Il Viminale indica la rotta ma la strada della regolarizzazione data protection del partenariato pubblico privato in materia di videosorveglianza è tortuosa e piena di incertezze applicative.
Gli esercenti che aderiranno ai protocolli del Ministero dell'interno in materia di potenziamento dei propri sistemi di videosorveglianza dovranno prestare particolare attenzione alla regolarizzazione di questi dispositivi a partire dalle indicazioni che verranno fornite dall'Ispettorato del lavoro. Senza trascurare anche tutta la questione della corretta protezione dei dati personali con cartelli, informative e disposizioni ad hoc . In particolare, se risulteranno collegati agli impianti operatori di vigilanza privati o forze di polizia locale. Lo hanno evidenziato le linee guida per la prevenzione degli atti illegali e di pericolo adottate dal Ministero dell'interno con il decreto 21 gennaio 2025 pubblicato sulla GU numero 20/2025. Ai sensi dell'articolo 21 bis d.l. numero 113/2018, convertito nella l. numero 132/2018 , «ai fini di una più efficace prevenzione di atti illegali o di situazioni di pericolo per l'ordine e la sicurezza pubblica all'interno e nelle immediate vicinanze degli esercizi pubblici», potranno essere individuate localmente “ specifiche misure, basate sulla cooperazione tra i gestori degli esercizi e le Forze di polizia , mediante appositi accordi sottoscritti tra il prefetto e le organizzazioni maggiormente rappresentative degli esercenti, cui i gestori medesimi si assoggettano con le modalità previste dagli stessi accordi». In pratica la sottoscrizione di questi protocolli locali aprirà la possibilità per l'esercente di aderire volontariamente ad una sorta di contratto non negoziabile che tra le altre cose comprenderà anche il potenziamento degli impianti di videosorveglianza privati. Tra le misure raccomandante, specifica infatti l'allegato al decreto, «appare opportuno che gli accordi stipulati a livello provinciale prevedano l'impegno a carico degli operatori economici di procedere all'installazione di sistemi di videosorveglianza . Detti impianti saranno gestiti dai titolari degli esercizi stessi tramite gli addetti ai servizi di controllo, ovvero affidati a istituti di vigilanza privata, nel rispetto delle norme stabilite a tutela della riservatezza. Tale impegno andrà calibrato in ragione della tipologia dell'esercizio pubblico, valutando, altresì, la possibilità di esonerare quelle attività che possono considerarsi di vicinato in base ai limiti dimensionali stabiliti dalle vigenti leggi regionali o, in assenza di queste ultime, dalle leggi dello Stato. Nella medesima direzione, potrà essere valutata la possibilità di escludere dal suddetto obbligo gli esercizi, diversi da quelli alberghieri e simili, dove vengono svolte attività economiche di carattere para ricettivo su una scala ridotta. Di contro, non potranno essere esonerate le strutture dove vengono offerti al pubblico spettacoli e trattenimenti, nonché gli esercizi che sono autorizzati ex articolo 88 del T.U.L.P.S. a gestire scommesse e altri giochi leciti». E qui nascono una serie di questioni rilevanti. Innanzitutto, gli impianti dovranno essere accompagnati da un accordo sindacale o, in caso di mancato accordo, bisognerà ottenere l'autorizzazione preventiva dall'Ispettorato del Lavoro territorialmente competente . Lo stesso Ispettorato, infatti, con la nota numero 2572/2023 ha chiarito che l'articolo 4 dello Statuto e la procedura di garanzia ivi prevista, peraltro penalmente sanzionata, trova necessaria applicazione in presenza di lavoratori anche nel caso di specifiche disposizioni normative che favoriscano o impongano l'utilizzo di sistemi di videosorveglianza. Né le disposizioni previste dalle norme sul trattamento dei dati personali possono subire limitazioni nei casi di sistemi di videosorveglianza imposti da normative di settore, come già espresso dall'Autorità Garante nel provvedimento numero 200/2013 e nel provvedimento numero 410/2014, richiamati nella medesima nota dell'Ispettorato del Lavoro. Se le immagini verranno gestite da istituti di vigilanza andrà poi regolato adeguatamente il rapporto con i fornitori esterni , ma andranno anche formati e istruiti i dipendenti, installati cartelli conformi e completi di richiamo a un'informativa più dettagliata e disciplinati mediante contratto, o altro atto di natura giuridica, i trattamenti eseguiti da eventuali installatori-manutentori. I sistemi di videosorveglianza, prosegue il decreto, «dovranno essere installati all'esterno dell'esercizio pubblico, assicurando la possibilità di riprendere le vie di accesso e le uscite di sicurezza del locale ». In buona sostanza il privato in questo caso potrebbe essere indotto ad allargare il cono di ripresa alle strade pubbliche e mettere a disposizioni queste immagini ad istituti di vigilanza privati. Riprendere le vie d'accesso, infatti, significa potenzialmente allargare il cono di ripresa anche alle strade e alle piazze, il che comporterebbe l'obbligo di condurre una Valutazione d'Impatto sulla Protezione dei Dati DPIA , ma anche capire per quale finalità il privato tratterà questi dati. Ma c'è di più «potrà essere valorizzato, quale misura di prevenzione posta in essere dall'esercente, anche il collegamento dei predetti apparati, ove esistenti ed ove compatibili, con le piattaforme della videosorveglianza comunale». Questa indicazione apre ulteriori scenari complessi per la pratica operativa. In pratica si intravede una finalità di sicurezza urbana per un sistema di videosorveglianza privato. Fin d'ora si è sempre operato segmentando le riprese. Se un privato vuole posizionare telecamere sulle strade può convenzionarsi con il proprio comune e mettere a disposizione esclusiva della polizia locale le riprese. E probabilmente questa scelta sarà l'unica praticabile perché un uso condiviso pubblico-privato delle immagini catturate sulle strade non appare compatibile con il GDPR . Ad ogni modo, la possibilità di trattare dati per finalità così delicate che esulano dal mero interesse privato renderà ancora più necessaria la conduzione preliminare di una Valutazione d'Impatto sulla Protezione dei Dati DPIA , atta a garantire che il trattamento sia conforme ai principi fondamentali del GDPR e a individuare misure di tutela adeguate per i diritti e le libertà degli interessati . Inoltre, rafforza il bisogno formare adeguatamente tutti i soggetti autorizzati al trattamento dei dati, assicurando la loro preparazione in materia di protezione dei dati personali . Questo aspetto è particolarmente rilevante alla luce del principio di accountability , che impone al Titolare del trattamento non solo di garantire la conformità al GDPR , ma anche di dimostrarla , attestando che i dati siano raccolti e trattati nel pieno rispetto delle normative vigenti e con un'attenzione particolare alla tutela dei soggetti ripresi . Si dovrà inoltre prevedere, prosegue il provvedimento, «l'obbligo, a carico dell'esercente, di a conservare i filmati ripresi dagli apparati di videosorveglianza per il periodo massimo consentito dalle vigenti normative in materia di tutela dei dati personali e dai discendenti indirizzi impartiti dalla competente Autorità garante b mantenere e tenere in funzione i predetti apparati, al fine di evitare soluzioni di continuità nell'acquisizione delle immagini e nella relativa messa a disposizione a favore delle Forze di polizia, allorché queste ne facciano richiesta per lo svolgimento dei compiti istituzionali». Su questo punto vi sarebbe molto da approfondire, non tanto sull'obbligo di mantenere e tenere in funzione gli impianti, che, pur richiedendo una gestione oculata, ad esempio mediante la stipula di un contratto di manutenzione, e un approccio proattivo nella risoluzione dei guasti da parte del Gestore, risulta comunque in linea a quanto stabilito dall' articolo 32 del GDPR in materia di integrità, disponibilità dei dati ed efficienza e resilienza dei sistemi. La questione delicata riguarda l'indicazione sulla conservazione dei dati raccolti . Ammesso che i limiti normativi citati siano quelli ad oggi previsti dalla normativa vigente in materia di sicurezza urbana fissati a un massimo di 7 giorni dal d. l. numero 11/2009, ma applicabili ai soli soggetti attualmente abilitati a videosorvegliare aree pubbliche per finalità di sicurezza urbana, ossia i Comuni , ovvero ammettendo la possibilità di ricavarli mediante un'analisi dei provvedimenti emanati dall'Autorità di controllo, l'idea stessa che i gestori siano obbligati a conservare le immagini per il periodo “ massimo consentito ” appare in netto contrasto con i principi di limitazione della conservazione e minimizzazione dei dati , sanciti dall'articolo 5, par. 1, lett. c ed e del GDPR . In virtù del principio di accountability, infatti, spetta al Titolare stabilire i tempi di conservazione delle immagini certo, tenendo conto di eventuali limiti stabiliti dalle norme ad es. quello massimo di 7 giorni già richiamato ma allo stesso tempo non prescindendo da un'accurata valutazione che tenga conto del contesto, delle finalità del trattamento e dell'impatto sui diritti e le libertà delle persone riprese .