolare o il Responsabile effettuano trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala” es il gestore di una rete autostradale che effettua la videosorveglianza per il controllo del traffico autostradale e utilizza un sistema intelligente di analisi delle immagini per l’individuazione dei veicoli e il riconoscimento automatico delle targhe . Anche se i Garanti UE non lo evidenziano, ad avviso di chi scrive sarebbe applicabile anche l’articolo 3, comma 2, lettera b del RGPD che prevede che Titolari o Responsabili del trattamento non stabiliti nella UE siano assoggettati al Regolamento con obbligo di nomina di un rappresentante stabilito nella UE, ai sensi dell’art. 27 RGPD quando le attività di trattamento riguardano il monitoraggio del comportamento di interessati che si trovano nella Unione Europea, nella misura in cui tale comportamento ha luogo all'interno dell'Unione”. E’ vero che il Considerando n. 24 del RGPD sembra intendere per monitoraggio” l’insieme di tecniche di tracciatura su reti di comunicazione elettronica Per stabilire se un’attività di trattamento sia assimilabile al controllo del comportamento dell'interessato, è opportuno verificare se le persone fisiche sono tracciate su internet, compreso l'eventuale ricorso successivo a tecniche di trattamento dei dati personali che consistono nella profilazione della persona fisica, in particolare per adottare decisioni che la riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali . Ma non è illogico applicare – nell’ottica di rafforzata protezione dell’interessato – l’articolo 3, comma 2, lettera b anche al caso di monitoraggio del comportamento effettuato mediante altre tecniche, videosorveglianza inclusa d’altra parte, le persone che si trovano nella UE possono essere tracciate/profilate su Internet anche da soggetti non stabiliti nella UE che utilizzano web cam o ad esempio richiedono l’attivazione delle videocamere integrate nei dispositivi degli interessati ai fini ella resa di particolari servizi .

Sicurezza. I Titolari del trattamento che intendano rendere operativi sistemi di videosorveglianza, non solo devono rispettare i principi giuridici e legali che più sopra si sono esaminati, ma devono altresì rendere i trattamenti sicuri ai sensi dell’articolo 32 RGPD. In particolare, spetta ad essi sia nella fase di progettazione del sistema di videosorveglianza, che prima della raccolta e dell’inizio del trattamento che – infine - nella successiva fase di sua operatività a tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al RGPD b riesaminare e aggiornare tali misure, qualora necessario c se proporzionato rispetto alle attività di trattamento, attuare specifiche policies e direttive quadro interne all’organizzazione per documentare in che modo, nella operatività dei sistemi di videosorveglianza, si attuano politiche adeguate in materia di protezione dei dati d condurre la Valutazione di Impatto se necessaria e attuare e documentare i principi di privacy by default e privacy by design. Le Linee Guida, evidenziando che il RGPD non contiene una definizione – né tecnica né legale – di videosorveglianza”, richiamano tuttavia la regola tecnica EN 62676-1-1 2014 Video surveillance systems for use in security applications – Part 1-1 Video system requirements, che definisce i tre blocchi funzionali fondamentali dei sistemi di videosorveglianza e ne definisce i requisiti minimi di prestazione. I tre elementi fondamentali che costituiscono un sistema di videosorveglianza VSS” sono 1. ambiente video 2. gestione del sistema 3. sicurezza del sistema. L’ambiente video è deputato all’acquisizione dell’immagine, alla sua trasmissione e trattamento, ossia alla sua visualizzazione, analisi e memorizzazione. La funzione di gestione del sistema riguarda invece tutte quelle attività di interfacciamento con l’operatore e con altri sistemi che comprendono, ad esempio, i comandi dell’operatore o le procedure di allarme generate dal sistema. La funzione di sicurezza del sistema, infine, è quella di sovraintendere all’integrità dei dati e del sistema, segnalare gli eventuali guasti e proteggere il VSS dalle manomissioni deliberate e accidentali. Per quanto riguarda i componenti, il VSS può essere schematizzato come composto da 1. mezzi di ripresa 2. mezzi di visualizzazione 3. mezzi di videoregistrazione 4. mezzi di trasmissione. Ciò posto, il funzionamento tecnico di un VSS dovrà integrare e incorporare by design tutti i principi di tutela dei dati proporzionalità, minimizzazione della raccolta, limitazione della conservazione dei dati, basi di legittimità del trattamento, privacy by default, etc con riferimento sia alle tecnologie impiegate, sia alla modalità della raccolta dei dati. Tali principi dovranno essere incorporati con riferimento ad ogni componente del VSS è applicati durante l’intero ciclo di vita del VSS. Inoltre, è onere del Titolare del trattamento inserire nelle condizioni commerciali di acquisto di un VSS clausole idonee che garantiscano che il sistema che si va ad acquistare include tali principi che lo rendono conforme al RGPD tale previsione delle Linee Guida riecheggia la vecchia dichiarazione di conformità” di cui all’abrogato punto 25 del Disciplinare Tecnico in Allegato B al previgente Codice della privacy italiano . Meglio, poi, utilizzare sistemi che garantiscono tecnologie privacy-friendly, in grado di potenziare la sicurezza dei trattamenti es tecnologie di mascheramento di aree da non riprendere, pixellatura di terzi soggetti, etc e non impiegare e disattivare, se presenti funzioni che non siano realmente necessarie rispetto agli specifici scopi perseguiti quali registrazione di audio, movimento e campo di ripresa illimitati delle telecamere, capacità di zoom, trasmissione radio, etc . Sul punto, il Comitato rimanda alla copiosa letteratura tecnica internazionale, inclusi gli standard di certificazione, come le linee guida IEC TS 62045 — Multimedia security - Guideline for privacy protection of equipment and systems in and out of use e la certificazione ISO/IEC 27000 — Information security management systems series. Le Linee Guida offrono esempi pratici di misure tecniche, organizzative e di sicurezza da implementare con riferimento ad ogni componente di un sistema di videosorveglianza le misure non differiscono da quelle che ordinariamente si attuano nell’ambito dei sistemi IT, anche se nel comprato della videosorveglianza sarà necessario un adeguato mix di misure tecniche, organizzative e di security con riferimento alle varie fase di trattamento, storage trasmissione e utilizzo delle immagini . Importanti sono i richiami alla necessità di prevedere idonee misure organizzative, quali - individuare un responsabile interno o esterno della gestione ed operatività del VSS - stabilire e documentare le finalità del trattamento tramite videosorveglianza - identificare quali impieghi di un VSS sono consentiti dove e quando e quali sono vietati es telecamere nascoste, telecamere con funzioni audio, etc - garantire le dovute informazioni in modo trasparente su tutti gli aspetti del VSS come evidenziato nel Paragrafo sull’Informativa sul trattamento dei dati personali - indicare se e quando il video è registrato, in che modalità tecnica, come è successivamente conservato, per quale durata, quali registrazioni sono conserva-te per documentare incidenti di sicurezza, etc - individuare chi deve essere sottoposto – in base al ruolo – ad una idonea formazione tecnica es gestori del sistema, operatori, manutentori, in qualità di persone autorizzate al trattamento e con quale periodicità - individuare chi può avere accesso alle immagini e per quali finalità - coordinare il VSS con gli obblighi di data breach in caso di accesso non autorizzato alle immagini - stabilire procedure operative sul VSS da chi e da dove le immagini possono essere monitorate , cosa deve farsi in caso di data breach, etc - stabilire quali procedure devono essere seguite dai terzi che vogliano accedere alle immagini, inclusi i presupposti e le condizioni dell’accesso e del diniego - stabilire procedure idonee a garantire agli interessati l’esercizio dei diritti di cui agli articoli da 15 a 22 del RGPD - stabilire le condizioni di manutenzione da parte di terzi del VSS - stabilire procedure di Incident Response Management e piani di disaster recovery. Con riferimento invece alle misure tecniche di sicurezza, le Linee Guida prescrivono di adottare misure di sicurezza logica e fisiche riguardo a tutti i componenti di un VSS. Sicurezza del sistema di videosorveglianza significa sicurezza fisica di tutti i suoi componenti e garanzia di integrità del sistema es protezione e resilienza contro interferenze intenzionali o non intenzionali con le normale operazioni e controllo degli accessi . Garantire poi la sicurezza del dato significa garantirne la sua confidenzialità nel senso che l’accesso è garantito solo a coloro che ne hanno diritto, il dato non può essere manipolato o perso, rimanendo sempre disponibile accessibile quando richiesto. Le misure di sicurezza suggerite dal Comitato in tale prospettiva sono 1. protezione dell’intera infrastruttura di videosorveglianza incluse telecamere remote, cavi, gruppi elettrici, etc contro danni fisici e furto 2. protezione delle trasmissioni video mediante canali di comunicazione anti-intercettazioni 3. crittografia delle immagini 4. impiego di soluzioni hardware e software come firewall, antivirus o sistemi di rilevazione di intrusione o cyber attacchi 5. adozione di sistemi o soluzioni di monitoraggio circa malfunzionamento operativi o del software o delle connessioni di trasmissione 6. adozione e impiego di procedure per ristabilire la disponibilità e l’accesso ai dati in caso di incidente fisico o tecnico 7. adozione di procedure controllate di accesso che garantiscono che solo gli aventi diritto o i soggetti autorizzati possono accedere ai sistemi e ai dati, con divieto per tutti gli altri, incluse le seguenti misure assicurare che i locali dove avviene la videosorveglianza e quelli dove sono conservate le immagini siano ad accesso controllato e terzi non autorizzati non possano accedere posizionare i monitor in modo tale che solo gli operatori autorizzati possano visualizzare le immagini prevedere procedure di assegnazione e revoca di profili di autorizzazione, di assegnazione e gestione delle credenziali di autenticazione incluse misure sulla lunghezza della password, obblighi di modifica periodica, etc. .

Gli obblighi di cancellazione. In primo luogo, le Linee Guida specificano che se il Titolare del trattamento non si limita ad un monitoraggio, ma conserva anche le immagini registrate, allora dovrà documentare ai sensi dell’art. 5.2 RGPD la attuale necessità della conservazione in rapporto agli scopi conseguiti . Se poi risulta lecita la registrazione e la conservazione delle immagini, in applicazione del principio di minimizzazione dei dati e – soprattutto – del principio della limitazione nella conservazione dei dati [cfr. – rispettivamente – articolo 5, comma 1, lettere c ed e ] le Linee Guida prescrivono in prima battuta che i contenuti audio-video possono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati, fatti salvi i termini specifici di conservazione che la legislazione nazionale degli Stati Membri può prevedere in materia d’altra parte, l’articolo 6, comma 2 del RGPD prevede che gli Stati membri possano mantenere o introdurre disposizioni più specifiche per l’applicazione dei principi di minimizzazione dei dati” e di limitazione della conservazione”, determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito . Con riferimento a precisi termini temporali, le Linee Guida partono dal presupposto che – essendo le finalità della videosorveglianza solitamente quelle di tutela della proprietà e di raccolta delle prove – in ogni caso il Titolare del trattamento dovrebbe valutare in uno stretto arco temporale se le immagini vadano conservate o meno. Ad esempio, i danni generalmente si scoprono e valutano in un giorno o due, e dunque un termine di 24 ore di conservazione potrebbe essere congruo. Se lo scopo è quello di verificare il compimento atti di vandalismo, le immagini raccolte possono essere cancellate meglio se automaticamente dopo qualche giorno”. Ma se quelle stesse immagini servono per fondare azioni legali contro i responsabili, è ovvio che sarà legittimo conservarle per periodi di tempo più lunghi, ai fini di far valere i diritti in giudizio. Un primo limite temporale di congruità della conservazione è fissato dalle Linee Guida a 72 ore, mentre termini di conservazione ulteriori andranno documentati ed esplicitati quanto alla necessità, proporzionalità e legittimità della conservazione nel documento ai sensi dell’art. 5.2 del RGPD. Altro principio innovativo rispetto ad esempio ai provvedimenti sulla videosorveglianza del Garante privacy italiano è quello che potremmo definire della granularità dei termini di conservazione” in sostanza, il Titolare del trattamento deve determinare un periodo di conservazione dei dati specifico per ogni finalità del trattamento perseguita dai trattamenti svolti mediante videosorveglianza. La compliance con il RGPD ed in particolare con i principi di necessità, proporzionalità, minimizzazione e limitazione della conservazione è responsabilità propria del Titolare del trattamento, che dovrà documentare opportunamente ogni scelta in merito.

I nuovi cartelli sintetici ma non troppo a scopo informativo. Con riferimento agli obblighi di Informativa, le Linee Guida specificano che restano salvi – oltre alle indicazioni fornite – gli eventuali obblighi ulteriori e specifici nell’ambito della legislazione degli Stati Membri. Inoltre, anche alla videosorveglianza vanno applicate le prescrizioni contenute nelle Linee Guida sulla Trasparenza WP 260, attuative degli articoli 12, 13 e in parte 15 del RGPD. In particolare, il Comitato richiama il Paragrafo 26 delle Linee Guida WP 260 26. L’articolo 13 si applica al caso in cui i dati sono raccolti presso l’interessato. Sono compresi i dati personali che il titolare del trattamento raccoglie presso l’interessato mediante osservazione ad es. utilizzando dispositivi o software per catturare dati in modo automatizzato quali telecamere, apparecchiature di rete, tracciamento Wi-Fi, sensori RFID o di altro tipo . I soggetti interessati devono essere consapevoli che un sistema di videosorveglianza è attivo e devono avere dettagliate informazioni sulle aree riprese. Dato il volume di informazioni che devono essere fornite, gli obblighi di Informativa vanno assolti seguendo l’approccio layered” ciò multistrato o progressivo come anche suggerito dalle Linee Guida sulla Trasparenza . Ad esempio, un primo livello strato” informativo – con le informazioni rilevanti va fornito nel cartello della videosorveglianza il warning sign” , che deve rinviare per gli ulteriori dettagli ad un secondo strato” informativo fornito attraverso mezzi idonei rinvio a Informativa estesa sul sito web del Titolare, fornitura del testo presso la sede, ect . Il warning sign”, cioè il cartello che avverte della operatività di un sistema di videosorveglianza, è il primo momento di contatto” tra il gestore del sistema e l’interessato. Perciò il cartello deve fin da subito contenere e fornire le informazioni essenziali e fondamentali finalità del trattamento, identità del Titolare, diritti dell’interessato , anche unitamente a icone che in modo intuitivo, chiaro e visibile anche in rapporto alla dislocazione della telecamera diano informazioni sul trattamento. Inoltre, il cartello primo strato” deve poi contenere obbligatoriamente 1. gli estremi ci contatto del Responsabile della protezione dei dati personali RPD/DPO quando previsto nell’organigramma del Titolare 2. l’indicazione dove è possibile reperire l’Informativa estesa con le informazioni di dettaglio es un QR code che rinvia al secondo strato” 3. l’informazione preliminare e complessiva sull’impatto del trattamento previsto sulla sfera dell’interessato un nuovo obbligo informativo ripreso dalle Linee Guida sulla Trasparenza che non sarà facilmente contemperabile con la sinteticità che – necessariamente hanno le informazioni su cartelli di questo tipo 4. informazioni che consentano all’interessato di stimare l’ampiezza dell’area videosorvegliata in modo tale o da evitare di essere ripreso o di adattare comunque il suo comportamento alle circostanze specifiche del monitoraggio video 5. la specifica indicazione del legittimo interesse perseguito dal Titolare o dal terzo quando questa sia la base giuridica del trattamento 6. ogni informazione tale non sorprendere” l’interessato che ragionevolmente potrebbe non aspettarsi il relativo trattamento , come ad esempio i casi di comunicazione delle riprese a terzi soggetti, eventuale trasferimento delle immagini a destinatari al di fuori della UE, il tempo di conservazione delle immagini, se è prevista la registrazione. Se tali informazioni non sono indicate nel cartello, ciò è ammissibile solo nei casi di ripresa in tempo reale senza conservazione o trasmissione a terzi. Il cartello deve essere posizionato a una distanza ragionevole dalle aree riprese e ad altezza d’occhio, in modo che l’interessato – prima di accedervi – sia consapevole della videosorveglianza. Non è necessario specificare l’individuazione di ciascuna singola telecamera, ma solo nella misura in cui sia palese per l’interessato quali aree sono sottoposte alla videosorveglianza invece il provvedimento 8 aprile 2010 sulla Videosorveglianza del Garante italiano obbliga ad apporre il cartello nelle vicinanze di ciascuna telecamera . Le Linee Guida propongono un format di cartello/primo strato informativo, che di seguito si riporta Per quanto riguarda il contenuto informativo obbligatorio del secondo strato, l’informativa estesa deve contenere tutti gli elementi fondamentali previsti dall’articolo 13 RGPD. Essa va resa all’interessato in modalità facilmente accessibili es resa ad un bancone, ad un desk o affissa in locali come poster . E’ raccomandato dal Comitato che il primo livello informativo utilizzi risorse digitali per rinviare alla Informativa estesa, anche se non è obbligatorio es QR Code, un link a sito web, un numero telefonico che fornisca tutte le informazioni obbligatorie ai sensi dell’art. 13 RGPD . E’ inoltre fortemente raccomandato integrare le informazioni in modo tale da renderle più efficaci ad esempio integrare in app di mappe la geolocalizzazione delle telecamere e fornire in-app le relative informazioni, in modo tale che l’interessato possa ancor meglio identificare le fonti della videosorveglianza ed ottenere informazioni aggiuntive sulle modalità del trattamento. In conclusione, va notato come molte delle informazioni obbligatorie del primo e secondo strato” di cui parlano le Linee Guida sono identiche a quelle che da anni, nei suoi vari provvedimenti in materia, il Garante italiano ha indicato come opportune e obbligatorie. Altri contenuti informativi sono invece del tutto nuovi. Altri obblighi, invece, non contenuti nelle Linee Guida, ma previsti come integrativi, a questo punto nel Provvedimento generale sulla Videosorveglianza 8 aprile 2010 del Garante privacy, andranno tenuti presenti ed applicati es il supporto con il cartello informativo deve avere un formato ed un posizionamento tale da essere chiaramente visibile in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno, dunque i cartelli vanno illuminati di notte .

I processi pratici. L’esercizio dei diritti privacy degli interessati sconta la natura particolare del trattamento effettuato tramite la videosorveglianza pur ribadendo le Linee Guida che tutti i diritti previsti agli articoli da 15 a 22 del RGPD sono applicabili, in ogni caso in alcuni contesti si verificheranno situazioni particolari. Ad esempio, con riferimento al diritto di accesso, sub specie conferma che un trattamento dei dati personali è in corso, un Titolare del trattamento che impieghi un sistema di ripresa senza registrazione e conservazione dei dati potrà solo riscontrare negativamente l’esistenza di un attuale trattamento. Per quanto riguarda gli altri casi particolari 1. il diritto di ottenere una copia dei dati e delle immagini art. 15, comma 3, RGPD nel caso di riprese che contestualmente contengano immagini di terzi è difficilmente contemperabile con il divieto di cui all’art. 15, comma 4, RGPD il diritto di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui . Il Titolare del trattamento non può comunque denegare la copia dei dati facendo riferimento all’art. 15.4 RGPD, dovendo – al contrario – implementare idonee misure tecniche per contemperare le previsioni dei commi 3 e 4 dell’art. 15 es sistemi di editing delle immagini, mascheramenti, anonimizzazione o pixellatura dei volti di terzi, etc 2. con riferimento all’art. 11, comma 2, RGPD qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l'interessato, ne informa l'interessato, se possibile. In tali casi, gli articoli da 15 a 20 non si applicano tranne quando l'interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l'identificazione vi sono casi in cui il Titolare non è in grado di identificare l’interessato ad esempio per la mole di materiali video conservati in tali casi l’interessato dovrà indicare al Titolare del trattamento le coordinate es quando è stato ripreso e il Titolare dovrà indicare quali informazioni sono necessarie per ricercare i dati se il Titolare riesce a dimostrare di non poter oggettivamente identificare l’interessato, ove possibile ne dovrà dare informazione a quest’ultimo 3. con riferimento all’articolo 12, comma 5, RGPD, se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può o addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta oppure rifiutare di soddisfare la richiesta 4. con riferimento al diritto di cancellazione applicabile ovviamente ai casi in cui il Titolare del trattamento registra e conserva le immagini si applicheranno gli ordinari presupposti dell’articolo 17 del RGPD i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati l'interessato revoca il consenso l’interessato si oppone al trattamento ai sensi dell'art. 21, e gli interessi legittimi cogenti del Titolare non prevalgono i dati sono trattati illecitamente, quindi ad esempio anche in contrasto con le presenti Linee Guida e i casi di diniego alla cancellazione disciplinati dal comma 3 del medesimo articolo i dati sono trattati per obbligo legale, i dati sono necessari per agire o difendersi in giudizio, etc . Tecnicamente, le Linee Guida confermano che una sfocatura permanente e non retroattiva delle immagini equivale alla cancellazione 5. con riferimento ai casi di videosorveglianza basata sul legittimo interesse o necessaria per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, nel caso in cui l’interessato si opponga al trattamento per motivi connessi alla sua situazione particolare art. 21 RGPD , si applicheranno i presupposti e la disciplina dell’art. 21 RGPD. Tuttavia, nel contesto della videosorveglianza, l’opposizione può verificarsi prima, durante o dopo aver lasciato l’area monitorata quindi ciò implica che una videosorveglianza basata sul legittimo interesse sarà lecita solo se il Titolare del trattamento è in grado di assicurare sistemi di ripresa che vengono immediatamente bloccati contestualmente alla ricezione dell’opposizione del soggetto interessato. Il diritto di opposizione per motivi connessi alla situazione particolare può essere respinto se il Titolare dimostra che l’interesse legittimo è cogente è il caso di un’azienda che registra le immagini a seguito di una serie di accessi illeciti ai propri locali a supporto di una investigazione interna se un soggetto si oppone, prevarrà il legittimo interesse cogente alla conduzione degli accertamenti. Infine, se poi la videosorveglianza è finalizzata a scopi di marketing o di profilazione, il diritto di opposizione è assoluto e va accolto senza restrizioni, proprio perché il contesto della videosorveglianza è invasivo e critico quando utilizzata a tali scopi.

Presupposti, divieti e indicazioni pratiche. La raccolta di immagini contenenti dati di particolare natura ai sensi all’articolo 9 del RGPD è un aspetto generalmente poco considerato, ma invero della massima delicatezza. Stupisce sul punto la distinzione – un po’ machiavellica” – che il Comitato effettua quando strumenti di ripresa raccolgono contenuti video in astratto rapportabili alla categoria dei dati di particolare natura. Si sostiene – ad esempio – che raccogliere le immagini di una persona seduta in sedia a rotelle non costituisce di per sé un trattamento di dati di particolare natura”, che si avrebbe solamente se il video è processato al fine di dedurre dalle immagini dati di particolare natura es le opinioni politiche di una persona identificabile in un video in cui questa partecipa ad una manifestazione politica . Non si può che essere in disaccordo con una affermazione del genere il video di una persona seduta su una sedia a rotelle è attinente alla salute fisica di quella persona e rivela informazioni dirette – non da dedurre! - relative al suo stato di salute esattamente i requisiti della definizione di dati relativi alla salute di cui all’art. 4, n. 15 del RGPD . A maggior ragione se poi il Comitato formula quale esempio di video in cui vengono trattati dati di particolare natura quello contenente riprese di un paziente monitorato ospedale in realtà, tra l’altro, tale video fornisce molte meno informazioni sanitarie dirette sulla persona rispetto alle riprese di una persona seduta su una sedia a rotelle . Una prima regola pratica fissata dalle Linee Guida circa il trattamento video di dati di particolare natura è l’obbligo per il Titolare del trattamento di valutare preventivamente il principio di minimizzazione dei dati e anche ove non trovi applicazione nel suo caso specifico l’articolo 9 RGPD e non sia previsto il trattamento di dati di particolare natura, detto Titolare del trattamento dovrà in ogni caso prestare attenzione a che – anche accidentalmente – il sistema di videosorveglianza non catturi dati del genere. Egli dovrà cioè implementare misure preventive atte a minimizzare il rischio di ripresa di informazioni sensibili, indipendentemente dalle finalità perseguite nel contesto concreto della installazione del suo sistema di videosorveglianza. Ad esempio, se nelle aree di ripresa è inclusa una chiesa, ciò non comporta il trattamento di dati di particolare natura, ma – al contrario – le riprese video, anche accidentali, di persone identificabili che partecipano ad una funzione o ad un evento religioso può comportare il trattamento dei dati idonei a rivelare convinzioni religiose. Altra regola pratica se il Titolare prevede di trattare immagini idonee a rivelare dati di particolare natura per cui dovrà, tra l’altro, adottare le stringenti e idonee misure di sicurezza , egli dovrà individuare sia una eccezione al divieto generale di trattamento dei dati di particolare natura cfr. art. 9, comma 1, RGPD , sulla base delle deroghe elencate all’articolo 9, comma 2, del RGPD, sia una idonea base di legittimità del trattamento ai sensi dell’articolo 6 RGPD. Ad esempio, il monitoraggio video di un paziente in ospedale e il relativo trattamento dei suoi dati sanitari nei casi in cui il paziente non possa prestare il consenso sarà possibile in base alla deroga ex art. 9, comma 2, lettera c il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso e adottando quale base giuridica del trattamento quella di cui all’articolo 6, comma 1, lettera d il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica . Tuttavia ciò non sarà sufficiente nel documento di giustificazione delle scelte il Titolare del trattamento dovrà dimostrare che il monitoraggio video è di assoluta necessità per salvaguardare l’incolumità del paziente e che effettivamente il soggetto è nella assoluta incapacità fisica o giuridica di prestare il consenso . Inoltre, i dati e le immagini non potranno essere ovviamente utilizzati per nessun altro scopo. Le Linee Guida evidenziano poi che non ogni deroga al divieto di trattare dati di particolare natura è applicabile alla videosorveglianza. Ad esempio il trattamento che riguarda dati personali resi manifestamente pubblici dall'interessato, non è una deroga applicabile per il solo fatto che un soggetto sia ripreso da un sistema di videosorveglianza e dunque delle sue immagini si possa fare uso legittimo. Il caso particolare del trattamento dei dati biometrici attraverso sistemi di videosorveglianza. Prescrizioni e adempimenti pratici. Le Linee Guida forniscono importanti chiarimenti in materia di trattamento tramite video di dati biometrici definiti all’articolo 4, n. 14 del RGPD come i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l'identificazione univoca, quali l'immagine facciale o i dati dattiloscopici . Per aversi un trattamento del genere, difatti, non è sufficiente la semplice ripresa atta a rivelare caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica lo stesso Considerando 51 del RGPD lo specifica il trattamento di fotografie non dovrebbe costituire sistematicamente un trattamento di categorie particolari di dati personali, poiché esse rientrano nella definizione di dati biometrici soltanto quando saranno trattate attraverso un dispositivo tecnico specifico che consente l'identificazione univoca o l'autenticazione di una persona fisica . Il trattamento di dati biometrici, al contrario, consiste in una misurazione quale trattamento tecnico specifico all’esito del quale si ha – appunto - il dato biometrico che consente o conferma l'identificazione univoca della persona . In sostanza un conto è riprendere l’immagine facciale di una persona senza alcun procedimento, un conto è il tool Face ID degli smartphone di ultima generazione che calcola i punti, la geometria e le caratteristiche univoche del volto e – all’esito di tale calcolo – identifica quale credenziale di autenticazione univoca la persona e i suoi dati biometrici. Inoltre, va ricordato che i dati biometrici sono dati di particolare natura” ai sensi dell’articolo 9 RGPD e ai sensi del divieto di trattamento di cui al primo comma quando il loro trattamento è inteso a identificare in modo univoco una persona fisica quindi sono considerati dati di particolare natura non in generale ma solo quando il procedimento è volto alla identificazione univoca del soggetto, ad esempio quando il dato biometrico è trattato per identificare univocamente il soggetto abilitato all’accesso a sistemi, luoghi, aree riservate di piattaforme, etc . Dunque, le Linee Guida suggeriscono tre criteri per individuare ai sensi degli articoli 4 n. 14 e 9 del RGPD un trattamento di dati biometrici 1. il criterio della natura del dato dati relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica 2. i mezzi e le modalità del trattamento ottenuti da un trattamento tecnico specifico 3. le finalità del trattamento l'identificazione univoca della persona . Inoltre, il trattamento del dato biometrico che ricade nell’ambito di applicabilità dell’articolo 9 del RGPD è quello volto ad identificare univocamente un persona fisica . Dunque se un sistema di videosorveglianza intelligente raccoglie dati di categorie di soggetti es distingue quante persone di sesso maschile e femminile e approssimativamente di quale età sono entrati in un centro commerciale , non si avrà un trattamento di dati biometrici cui sia applicabile il divieto di cui all’art. 9 RGPD. Al contrario, se un gestore di un centro commerciale installa telecamere intelligenti in grado di fare la detection tramite riconoscimento facciale della singola persona fisica che accede o riaccede a certe aree o negozi o accede per la prima volta ad altre zone del centro commerciale vi sono molti sistemi del genere utilizzati per la customizzazione dell’advertising , è ovvio che in tal caso vi sarà un trattamento di dati biometrici misurazione tramite key features della forma e geometria del volto, con creazione di templates di confronto finalizzato a identificare in maniera univoca un persona fisica. In tal caso troverà applicazione l’articolo 9 del RGPD. In generale, la deroga applicabile alla videosorveglianza attuata da privati avente ad oggetto dati biometrici come sopra chiarito a fini esclusivi di identificazione univoca della persona fisica sarà quasi sempre il consenso dell’interessato art. 9, comma 2, lettera a , anche se non è da escludere l’applicabilità di altre deroghe pure previste al comma 2. Si pensi al caso di una compagnia aerea che implementa la identificazione al check in dei passeggeri sulla base di un sistema di videosorveglianza biometrica in cui il passeggero – previamente informato – presta il consenso nell’ambito di una procedura ad un terminale in aeroporto che acquisisce l’immagine biometrica del suo volto e genera un template che dopo la comparazione – match – no-match e il riconoscimento andranno cancellati e non potranno essere archiviati . Il Comitato osserva, inoltre, che molti sistemi di videosorveglianza con riconoscimento biometrico funzionano in modo da catturare le immagini generando templates di confronto non solo di persone che hanno dato lo specifico consenso, ma anche di altri inconsapevoli soggetti che si trovano a passare davanti alla telecamere intelligenti. Se ad esempio un hotel ha implementato un tale sistema di riconoscimento biometrico onde allertare immediatamente l’hotel manager nel caso di arrivo di un VIP che abbia preventivamente prestato il consenso al trattamento dei suoi dati onde essere riconosciuto , è ovvio che se il sistema compara ai fini del riconoscimento del VIP, per esclusione anche tutti i volti degli altri normali” clienti che accedono all’hotel, tale trattamento sarà illecito se ogni singola persona diversa dal VIP non abbia prestato uno specifico consenso al trattamento. Quando la deroga e la base giuridica del trattamento dei dati biometrici nell’ambito di un sistema di videosorveglianza intelligente è il consenso dell’interessato, saranno applicabili – ovviamente – tutti i principi in materia di lecita acquisizione del consenso, come anche stabiliti dall’art. 7 RGPD e della Linee Guida sul consenso WP 259. Il Titolare del trattamento, dunque, non potrà condizionare la resa del servizio alla prestazione obbligatoria del consenso es nega l’accesso ad una sala concerti al soggetto che non presti il consenso al riconoscimento facciale come condizione di accesso e dovrà sempre, obbligatoriamente, prevedere una soluzione alternativa per i soggetti che non acconsentono al trattamento dei loro dati biometrici, o per i quali il sistema non sia applicabile date le difficoltà di generazione di templates nel caso di persone con diverse abilità o comunque nel caso in cui il sistema possa avere dei malfunzionamenti. Le misure di sicurezza suggerite dalle Linee Guida nel caso di sistemi di videosorveglianza con riconoscimento biometrico. Nel caso di implementazione di un sistema di videosorveglianza intelligente con riconoscimento biometrico, il Titolare del trattamento sarà tenuto a minimizzare i rischi connessi al trattamento adottando le seguenti misure organizzative e tecniche di sicurezza 1. in applicazione del principio di minimizzazione dei dati, si deve garantire che l’estrazione dei dati da una immagine digitale per costruire un template sia proporzionata alle finalità, e che i dati non siano eccessivi o utilizzati per scopi diversi 2. i templates generati non possono essere trasferiti tra sistemi biometrici 3. preso atto che i templates devono essere conservati per la successiva comparazione quando utilizzati a scopi di autenticazione , essi vanno conservati mediante la scelta di soluzioni più idonee a seconda dei contesti. Ad esempio, in un ambiente controllato es checkpoint oppure barriere di accesso i templates vanno conservati su un device apposito un lettore, uno smartphone, etc in possesso e sotto il controllo di un addetto oppure – in casi eccezionali – in un database centralizzato criptato con la chiave digitale univoca in possesso del solo soggetto incaricato delle verifiche di autenticazione la crittografia dei dati biometrici in quanto tali mediante algoritmo è una ulteriore misure di sicurezza suggerita, applicabile quando il Titolare del trattamento non può evitare l’accesso incontrollato al mezzo dove sono archiviati i dati biometrici 4. onde garantire la disponibilità, integrità e confidenzialità dei dati biometrici, il Titolare del trattamento deve attuare misure quali la compartimentalizzazione dell’archiviazione, la conservazione in database separati e non interconnessi dei templates, dei dati grezzi raw” di base e dei dati identificativi della persona 5. i dati biometrici devono essere criptati e vanno predisposte misure di divieto di accesso dall’esterno 6. deve essere redatta una specifica policy per la conservazione crittografata dei dati e la gestione delle chiavi crittografiche 7. i dati crittografati vanno identificati da uno specifico codice che ne attesta l’integrità es una marcatura hash o una sottoscrizione digitale 8. i dati grezzi raw” di base vanno immediatamente cancellati dopo il trattamento e la misurazione, e il Titolare del trattamento deve garantire la loro effettiva cancellazione gli stessi templates generati e i dati biometrici vanno integralmente cancellati in caso di accesso abusivo al sistema di storage dunque in caso di data breach le Linee Guida impongo addirittura una cancellazione integrale, il che appare una misura del tutto eccessiva .

Ambito di applicazione. Curiosamente i Garanti UE definiscono l’ambito di applicazione delle Linee Guida cominciando ad illustrare quando esse sono inapplicabili. Ovviamente, il presupposto della applicabilità anche delle norme del RGPD è che vi sia una ripresa/trattamento di immagini/dati di persone fisiche identificate o identificabili. Di conseguenza, le Linee Guida sono inapplicabili, ad esempio 1 ai droni che riprendono dall’alto luoghi senza identificazione di persone a tale proposito, si ricordi che ai droni si applicano recenti norme europee, come ad esempio il nuovo Regolamento UE 2018/1139 recante regole comuni per la sicurezza aerea e che istituisce regole basiche per i droni, anche per quelli da 0 a 150 kg, applicabili dall’11 Settembre 2018 in tutta la UE 2 alle videocamere installate sui veicoli a scopi di parking assistant se non riprendono i passanti 3 alle finte videocamere, non funzionanti fake cameras” . In merito alle finte videocamere il Comitato avverte però che restano applicabili le eventuali norme nazionali degli Stati membri che regolamentano tali ipotesi. In Italia la situazione è la seguente. Nel provvedimento sulla videosorveglianza del 2004 il Garante privacy aveva specificamente previsto che Anche l’installazione meramente dimostrativa o artefatta di telecamere non funzionanti o per finzione, anche se non comporta trattamento di dati personali, può determinare forme di condizionamento nei movimenti e nei comportamenti delle persone in luoghi pubblici e privati e pertanto può essere legittimamente oggetto di contestazione . Tuttavia, tale passaggio non era stato ripetuto nel successivo Provvedimento Generale del 2010 che abrogò quello del 2004. In effetti, se il presupposto dell’applicabilità delle stringenti norme a tutela dei dati è che vi sia un trattamento, è difficile contestare violazioni della privacy a fronte di apparati che non sono in alcun modo operativi perché spenti o addirittura finti. Anche la Giurisprudenza in materia giunge a contrastanti conclusioni a seconda dei contesti ad esempio, se è stata ritenuta lecita e non in violazione della privacy la installazione condominiale di telecamere finte cfr. Ord. Trib. Latina 17.9.2018 La telecamera in questione è un semplice involucro di plastica con funzione esclusivamente deterrente tale circostanza elimina ogni potenziale vulnus al diritto alla privacy , nel contesto lavorativo la Cassazione ha ritenuto non fare differenza, nella commissione dell’illecito penale da parte del datore di lavoro, se quest’ultimo installa telecamere anche spente o non funzionanti o finte in assenza della richiesta procedura sindacale o senza la previa autorizzazione delle competenti sedi dell’Ispettorato Nazionale del Lavoro e ciò anche con il consenso dei lavoratori cfr. Cass. maggio 2017 n. 22148 . Tornando all’ambito di applicabilità delle Linee Guida 3/2019, il Comitato precisa poi che l’utilizzo di apparati di videosorveglianza da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, resta disciplinato dalla relativa Direttiva 2016/680 implementata in Italia con il decreto legislativo 18 Maggio 2018, n. 51 . Interessanti poi le precisazioni del Comitato in merito alla inapplicabilità delle Linee Guida in caso dei cc.dd. trattamenti a scopi domestici”. Come è noto, difatti, ai sensi dell’art. 2, comma 2, lett. c del RGPD non ricadono nell’ambito di applicabilità del Regolamento i trattamenti effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico . Nel caso della videosorveglianza, però, i Garanti UE suggeriscono di interpretare in modo stringente e limitativo tale principio, richiamando la sentenza della Corte di Giustizia C-101/01 il caso Bodil Lindqvist del 6 Novembre 2003 in cui la Corte UE ebbe a precisare che l’esenzione domestica nel caso della videosorveglianza deve essere interpretata come relativa esclusivamente ad attività svolte nel corso e nel contesto della vita privata o familiare degli individui, e non certo nei casi in cui il trattamento dei dati personali consiste nella pubblicazione su Internet o nella messa a disposizione delle immagini di una pluralità indefinibile di destinatari . Inoltre, sempre richiamando una diversa sentenza della Corte di Giustizia caso C-212/13 - František Ryneš vs. Úřad proochranuosobních údajů, 11 dicembre 2014 , i Garanti UE condividono le conclusioni ivi formulate dai giudici europei laddove un sistema di videosorveglianza implichi una registrazione costante e una conservazione dei dati e delle immagini, con ripresa - anche parziale - di un luogo pubblico, esso si dirige incontestabilmente al di fuori del contesto privato della persona che gestisce l’impianto, con la conseguenza che tale attività non può essere considerata come meramente personale o domestica” . Anche con riferimento alle riprese video che un soggetto può fare all’interno della propria abitazione, vanno poi considerati un insieme di fattori per determinare se il relativo trattamento sia effettivamente domestico” dal rapporto che chi fa le riprese ha con il soggetto ripreso, all’utilizzo professionale o meno del sistema di ripresa, fino alla valutazione dell’impatto che la videosorveglianza può avere sulla sfera dell’interessato. In ogni caso, anche la presenza di ciascun singolo presupposto appena ora elencato non esclude comunque che le riprese siano effettivamente di tipo personale e domestico con esclusione e della applicabilità dei principi di protezione dei dati personali , dovendosi valutare nel complesso ogni singolo contesto. Appare opportuno richiamare in tale sede anche i principi pratici che il Garante privacy italiano ha a più riprese indicato – anche di recente – in merito all’utilizzo degli apparati di ripresa degli smartphone e/o dei device smart con tali funzioni audio-video ed ai relativi trattamenti di dati personali di terzi. Fin dal 2003 il Garante con il pioneristico” Provvedimento MMS le regole anche per gli usi personali ha fissato principi sul trattamento di dati rappresentati da immagini, foto o contenuti nei video, chiarendo quando la normativa sulla protezione dei dati si applica, andandosi oltre un utilizzo meramente personale. Tali principi sono stati sempre confermati e sviluppati nel tempo, anche in base al progresso tecnologico dei mezzi di ripresa si pensi ai principi indicati nel documento Informazioni utili su selfie e foto, protezione di smartphone e tablet” del Luglio 2018 con l’allegato documento sui principi di Tutela della privacy nella pubblicazione di immagini on line” . In conclusione, può ben affermarsi che il discrimine tra un utilizzo personale ed esclusivamente domestico” degli apparati video e quello che invece ricade nell’ambito di applicabilità del RGPD e delle Linee Guida in esame sia rappresentato dalla circostanza che le immagini, i suoni e gli eventuali altri dati personali raccolti siano o meno 1 destinati ad una comunicazione sistematica ad uno o più destinatari diversi dall’interessato e si ricordi che è tale anche un invio di immagini/video a destinatari su WhatsApp, soprattutto se si determinano poi condizioni pratiche nelle quali l’invio - pur occasionale - avviene con caratteristiche tali da dar vita ad una comunicazione a catena di dati oppure 2 alla diffusione di immagini, video, suoni, etc. a destinatari indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione es. pubblicazioni online . Infine, l’ambito di applicabilità delle Linee Guida è definito dunque dai Garanti UE in negativo” le prescrizioni sulla videosorveglianza si applicheranno a tutti i restanti casi in cui non trovano applicazione – come sopra illustrato – i principi del RGPD. Le condizioni e gli adempimenti pratici per rendere conforme la videosorveglianza al principio di liceità del trattamento. Le Linee Guida richiamano i principi fondamentali sul trattamento dei dati personali come elencati all’art. 5 del RGPD applicandoli al contesto specifico della videosorveglianza. In tale prospettiva il Comitato prescrive 1. di specificare in dettaglio le finalità del trattamento ai sensi dell’art. 5, comma 1, lettera b del RGPD, che prescrive che i dati devono essere raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità in tale prospettiva, è insufficiente fare riferimento a locuzioni generiche come installazione per ragioni di sicurezza” oppure per tutelare la tua sicurezza” e similari 2. di documentare per iscritto, i sensi del principio di responsabilizzazione di cui all’art. 5, comma 2, RGPD, le finalità del trattamento, distinguendo ed evidenziando nel documento – in una sorta di granularità degli scopi – ciascuna finalità perseguita dalle riprese di ciascuna singola videocamera parte di un sistema di videosorveglianza la documentazione per iscritto – sia pure limitata alle finalità – sembra comunque riecheggiare il vecchio punto 3.5 Documentazione delle scelte” dell’abrogato provvedimento generale sulla videosorveglianza emanato dal Garante privacy italiano nel 2004 Le ragioni delle scelte di installazione della videosorveglianza devono essere adeguatamente documentate in un atto autonomo conservato presso il titolare e il responsabile del trattamento e ciò anche ai fini dell´eventuale esibizione in occasione di visite ispettive, oppure dell´esercizio dei diritti dell´interessato o di contenzioso 3. di rilasciare idonea informativa agli interessati ripresi e/o monitorati, in base a quanto prescritto dall’art. 13 RGPD sulle modalità pratiche della resa della informativa sul trattamento, si veda infra . Inoltre, i trattamenti di dati personali sono conformi al principio di liceità se si fondano su una adeguata base giuridica di legittimità, ai sensi dell’art. 6 del RGPD. In tale prospettiva le Linee Guida evidenziano che, come approccio teorico, qualsiasi base di legittimità del trattamento come elencata all’articolo 6 è in linea di principio applicabile alla videosorveglianza. Ad esempio, è applicabile alla videosorveglianza la base di legittimità rappresentata dalla necessità di adempiere ad un obbligo legale al quale è soggetto il titolare del trattamento si pensi alla videosorveglianza pubblica . Tuttavia – ad un esame pratico – le basi di legittimità che più di frequente troveranno applicazione sono quelle dell’interesse legittimo art. 6, comma 1, lettera f e della necessità di dare esecuzione a un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento art. 6, comma 1, lettera e . Solo in casi eccezionali la base giuridica del consenso dell’interessato legittimo art. 6, comma 1, lettera a , può applicarsi ai trattamenti di videosorveglianza. Analizziamo allora in concreto le indicazioni pratiche su come fondare correttamente un trattamento di videosorveglianza individuando la corretta e specifica base giuridica di legittimità del trattamento. Il legittimo interesse” quale base giuridica della videosorveglianza. Presupposti e applicazione pratica. Per svolgere l’assessment sul legittimo interesse quale base giuridica della videosorveglianza, il Comitato suggerisce di partire dal Considerando 47 del RGPD, che evidenzia i presupposti pratici da tenere in considerazione nella valutazione complessiva e comparativa balance test tra interesse legittimo del Titolare del trattamento a procedere e la tutela dei diritti e delle libertà degli interessati 1. il legittimo interesse può sussistere quando non prevalgono gli interessi o i diritti e le libertà fondamentali dell'interessato, tenuto conto delle ragionevoli aspettative nutrite dall'interessato in base alla sua relazione con il titolare del trattamento 2. il legittimo interesse può sussistere quando esiste una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento, ad esempio quando l'interessato è un cliente o è alle dipendenze del titolare del trattamento 3. l'esistenza del legittimo interesse richiede in ogni caso un’attenta valutazione anche in merito all'eventualità che l'interessato, al momento e nell'ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine 4. il legittimo interesse può sussistere qualora i dati personali sono trattati in circostanze in cui gli interessati possono ragionevolmente attendersi un ulteriore trattamento rispetto a quello originario su cui hanno ottenuto le informazioni . Quando dunque si procede a trattamenti di videosorveglianza, il Titolare del trattamento che voglia fondarsi sul legittimo interesse che può essere di natura legale, economica o di altro tipo deve aver previamente valutato che non siano prevalenti nel suo contesto specifico i diritti e le libertà fondamentali degli interessati. Se in tale contesto è lo stesso Comitato ad affermare che data una situazione reale e rischiosa, la finalità di proteggere la proprietà contro furti, rapine o atti di vandalismo può costituire un legittimo interesse a base della videosorveglianza , è altrettanto rilevante sul piano pratico l’indicazione che il legittimo interesse a base della videosorveglianza debba essere comunque collegato ad una situazione reale e attuale non potenziale, di finzione o speculativa o a un rischio valutabile in termini di elevata probabilità di accadimento anche in rapporto al passato es ripetuti danni o incidenti subiti in precedenza . Sempre nell’ottica dell’accountability, le Linee Guida prescrivono dunque che se il Titolare del trattamento vuole basarsi sull’interesse legittimo connesso a pregresse situazioni di danno che rendono attuale e reale un rischio avverso il quale la videosorveglianza sarebbe legittima risposta, allora dovrà documentare – oltre alle finalità di dettaglio – anche quali sono stati i danni subiti in passato indicando la data, le perdite finanziarie, le modalità del danno subito, etc e le relative denunce e accuse sul piano penale. Tali documenti costituirebbero prova evidente dell’esistenza di un legittimo interesse a base del trattamento. Tuttavia, in alcuni casi, potrebbe essere sufficiente a basare il legittimo interesse anche la sola documentazione di rischi attuali ancorchè potenziali, senza la necessità di documentare effettivi danni passati. E’ il caso dell’esempio delle Linee Guida un esercente vuole aprire un negozio dotandolo di un sistema di videosorveglianza poiché ubicato in una zona dove si sono verificati furti e atti vandalici. In tal caso, documentare mediante statistiche criminali non nazionali, ma relative allo specifico quartiere o raccogliere testimonianze su atti illeciti subiti dagli esercizi commerciali vicini è ritenuta idonea prova dell’esistenza di un legittimo interesse a base del sistema di videosorveglianza che l’esercente vorrebbe installare. Così come taluni contesti specifici sono indicati dal Comitato come casi in cui per certo esiste un legittimo interesse, stante il pericolo connaturato al tipo di attività, come nei casi di gioiellerie o banche, o relativo a luoghi ed aree che usualmente sono tipiche scene del crimine es stazioni di rifornimento di benzina . In ogni caso, le Linee Guida indicano come procedere in concreto nella valutazione del legittimo interesse, indicando alcuni criteri di valutazione da considerare prima di procedere a trattamenti di videosorveglianza 1. vanno effettuate caso per caso valutazioni di dettaglio, comparative e complessive nell’ambito del cosiddetto test di bilanciamento e giudizio di prevalenza tra interesse legittimo del titolare del trattamento e interessi, diritti e libertà fondamentali degli interessati 2. non è sufficiente, in tali valutazioni, riferirsi a situazioni astratte e comparare il contesto specifico a casi analoghi 3. la valutazione specifica e il giudizio di bilanciamento deve partire da come sarebbero impattati i diritti e le libertà dell’interessato nello specifico contesto della videosorveglianza utilizzata in tale prospettiva il criterio decisivo è quello della intensità dell’intrusione” nella sfera dei diritti e delle libertà dell’interessato il criterio della intensità dell’intrusione” può essere stabilito in base alla tipologia dell’informazione oggetto delle riprese, dalla estensione geografica delle riprese, dal numero di interessati coinvolti per esempio è altamente intrusiva la videosorveglianza in spogliatoi, bagni, saune, stanze di ospedale, etc 4. un fattore importante nel balance test è rappresentato dalla ragionevole aspettativa dell’interessato di essere ripreso se il lavoratore non si attende ragionevolmente di essere monitorato dal datore di lavoro, così come gli avventori di spazi pubblici dedicati al tempo libero parchi, palestre, aree ricreative, cinema, ristoranti , al contrario un cliente di una banca o di uno sportello bancomat riterranno scontata la videosorveglianza inoltre, una importante considerazione contenuta sul punto nelle Linee Guida è che l’eventuale presenza di cartelli o segnali che indicano la presenza di telecamere non rileva in alcun modo sulla valutazione delle ragionevoli aspettative degli interessati di essere o meno ripresi. Va altresì ricordato – nelle valutazioni che il Titolare privato, perché ai sensi del RGPD i soggetti pubblici non possono basare i trattamenti sul legittimo interesse, cfr. art. 6.1 RGPD compie preventivamente alla decisione di procedere a trattamenti di videosorveglianza basandoli sul legittimo interesse quale base giuridica - l’importante provvedimento WP 217 del 6 Novembre 2014 sul concetto di legittimo interesse emanato dal Gruppo dei Garanti UE riuniti nel Working Party ex art. 29 della Direttiva 46/95 tale documento – valido anche sotto il vigore del RGPD per i princìpi in esso riportati – illustra con utile approccio pratico come condurre in concreto le valutazioni di dettaglio, comparative e complessive nell’ambito del cosiddetto test di bilanciamento e giudizio di prevalenza tra interesse legittimo del titolare del trattamento e interessi, diritti e libertà fondamentali degli interessati. Infine, appare interessante è poi il passaggio delle Linee Guida relative al rapporto tra legittimo interesse e diritto di opposizione al trattamento esercitata dagli interessati ai sensi dell’articolo 21 del RGPD. Come è noto, ai sensi della citata norma, i trattamenti che si basano sul legittimo interesse o sull’adempimento di compiti di interesse pubblico o connesso all’esercizio di pubblici poteri possono essere oggetto in qualsiasi momento di opposizione da parte degli interessati. In tali casi il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi che però devono avere una qualificazione superiore – devono cioè essere cogenti - per procedere al trattamento e prevalere sugli interessi, sui diritti e sulle libertà dell'interessato. Il Titolare può poi continuare il trattamento nell’ulteriore caso in cui – nonostante lì opposizione dell’interessato – debba procedere all’accertamento, esercizio o difesa di un diritto in sede giudiziaria. Il consenso dell’interessato” quale base giuridica della videosorveglianza. Presupposti e applicazione pratica. Le Linee Guida specificano che solo in casi eccezionali il consenso dell’interessato può rappresentare la base di legittimità del trattamento difatti, la stessa natura della tecnologia di monitoraggio con un numero imprecisato di soggetti ripresi rende impossibile a monte acquisire il consenso che abbia le caratteristiche dell’art. 7 del RGPD specifico, espresso, granulare, inequivoco, informato, etc . D’altra parte sarebbe anche molto difficoltoso per il Titolare del trattamento dar corso revoca del consenso di un soggetto che decida di non voler essere più ripreso. In certi contesti, poi, il consenso non sarebbe neanche validamente richiamabile come base giuridica si pensi alla invalidità del consenso prestato dal dipendente – poiché soggetto debole” rispetto al datore di lavoro - al monitoraggio tramite videosorveglianza della sua attività . In ogni caso, nelle eccezionali ipotesi in cui la videosorveglianza può basarsi sul consenso es un atleta che accetti il monitoraggio dei suoi allenamenti per valutare le performances questo dovrà avere tutte le caratteristiche esplicitate dall’art. 7 RGPD e dalle Linee Guida sul consenso WP 259. Segue le condizioni e gli adempimenti pratici per rendere conforme la videosorveglianza al principio di minimizzazione e necessità del trattamento. Nel procedere a trattamenti di videosorveglianza si devono ovviamente rispettare anche gli altri principi fondamentali del trattamento, tra cui quello cosiddetto della minimizzazione dei dati” di cui all’articolo 5, comma 1, lettera c del RGPD i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati . Come applicare in pratica il principio di necessità e minimizzazione del trattamento nel contesto della videosorveglianza? In primo luogo il Titolare del trattamento deve effettuare e documentare una prima valutazione di idoneità della videosorveglianza come risposta agli obiettivi che egli intende conseguire in secondo luogo la valutazione dovrà concentrarsi con esame critico” sulla proporzionalità, adeguatezza ed effettiva necessità della videosorveglianza rispetto agli scopi prefissati. La videosorveglianza potrà essere validamente impiegata solo se non esistono – all’esito di tali valutazioni critiche – mezzi e trattamenti alternativi e meno intrusivi che consentano lo stesso di conseguire gli specifici scopi del Titolare del trattamento. In pratica, questi dovrà valutare se altre soluzioni quali ad esempio recinzioni, illuminazione migliore, personale di sicurezza, serrature, tornelli, finestre infrangibili, muri trattati con sostanze anti-graffiti, etc. siano ugualmente efficaci contro furti e atti di vandalismo, in alternativa alla videosorveglianza. Il principio di necessità e proporzionalità nel contesto della videosorveglianza si applica anche alle modalità di ripresa le esigenze – ad esempio di sicurezza – possono comportare la necessità di riprendere non solo la propria proprietà ma anche aree e spazi vicini, e dunque il Titolare del trattamento dovrà valutare se estendere le riprese sia effettivamente necessario e alla eventuale registrazione e conservazione delle immagini in alcuni casi, difatti, è sufficiente una ripresa real time senza registrazione in altri casi potrebbe essere necessaria la registrazione a scopi di prova, con conservazione per limitati periodi delle immagini, accesso controllato e cancellazione automatica quando sono cessate le necessità della conservazione tutte valutazioni che le Linee Guida rimettono al Titolare del trattamento .

Comunicazione dei contenuti. Le regole delle Linee Guida sulla comunicazione a terzi delle riprese e/o comunque dei contenuti audio-video raccolti riportano preliminarmente alla definizione di comunicazione” contenuta in quella di trattamento” all’articolo 4, n. 2 del RGPD la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione . Tale definizione include tuttavia due diversi tipi di trattamento, che il nostro Codice della privacy meglio distingue e autonomamente definisce all’art. 2- ter , comma 4 a comunicazione”, il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dell'Unione europea, dal responsabile o dal suo rappresentante nel territorio dell'Unione europea, dalle persone autorizzate, ai sensi dell'articolo 2-quaterdecies, al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile, in qualunque forma, anche mediante la loro messa a disposizione, consultazione o mediante interconnessione b diffusione”, il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. Il terzo” destinatario della comunicazione è poi, ai sensi dell’art. 4, n. 10 del RGPD, la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile . Le Linee Guida evidenziano che la comunicazione è un trattamento distinto e separato da quello inerente l’operatività di un sistema di videosorveglianza che raccoglie le immagini, e in tale prospettiva sarà necessario fondare tale distinto trattamento su una specifica e idonea base di legittimità. Ad esempio, se un Titolare del trattamento intende pubblicare su web un filmato procedendo dunque ad una diffusione” dei dati rappresentati dalle immagini , dovrà verificare se la base giuridica necessaria non sia il consenso degli interessati. Inoltre, nei casi di comunicazione o diffusione che comportano un trasferimento delle immagini al di fuori della UE, sarà ordinariamente applicabile la disciplina di cui all’art. 44 RGPD e i presupposti per un lecito trasferimento come stabiliti agli articoli 45-49 RGPD. Ove la comunicazione o diffusione a terzi delle immagini persegua poi finalità diverse da quelle per le quali i dati e le immagini sono stati originariamente raccolti, al fine di verificare se il trattamento per un'altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento dovrà tenere conto, tra l'altro a di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto b del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento c della natura dei dati personali d delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati e dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione. Ad esempio, se un impianto di videosorveglianza installato in un parcheggio è finalizzato a verificare eventuali danni e questi si verificano, la comunicazione delle immagini ad un avvocato che segue le richieste di risarcimento è compatibile con la finalità originaria e sarà ammessa. Viceversa, la pubblicazione di quelle stesse immagini su Internet per ragioni di promozione della sicurezza del parcheggio, sono finalità incompatibili e si dovrà cercare una idonea base di legittimità del trattamento. In sostanza, si applicherà la disciplina stabilita dall’articolo 6, comma 4, del RGPD. Altro caso di comunicazione a terzi affrontato dalle Linee Guida è quello della richiesta delle immagini da parte delle autorità di polizia o inquirenti. Sul punto le Linee Guida rimandano alla diversificata legislazione in materia dei singoli Stati Membri, richiamando però che una tale comunicazione dei dati trova il proprio fondamento nell’obbligo del Titolare del trattamento di adempiere ad un obbligo legale la richiesta dell’autorità di sicurezza . Le autorità di polizia o inquirenti, una volta ricevute le immagini e i contenuti audio-video, procederanno ai rispettivi trattamenti nell’ambito non del RGPD ma del settoriale quadro normativo come stabilito dalla Direttiva 2016/680. Appare opportuno in tale sede precisare quanto segue. Spesso i Titolari del trattamento giustificano” la registrazione e la conservazione delle immagini senza limitazioni temporali con la probabilistica ed eventuale richiesta di accesso alle immagini da parte di autorità di polizia o giudiziarie. E’ ovvio che una tale, mera eventualità non può affatto giustificare il superamento delle condizioni di lecita registrazione e dei termini legali conservazione delle immagini 24, 48 ore o una settimana in casi particolari o termini più lunghi solo a seguito di DPIA anche perché si determinerebbe una conservazione indefinita nel tempo, potendo le relative richieste di accesso da parte delle Autorità non arrivare mai. Solo nel momento in cui venga notificata al Titolare del trattamento una formale richiesta di accesso alle immagini da parte delle autorità competenti, da quel momento il Titolare del trattamento sarà tenuto, proprio in adempimento di un obbligo legale, a rispettare i diversi termini ad esempio previsti nei decreti dell’Autorità Giudiziaria.