Ecco una sintesi ordinata per la corretta applicazione delle normative, al fine di produrre una “buona prassi” nell’attività di compliance dedicata alla videosorveglianza
Gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori, possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali. In alternativa, nel caso di imprese con unità produttive ubicate in diverse province della stessa regione ovvero in più regioni, tale accordo può essere stipulato dalle associazioni sindacali comparativamente più rappresentative sul piano nazionale.
Nel caso in cui un datore di lavoro voglia installare un impianto di videosorveglianza, dovrà:
- Compilare il modello di istanza di autorizzazione;
- Allegare una relazione che specifichi le esigenze di carattere organizzativo, produttivo, di sicurezza o tutela del patrimonio aziendale alla base dell’istanza e che descriva le caratteristiche tecniche delle telecamere installate, le modalità di funzionamento del DVR, il numero ed il posizionamento dei monitor, la fascia oraria di funzionamento dell’impianto, i tempi di conservazione delle immagini, le specifiche di funzionamento dell’impianto di videosorveglianza;
- Allegare due marche da bollo da € 16,00 da consegnare a mano o a mezzo posta;
Una volta regolarizzata la presenza dell’impianto, sarà possibile dedicarsi alle attività di compliance relative al trattamento dei dati personali tramite sistemi di videosorveglianza.
Le norme di riferimento, sono il Regolamento (UE) 2016/679, il D.lgs. 196/2003 s.m.i., il provvedimento GDPR in materia di videosorveglianza del 8 aprile 2010, nonché le Linee Guida EDPB 3/2019 sul trattamento dei dati personali attraverso dispositivi video.
Il punto di partenza dell’attività di compliance è rappresentato, ovviamente dai principi applicabili al trattamento ed in particolare:
LICEITA’: Come per ogni altro trattamento, anche per quello effettuato tramite dispositivi video è necessario, in relazione alle finalità, individuare una base giuridica di riferimento. Nella pratica, le condizioni di liceità maggiormente utilizzate sono l’art. 6, par.1, lett. f, vale a dire il “legittimo interesse” (utilizzabile solo in ambito privato); art.6, par. 1, lett. e, vale a dire la “necessità di esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri” (utilizzabile in ambito pubblico).
TRASPARENZA: Il titolare del trattamento dovrà fornire all’interessato tutte le informazioni relative al trattamento dei dati personali. In considerazione della necessità di garantire che l’interessato sia consapevole di accedere ad un’area videosorvegliata e, al tempo stesso di fornire dettagliate informazioni in relazione al trattamento che ne consegue, le Linee guida EDPB raccomandano un approccio “scalare”.
Le informazioni primarie andranno fornite, pertanto, tramite segnaletica di avvertimento, che sia ben visibile e facilmente intelligibile, anche mediante l’utilizzo di icone. Inoltre è necessario fornire ulteriori informazioni in relazione all’esistenza dei diritti dell’interessato, al tempo di conservazione delle immagini, alla comunicazione dei dati a terzi.
LIMITAZIONE DELLA CONSERVAZIONE: I dati personali non possono essere conservati a tempo indeterminato. Il titolare dovrà dunque, individuare il periodo di conservazione o i criteri per la determinazione dello stesso. La conservazione deve essere limitata a poche ore o, al massimo alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria. Solo in alcuni casi per peculiari esigenze tecniche o per la particolare rischiosità dell’attività svolta dal titolare del trattamento, può ritenersi ammesso un tempo più ampio di conservazione dei dati che, sulla scorta anche del tempo massimo legislativamente posto per altri trattamenti, si ritiene non debba comunque superare la settimana. Decorso il periodo di conservazione, i dati dovranno essere cancellati, preferibilmente tramite meccanismi automatici (es. sovrascrittura).
