Quello delle telecamere sul posto di lavoro utilizzate per la sorveglianza sistematica e automatizzata di uno spazio specifico con mezzi ottici o audiovisivi, per lo più a scopo di protezione della proprietà o per proteggere la vita e la salute delle persone, è divenuto oramai un fenomeno davvero molto significativo.
Questa attività comporta la raccolta e la conservazione di informazioni grafiche o audiovisive su tutte le persone che entrano nello spazio monitorato, identificabili in base al loro aspetto o ad altri elementi specifici.
Telecamere sul posto di lavoro: normativa di riferimento
Nel particolare ambito delle video riprese sul luogo di lavoro la normativa di riferimento sotto il profilo privacy è la seguente:
- Il provvedimento Generale dell’8 aprile 2010 del Garante Privacy;
- Il Regolamento Europeo 2016/679/UE, sintetizzato in GDPR;
- Il Parere Gruppo di Lavoro Art. 29 (ora EDPB, European Data Protection Board o Comitato europeo per la protezione dei dati) n.2/2017 dell’8 giugno 2017 sul trattamento dei dati dei lavoratori ne luoghi di lavoro;
- Le linee guida sul trattamento di dati personali attraverso sistemi di videosorveglianza adottate dall’EDPB il 13 luglio 2019.
Telecamere sul posto di lavoro: finalità del trattamento
La finalità del monitoraggio devono essere documentate per iscritto (sempre secondo l’art. 5, paragrafo 2 del GDPR del 2016 ed introdotto nel 2018) e devono essere specificate per ogni telecamera di sorveglianza in uso.
Inoltre, gli interessati devono essere informati delle finalità del trattamento ai sensi dell’articolo 13. La semplice menzione di uno scopo di sicurezza con riguardo alla videosorveglianza non è sufficientemente specifica.
Ciò contrasta con il principio secondo il quale i dati personali vengono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.
Inoltre, la normativa giuslavorista vieta l’utilizzo di impianti audiovisivi per controllare l’adempimento dell’attività lavorativa ma ne consente l’impiego quando le finalità sono di altra natura anche se, indirettamente, ne derivi la possibilità di un controllo dell’attività lavorativa.
Sotto un profilo pratico le finalità per le quali diventa legittima l’installazione di telecamere sul posto di lavoro al fine di videosorveglianza sono:
- Esigenze organizzative e produttive: si pensi alla necessità di riprendere un macchinario per verificare che questo funzioni correttamente e finisca un ciclo di produzione per iniziarne un altro; oppure a una telecamera posta sulla porta del negozio per vedere se entrano clienti e riceverli;
- Tutela della sicurezza del lavoro;
- Tutela del patrimonio aziendale.
Telecamere sul posto di lavoro: obblighi di trasparenza e informazione
La normativa europea in materia di protezione dei dati dispone da tempo che gli interessati debbano essere consapevoli del fatto che è in funzione un sistema di videosorveglianza. L’obbligo di informazione di cui all’articolo 13 del GDPR si applica se i dati personali sono raccolti.
Per quanto riguarda la videosorveglianza, le informazioni più importanti devono essere indicate sul segnale di avvertimento stesso (primo livello), mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello).
Il primo livello riguarda la modalità con cui avviene la prima interazione fra il titolare del trattamento e l’interessato. In questa fase, i titolari del trattamento possono utilizzare un segnale di avvertimento che indichi le informazioni pertinenti. Tali informazioni possono essere fornite in combinazione con un’icona per dare, in modo ben visibile, un quadro d’insieme del trattamento previsto (art.12, paragrafo 7 GDPR).
Le informazioni di secondo livello devono essere facilmente accessibili per l’interessato, ad esempio attraverso una pagina informativa completa messa a disposizione in uno snodo centrale o affissa in un luogo di facile accesso. Come sopra illustrato, la segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento a tale secondo livello di informazioni.
Periodi di conservazione dei dati e obblighi di cancellazione
I dati personali non possono essere conservati più a lungo di quanto necessario per le finalità per le quali sono trattati (art.5, paragrafo 1). Il nostro sistema giuridico in merito alla durata della conservazione delle immagini registrate nei luoghi di lavoro, fissa il limite standard a 24 ore, eventualmente estendibili sino a 7 giorni solo a seguito di regolare richiesta.
Misure tecniche e organizzative: profili IT
Come indicato all’articolo 32, paragrafo 1 del GDPR, non è sufficiente che il trattamento di dati personali durante videosorveglianza sia lecito, in quanto titolari e responsabili del trattamento devono anche garantire l’adeguata sicurezza dei dati in questione.
Le misure tecniche e organizzative attuate devono essere proporzionate ai rischi per i diritti e le libertà delle persone fisiche derivanti dai casi di distruzione accidentale o illecita, perdita, alterazione, divulgazione non autorizzata o accesso ai dati di videosroveglianza.
Un sistema di videosorveglianza è costituito da dispositivi analogici e digitali nonché da software per acquisire immagini, gestirle e mostrarle a un operatore.
Il sistema di videosorveglianza è costituito da un ambiente video necessario per l’acquisizione delle immagini, interconnessioni e gestione delle immagini. Le interconnessioni descrivono tutte le trasmissioni di dati all’interno dell’ambiente video. La gestione delle immagini include l’analisi, la memorizzazione e la presentazione di un’immagine o di una sequenza.
Le interfacce con altri sistemi possono includere il collegamento ad altri sistemi di sicurezza e di altri sistemi che non riguardano a sicurezza (sistemi di gestione degli edifici, riconoscimento automatico delle targhe).
Sicurezza del sistema significa sicurezza fisica di tutti i componenti del sistema, nonché integrità del sistema, vale a dire protezione e resilienza in caso di interferenze volontarie e involontarie nel suo normale funzionamento e controllo degli accessi.
Sicurezza dei dati significa riservatezza (i dati sono accessibili solo a coloro a cui è concesso l’accesso), integrità ( prevenzione della perdita o della manipolazione dei dati) e disponibilità ( i dati possono essere consultati ogni qual volta sia necessario).
Sicurezza fisica è un parte della protezione dei dati e costituisce la prima linea di difesa, perché protegge le apparecchiature VSS da furti, atti vandalici, calamità naturali, catastrofi provocate dall’uomo e danni accidentali.
La sicurezza del sistema e dei dati può comprendere:
- Protezione dell’intera infrastruttura del VSS contro manomissioni fisiche e furti;
- Protezione della trasmissione di filmati attraverso canali di comunicazione sicuri a prova di intercettazione;
- Cifratura dei dati;
- Utilizzo di soluzioni basate su hardware e software quali firewall, antivirus;
- Rilevamento delle intrusioni contro gli attacchi informatici;
- Rilevamento di guasti di componenti, software e interconnessioni;
- Strumenti per ripristinare la disponibilità dei dati personali e l’accesso agli stessi in caso di problemi fisici o tecnici.
Il controllo degli accessi garantisce che solo le persone autorizzate possano accedere al sistema e ai dati. Le misure che supportano il controllo fisico e logico degli accessi includono:
- La garanzia che tutti i locali in cui viene effettuato il monitoraggio mediante video sorveglianza e in cui vengono conservate le riprese video siano protetti contro l’accesso non supervisionato da parte di terzi;
- Il posizionamento dei monitor in modo tale che solo gli operatori autorizzati possano visualizzarli;
- La definizione e l’applicazione delle procedure per la concessione, la modifica e la revoca dell’accesso;
- L’attuazione di metodi e mezzi di autenticazione e autorizzazione dell’utente;
- La registrazione e la revisione periodica delle azioni eseguite dagli utenti;
- L’esecuzione del monitoraggio e l’individuazione di guasti agli accessi in modo continuativo e la risoluzione in tempi brevi delle carenze individuate.
