Informativa e Videosorveglianza: il caso
La Polizia Locale di un comune piemontese è stata protagonista di un caso particolare, in cui il titolare di una piccola azienda è stato sanzionato per la mancata esposizione dell’informativa sulla presenza del sistema di videosorveglianza. E’ successo lo scorso 16 gennaio, quando la polizia di Salvario Caporetto Borgo Po ha elargito una sanzione per illecito amministrativo ad un piccolo negozio di vendita al dettaglio di ben € 12.000,00.
Una cifra questa molto importante, se si pensa tra l’altro che è stata inflitta con leggerezza da personale non competente ad un imprenditore superficiale in nome di una normativa tanto dibattuta ma a quanto pare non chiara a tutti.
Cosa riportava il verbale
L’agente di Polizia Territoriale, che ha redatto il verbale per illecito amministrativo, ha commesso diversi errori. Vediamo meglio nel dettaglio i punti salienti:
“In qualità di titolare ometteva di esporre informativa per la tutela della privacy, per aver collocato all’interno del locale N. 2 telecamere di videosorveglianza. Si allega verbale d’ispezione che diventa parte integrante del presente verbale redatto e notificato il 21-01-2020 alle h. 16.30.
Art. 13 e 161 del codice in materia di protezione dei dati personali.”
A chi è del settore e sicuramente agli habitué del GDPR salta all’occhio nell’immediato un errore grossolano:
- il termine privacy innanzitutto. Sappiamo bene infatti che l’attuale Regolamento Europeo o GDPR 679/2016, entrato in vigore il 25 maggio 2018, ha abrogato la normativa sul trattamento dei dati personali in materia di privacy;
- si fa riferimento all’articolo 13 e art. 161 della stessa normativa, quindi all’informativa (anche in materia di videosorveglianza) e alla sua omissione o incompletezza, del Codice Privacy D.lgs. 196/2003, anch’essi abrogati con il D. 101 del 10 agosto 2018.
Avrebbe dovuto menzionare piuttosto il Regolamento UE 679/2016 e i rispettivi articoli 13 e 83.
Infatti l’attuale art. 13 del GDPR sancisce l’obbligo del Titolare del Trattamento dei dati personali, applicabile anche al trattamento tramite videosorveglianza, di fornire all’interessato le informative secondo le quali vengono trattati i propri dati . Devono riguardare non solo i dati identificativi del Titolare, di un eventuale Responsabile del Trattamento se nominato, ma anche le finalità, la base giuridica e i destinatari dei dati trattati.
Deve essere fornita l’informativa su eventuali trasferimenti all’estero dei dati trattati, sui processi di profilazione se effettuata e sui diritti dell’interessato e le modalità secondo cui esercitarli.
L’art. 83 disciplina invece le sanzioni amministrative pecuniarie e i diritti degli interessati.
Quali sono gli organi atti ad adottare i provvedimenti?
Se parliamo di informativa e videosorveglianza, quindi di eventuali illeciti nel trattamento dei dati personali derivanti da strumenti come le telecamere e simili siamo nell’ambito di competenza del Garante della Privacy.
Può dunque la Polizia esercitare controlli e elargire sanzioni di fronte alle violazioni in materia di protezione dei dati?
Non è quanto previsto dal Regolamento UE, la polizia può effettuare dei controlli in presenza di un esposto e di un procedimento in atto, ma non può farlo di sua iniziativa.
Infatti il precedente D.lgs 193/2003 sia nel comma 3 che nel 5 cita
Comma 3. Il Garante è l’organo competente ad adottare i provvedimenti correttivi di cui all’articolo 58, paragrafo 2, del Regolamento, nonché ad erogare le sanzioni di cui all’articolo 83 del medesimo Regolamento e di cui ai commi 1 e 2.
Comma 5. L’Ufficio del Garante, quando ritiene che gli elementi acquisiti nel corso delle attività configurino una o più violazioni, avvia il procedimento per l’adozione dei provvedimenti e delle sanzioni di cui al comma 3 notificando al titolare o al responsabile del trattamento le presunte violazioni.
Allo stesso modo nel Regolamento UE 679/2016 l’articolo 58 sottolinea che i poteri di revisione, notifica ed eventuali sanzioni amministrative sono di competenza dell’autorità di controllo.
Ne deduciamo che la Polizia Territoriale non ha alcuna autorità, ne competenza per condurre indagini ed emettere sanzioni in materia di protezione dei dati.
L’unico organo atto ad operare a nome dell’autorità del Garante è la Guardia di Finanza, come previsto da un Protocollo d’intesa tra i due.
La sanzione pecuniaria
Il verbale redatto per mancata informativa sull’utilizzo e la presenza di un sistema di videosorveglianza riporta un’ammenda di € 12.000,00.
E’ una cifra congrua?
Effettivamente è discutibile, perché il GDPR menziona solo i massimali, che variano dai 10 ai 20 milioni di euro, o al 2% o il 4% del fatturato mondiale annuo dell’esercizio precedente.
E l’unico caso noto in cui è stata inflitta una sanzione in materia di videosorveglianza è quello in Austria, in cui parliamo di 4 mila euro.
L’azienda non aveva predisposto l’informativa obbligatoria sulla presenza del sistema di videosorveglianza. Per di più le telecamere riprendevano parte del suolo pubblico antistante la sede aziendale.
Compliance e Adeguamento
Come più volte sottolineato è dunque obbligatorio adeguare la propria attività pubblica o privata che sia.
In caso si voglia procedere con l’installazione di un sistema di videosorveglianza occorre prestare attenzione e definire per prima cosa le finalità e la reale necessità del trattamento.
Se sono state adottate altre misure di sicurezza per l’attività ma si sono rivelate inefficaci o incomplete, se abbiamo optato per un impianto con le telecamere occorre poi definire la base giuridica, con conseguente giustificazione delle motivazioni tra cui:
- legittimo interesse per la sicurezza sul lavoro;
- per esigenze organizzative e operative;
- per tutelare il patrimonio aziendale.
E’ d’obbligo infatti spiegare il motivo per cui si è scelto un sistema di videosorveglianza, quali sono le esigenze aziendali e come si intendente procedere.
La registrazione di immagini è un trattamento dei dati personali e come tale abbiamo l’obbligo di redarre un DPI o un documento di sintesi sui rischi che potrebbero incorrere i dati stessi durante il procedimento che va dalla registrazione all’archiviazione. Ricordiamo che tramite l’uso delle telecamere i dipendenti potrebbero essere sottoposti a controllo a distanza sistematico e continuativo.
Come presentare richiesta di autorizzazione?
Se all’interno dell’azienda è presente una rappresentanza sindacale occorre stipulare un accordo, in sua assenza si procede direttamente tramite distretto territoriale per il lavoro.
Trovate sul sito tutta la modulistica e le indicazioni necessarie per la richiesta.
Va precisato che occorre compilare il modulo INL ed un’autodichiarazione con le ragioni per cui si intende installare un impianto di videosorveglianza. Inoltre si deve allegare eventuale planimetria, due marche da bollo da € 16,00 e spedire il tutto tramite raccomandata A/R o via pec.
Informativa e Videosorveglianza
Questa è la parte sicuramente più semplice. Per essere compliance alla normativa è d’obbligo informare gli interessati specificando:
- finalità di trattamento e base giuridica;
- dati e contatti del Titolare del trattamento;
- i diritti dell’interessato;
- periodo di conservazione delle immagini.
Le linee guida del GDPR offrono una nuova segnaletica informativa, logo bianco su sfondo blu, che va posta in prossimità di ogni singolo ambiente sorvegliato dalle telecamere. L’informativa sulla videosorveglianza deve essere chiara, dettagliata, facilmente accessibile agli interessati e consultabile prima di entrare nella zona ripresa.
Eventuali contestazioni
Possono essere oggetto di contestazione:
- tempi di conservazione delle immagini: max 24h, estendibile a 48h, in caso di assenza dei dipendenti nel weekend e nei festivi,o di fronte ad eventuali denunce di reato;
- nomina di un responsabile: solo le persone autorizzate e responsabili delle registrazioni potranno accedere alle immagini tramite log e/o password;
- assenza audio e brandeggio delle telecamere: i dispositivi non devono essere dotati di audio, zoom o brandeggio che consentano il cambio d’angolazione;
- uso della crittografia in caso di trasmissione delle immagini a società esterne;
- monitor e immagini devono essere visionati al di fuori degli orari lavorativi.
Conclusioni
Abbiamo dimostrato che gli unici organi che posseggono competenze e dunque pieni poteri per esercitare controlli, segnalazioni ed infliggere sanzioni sono il Garante delle Privacy in connubio con il Nucleo Speciale Privacy della Guardia di Finanza.
La polizia locale non può redarre verbali, ne sanzionare per illeciti al GDPR.
L’Ispettorato del Lavoro al contrario potrebbe sanzionare le attività che non rispettano lo Statuto dei lavoratori e i loro diritti. Le multe variano dai € 154,00 a € 1.549,00.
Nei peggiori dei casi si può incorrere nell’arresto.
Powersic srl mette a disposizione il suo staff specializzato in materia di protezione di dati e GDPR per allineare pienamente qualunque attività alle disposizioni stabilite dalla normativa attraverso:
ANALISI PRELIMINARE, AUDIT AZIENDALE, CHECK UP APPROFONDITO, ADEGUAMENTO ed EVENTUALE FORMAZIONE.
