GDPR, Privacy e gestione dei flussi informativi; quando si parla di questi temi occorre sempre chiarire alcuni aspetti: il datore di lavoro può installare un sistema di videosorveglianza nelle sedi di lavoro? Occorre avere un’autorizzazione del Garante per installare le telecamere? In che modo si fornisce l’informativa agli interessati? Per quanto tempo è possibile conservare le immagini registrate?

Sono questi alcuni dei quesiti a cui rispondono le FAQ elaborate dal Garante Privacy. È stata fatta chiarezza sulle questioni concernenti il trattamento dei dati personali e il GDPR nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti sia pubblici che privati.

Le FAQ, pubblicate sul sito dell’Autorità www.garanteprivacy.it il 5 dicembre prendono spunto da risposte fornite a reclami, segnalazioni illeciti e quesiti ricevuti. Inoltre, tengono conto delle Linee Guida N.3/2019 emanate dal Comitato Europeo per la protezione dei dati (EDPB).

GDPR, responsabilità e protezione dati personali: il principio di Accountability

Il Garante ha stabilito che l’attività di videosorveglianza va effettuata nel rispetto del principio di minimizzazione dei dati; riguardo alla scelta delle modalità di ripresa e alla dislocazione dell’impianto,  i dati trattati devono comunque essere pertinenti e non eccedenti rispetto alle finalità perseguite.

In base al principio di responsabilizzazione, poi, spetta al titolare del trattamento (un’azienda, una pubblica amministrazione, un professionista, un condominio…) valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti e le libertà delle persone fisiche. Il titolare del trattamento deve, inoltre, valutare se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento (DPIA).

Ecco, quindi, confermato il principio dell’Accountability delineato dall’art. 5.2 del Reg. UE 2016/679: chi tratta dati personali è responsabile anche delle modalità con cui effettua tali trattamenti in relazione alle proprie esigenze.

Gestione flussi informativi: per quanto tempo si possono conservare i dati raccolti dai sistemi di videosorveglianza?

In merito ai tempi di conservazione delle immagini registrate, non vi sono regole ben definite. Pertanto, salvo specifiche norme di legge che prevedano durate determinate, i tempi di conservazione devono necessariamente essere individuati dal titolare del trattamento in base al contesto e alle finalità del trattamento, nonché al rischio per i diritti e le libertà delle persone.

Al riguardo il Garante ha sottolineato che i dati personali dovrebbero essere, nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici), cancellati dopo pochi giorni. In aggiunta, quanto più prolungato è il periodo di conservazione previsto, tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione.

Inoltre, di grande importanza anche i chiarimenti che l’Autorità ha fornito in merito all’informativa (art.13 GDPR) da proporre agli interessati; è possibile utilizzare un modello semplificato -come ad esempio un cartello-  da esporre all’ingresso dell’area sorvegliata. In questo modo l’area coperta da una telecamera sarà ben visibile agli occhi degli interessati (per un fac-simile di cartello videosorveglianza cfr. https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9496244).

Compliance normativa e conformità GDPR

Le piattaforme In-Whistle (Sistema di segnalazione illeciti aziendali) e In-Flow (Sistema di gestione flussi informativi) di In-compliance, supportano il rispetto del regolamento europeo sulla protezione dei dati (GDPR). Inoltre garantiscono l’osservanza di altre norme sulla protezione dei dati in tutto il mondo, attraverso diverse misure a livello tecnico ed organizzativo.

• A livello organizzativo, attraverso misure adottate per la sicurezza delle informazioni e la protezione dei dati sotto forma di un ISMS adeguato e certificato secondo le norme iso27001. Ciò è soggetto a regolari audit interni e indipendenti.
• A livello tecnico, la EQS INTEGRITY line è stata sviluppata secondo i più elevati standard per la protezione e la sicurezza dei dati.