Il 29 gennaio 2020 sono state pubblicate le Linee Guida n. 3/2019, adottate dal Comitato Europeo per la protezione dei dati (EDPB) in materia di trattamento di dati personali mediante sistemi di videosorveglianza. La pubblicazione è stata preceduta da una procedura di consultazione pubblica conclusasi nel settembre 2019, a cui le suddette linee guida erano state sottoposte all’indomani della loro prima pubblicazione avvenuta nel luglio 2019 .
Qual è la normativa attualmente in vigore in Italia in materia di trattamento di dati effettuato mediante sistemi di videosorveglianza?
La normativa di riferimento per il nostro Paese ad oggi è rappresentata ancora dal provvedimento in materia di videosorveglianza emesso dal Garante privacy italiano nel 2010 (v. provvedimento dell’8.4.2010) che, sebbene non abbia propriamente valore normativo, di fatto raccoglie in maniera completa le regole da seguire.
Che ruolo ha l’EDPB e che efficacia hanno le sue linee guida negli ordinamenti interni?
L’EDPB è un organo indipendente deputato a promuovere la cooperazione tra le Autorità di controllo nazionali nell’ottica di una coerente applicazione in tutto il territorio dell’UE delle norme sulla protezione dei dati personali.
Le nuove Linee guida n. 3/2019, adottate lo scorso 29 gennaio, costituiscono un prezioso strumento per chiarire quali siano i principi da seguire nel trattamento di dati effettuato mediante sistemi di videosorveglianza dopo l’entrata in vigore del GDPR.
Esse offrono preziosi spunti per fare un po’ di chiarezza su alcune questioni sorte dopo l’entrata in vigore della nuova normativa, tra cui:
– l’individuazione delle basi giuridiche che posssono legittimare il trattamento di dati effettuato con sistemi di videosorveglianza (con un’attenzione specifica al concetto di “legittimo interesse”);
– le disposizioni da seguire per il trattamento di dati biometrici;
– i diritti dell’interessato e le misure tecniche e organizzative da adottare affinché il trattamento risulti conforme ai principi del GDPR.
Le linee guida insistono molto sull’importanza del rispetto del principio di trasparenza e di informazione nei confronti dell’interessato, ribadendo da un lato quanto già affermato dal Garante privacy italiano nel provvedimento del 2010 e, dall’altro, fornendo alcune indicazioni ulteriori quali ad esempio quelle sul contenuto dell’informativa privacy sintetica o di primo livello (il cartello “area videosorvegliata”, per intenderci).
Informativa sintetica ed estesa: cosa prevedono le nuove Linee guida dell’EDPB?
L’EDPB ribadisce l’importanza di rendere agli interessati l’informazione sul trattamento dei loro dati personali mediante una duplice informativa: la prima, c.d. sintetica, deve essere esposta prima dell’ingresso nell’area di ripresa delle telecamere mentre la seconda, c.d. estesa, viene solitamente esposta o comunque messa a disposizione degli interessati all’interno delle aree sottoposte a videosorveglianza e deve riportare in modo dettagliato tutte le informazioni di cui agli artt. 12 e ss del GDPR.
Dove deve essere collocata l’informativa sintetica?
Per quanto riguarda la collocazione dell’informatica sintetica, l’EDPB ha confermato che essa deve essere posizionata in modo tale da assicurare all’interessato di avere la consapevolezza dell’esistenza di un sistema di videosorveglianza prima di entrare nel raggio di azione delle telecamere, incoraggiando a tal fine la sua affissione ad altezza dello sguardo e in luogo ben visibile.
L’interessato deve inoltre essere nelle condizioni di percepire chiaramente quali sono le aree videosorvegliate e dove sono collocate le telecamere, così da poterle evitare o, eventualmente, adattare le proprie condotte, ove lo ritenga.
Cosa deve essere riportato nell’informativa sintetica?
L’EDPB propone un modello di informativa sintetica “più ricco” rispetto a quella a cui siamo abituati; essa dovrebbe riportare:
– l’identità del titolare del trattamento;
– le basi giuridiche del trattamento;
– dettagli in merito al legittimo interesse (concreto) del titolare del trattamento;
– i dati di contatto del DPO, ove presente;
– i diritti dell’interessato e le modalità attraverso cui possono essere esercitati;
– informazioni specifiche relative all’impatto che il trattamento in oggetto avrà sugli interessati (es: se le immagini vengono trasmesse solo live o se sono registrate e, in quest’ultimo caso, quali sono i tempi di conservazione fissati dal titolare; se le registrazioni vengono pubblicate o trasmesse a parti terze, a maggior ragione se queste ultime sono localizzate fuori dall’UE, ecc.);
– il rinvio esplicito all’informativa estesa, che potrà essere consultata dall’interessato per ottenere maggiori informazioni in merito al trattamento di dati effettuato con il sistema di videosorveglianza.
L’informativa “sintetica” deve richiamare quella “estesa”.
L’EDPB suggerisce di inserire nell’informativa sintetica un QR code che indirizzi all’informativa estesa (o di secondo livello) o, comunque, l’indicazione di un sito web o altra indicazione utile per poterla reperire agevolmente e con immediatezza (in formato digitale o cartaceo), possibilmente senza dover necessariamente accedere all’aera di ripresa.
Indipendentemente dalle modalità con cui è fornita, l’informativa estesa dovrà contenere tutte le informazioni di cui all’art. 13 GDPR.
