Un piccolo omaggio per gli installatori video

Un piccolo omaggio per gli installatori video

Gli installatori di impianti di videosorveglianza debbono spesso offrire assistenza ai committenti per garantire il rispetto delle disposizioni in materia di protezione dati personali. Ecco una sintetica guida degli adempimenti relativi.

È bene chiarire, fin dall’inizio, che la responsabilità per il pieno rispetto dei dettati in materia di protezione dati personali spetta al titolare del trattamento, nella fattispecie il committente che dà incarico ad un installatore di fornire in opera un impianto di videosorveglianza. D’altro canto, è del tutto naturale che il committente spesso non abbia una idea sufficientemente completa ed aggiornata sulle responsabilità che gli competono, mentre l’installatore, trovandosi davanti in continuazione a problemi installativi di impianti di videosorveglianza, dovrebbe essere in grado di fornire un prezioso aiuto al titolare stesso.

Proprio per fornire al meglio questo aiuto, offro di seguito un elenco degli adempimenti, per i quali una stretta collaborazione fra il titolare del trattamento e l’installatore dell’impianto è oltremodo raccomandata.

La legittimità dell’installazione

I vigenti regolamenti prevedono che un impianto di videosorveglianza venga installato, dopo aver verificato alcuni criteri, afferenti alla legittimità della installazione. Ad esempio, se l’impianto di videosorveglianza inquadra, anche occasionalmente, dei dipendenti, occorre ottenere l’assenso pregresso delle rappresentanze sindacali o, in mancanza, adire la direzione provinciale del lavoro, per ottenere l’autorizzazione. Si tratta un adempimento che evidentemente è di competenza del titolare, ma che sarebbe bene che l’installatore chiedesse di verificare, prima di procedere all’installazione.

Se infatti l’impianto venisse installato, in assenza di una verifica di legittimità, potrebbero nascere problemi, che in via indiretta potrebbero coinvolgere anche l’installatore.

Per evitare che l’installatore sembri troppo complicato ed esigente, è sufficiente che il titolare rilasci una dichiarazione circa la legittimità dell’impianto, che l’installatore andrà ad installare, assumendosi le responsabilità relative.

La informazione ai soggetti ripresi

Superata questa fase, occorre verificare l’area coperta dalle telecamere, per individuare il perimetro dell’insediamento, lungo il quale andranno installati i cartelli di informazione.

Questa informazione deve essere fornita a due livelli, rispettivamente:

• un livello nel quale la immediatezza dell’informazione privilegia la completezza,
• un livello nel quale la completezza privilegia l’immediatezza.

Tradotto in soldoni, ciò significa che occorre inserire dei cartelli lungo il perimetro dell’insediamento ripreso, possibilmente installandoli prima che il soggetto interessato possa essere ripreso. Egli avrà quindi la possibilità di decidere se entrare nella zona di ripresa, oppure fare dietro-front e allontanarsi.

Gli elementi fondamentali che devono essere tassativamente presenti in questa informativa sintetica sono i seguenti:

• la ragione per la quale le riprese vengono effettuate, ad esempio “per la protezione delle persone dei beni”,
• il titolare del trattamento, vale a dire l’ente cui fare riferimento, in caso di necessità,
• infine, il soggetto cui rivolgersi per avere maggiori informazioni sulle finalità dell’impianto di videosorveglianza o esercitare i propri diritti.

 L’autorità Garante italiana ha messo a disposizione dei cartelli, che hanno solo bisogno di essere riempiti.

Metto in guardia i lettori dall’andare acquistare su piazza cartelli prestampati, perché girano delle versioni che sono un autentico abominio, in quanto non permettono di mettere in evidenza i tre elementi sopra elencati.

Uno dei più orrendi cartelli che mi sia capitato di incontrare è qui illustrato!

Anche il comitato europeo per la protezione dei dati ha messo a disposizione un nuovo modulo, abbastanza complicato, che però ha il grande vantaggio di tenere conto di tutte le ultime evoluzioni in tema di applicazione del regolamento generale sulla protezione dei dati.

Nella informazione analitica, che ad esempio potrebbe essere posta presso un punto di accoglienza di un ufficio pubblico pure privato, devono essere offerte molte più informazioni, fino a riempire un foglio formato A4 con tutti i dettagli. Anche in questo caso, può essere una buona idea, soprattutto per i titolari che hanno a che fare con soggetti provenienti da varie parti del mondo, presentare l’informazione in almeno italiano ed inglese.

Ove l’impianto di video sorveglianza sia installato a protezione di un Comune, si raccomanda di installare informativa sintetica su tutte le vie di accesso, senza dimenticare, come successe recentemente in un Comune del milanese, il fatto che qualche visitatore potrebbe arrivare con il treno; pertanto il messaggio di informativa sintetica deve essere affisso anche alla stazione delle auto corriere ed alla stazione ferroviaria.

In molti capitolati di gara si chiede all’installatore di fornire e installare in opera questi cartelli ed è bene che l’installatore faccia attenzione a scegliere cartelli fatti bene, da sottoporre all’approvazione del titolare. Sarà altresì opportuno che l’installatore concordi con il titolare tutti i luoghi in cui cartelli dovranno essere installati, ricordandosi che per quattro cartelli in più non è mai morto nessuno, mentre per un cartello in meno si potrebbe essere soggetti a una sanzione, per omessa informazione.

La nostra autorità Garante ha fatto anche presente che questi cartelli devono essere leggibili anche di notte, ove l’impianto di videosorveglianza funzioni anche di notte, come certamente avviene nell’ambito di installazioni di videosorveglianza, poste a protezione di aree pubbliche.

Un’altra raccomandazione, che non è di competenza dell’installatore, ma che sarebbe bene che egli trasmettesse al committente, cioè al titolare, riguarda il fatto che nulla osta a che l’informazione venga messa a disposizione anche attraverso canali digitali, come ad esempio il sito Web del titolare o, come raccomanda il comitato europeo per la protezione dei dati, addirittura mediante la scansione di un QR code, applicato sul cartello di informazione sintetica ed informazione analitica.

Pubblicità

Passiamo ora a rispettare i dettati dell’articolo 25 del regolamento generale europeo.

L’articolo 25 impone che qualunque sistema di trattamento di dati personali, compreso quindi un impianto di videosorveglianza, sia soggetto ad una valutazione di protezione dei dati e di rispetto della esigenza di minimizzare i dati acquisiti.

È questo un tipico compito dell’installatore, che installa il sistema di gestione delle telecamere. Oggi esistono sistemi di gestione delle telecamere oltremodo sofisticati e ragione vorrebbe che fossero i fornitori di questi software i soggetti che dovrebbero mettere a disposizione questa valutazione ex articolo 25.

Mi risulta che un paio di fornitori di questi software gestionali si siano già attivati, ma altri sembrano assai arretrati. Poiché è evidente che una valutazione del genere non può essere fatta dal committente, l’installatore ha una specifica e grave responsabilità nel mettere a disposizione del titolare questo documento.

Se poi si basa su una valutazione già sviluppata dalla ditta fornitrice dall’applicativo, oppure lo fa in proprio, è un problema che riguarda solo l’installatore non il titolare. Un titolare attento provvederà a inserire nel capitolato di fornitura dell’impianto di videosorveglianza anche la specifica richiesta di messa a disposizione della valutazione ex articolo 25.

Senza entrare in dettagli approfonditi, ricordo ai lettori che la disposizione della seconda parte dell’articolo 25 può essere rispettata, ad esempio, attivando i famosi software a tutela della privacy, che mascherano porzioni delle immagini riprese, che non sono rilevanti ai fini dei motivi per cui l’impianto viene installato.

Sempre per aiutare l’installatore a sviluppare questo documento, nel caso non sia già fornito dalla software house, che produce il sistema di gestione delle telecamere, ricordo che tutte le prescrizioni che garantiscono la sicurezza di un sistema informativo sono, nella grande maggioranza dei casi, anche applicabili ai sistemi di videosorveglianza, in cui oggi la componente informatica, sia in fase di acquisizione, trasmissione, gestione e archiviazione delle immagini, è assolutamente dominante.

Esistono numerose norme che fanno riferimento a queste misure di sicurezza e ad esse potrà riferirsi l’installatore, nell’elaborare questo documento, magari con l’assistenza di uno specialista di informatica.

Telecamere finte e telecamere nascoste.

Si tratta di un tema alquanto delicato che recentemente ha attirato l’attenzione di tutti i soggetti interessati, soprattutto a seguito di una sentenza della corte europea per i diritti dell’uomo.

Valutato l’argomento in un precedente intervento e ad esso rimando i lettori, rammentando comunque che la decisione finale su questo tema delicato spetta esclusivamente al titolare.

Archiviazione e cancellazione delle registrazioni

Ricordo ai lettori che i dati personali non possono essere archiviati per un periodo più lungo di quanto strettamente necessario per soddisfare alle finalità per cui i dati personali vennero raccolti, in conformità a quanto prescritto dall’articolo 5, comma 1, lettere c) ed e).

In alcuni Stati membri possono essere poste delle limitazioni specifiche, come previsto dall’articolo 6, comma 2 del regolamento.

Ricordo che in Italia la nostra autorità Garante più volte si è espressa su questo argomento, indicando in sette giorni la durata massima di archiviazione delle immagini, salvo deroghe debitamente autorizzate. Ricordo anche, con l’occasione, che anche una sola ora di archiviazione deve comunque essere debitamente motivata.

È evidente che il soggetto che deve provvedere a predisporre la durata della archiviazione dell’immagini, su specifiche indicazioni del titolare, è l’installatore.

A questo stesso soggetto compete anche l’obbligo di predisporre il sistema gestionale in modo tale da provvedere alla cancellazione automatica dei dati archiviati, non appena sia stata superata la durata di archiviazione indicata dal titolare.

Ecco perché il titolare dovrà richiedere, e l’installatore dovrà fornire, prova del fatto che i parametri sopraindicati vengono correttamente impostati, in fase di attivazione dell’impianto, e rispettati in fase di gestione ordinaria.

Il posizionamento dei monitori delle postazioni di comando e controllo

Una regola generale, applicabile a qualsiasi impianto di videosorveglianza, prevede che le immagini possano essere osservate solo da soggetti debitamente autorizzati, come ad esempio addetti all’accoglienza, guardie particolari giurate e simili. Solo i soggetti che hanno ricevuto questa specifica autorizzazione possono osservare le immagini.

Purtroppo spesso si assiste a posizionamenti infelici dei monitori, soprattutto presso le portinerie, con la conseguenza che qualsiasi visitatore dell’insediamento può osservare le immagini riprese, violando così la puntuale e comprensibile imposizione del regolamento generale europeo.

Anche in questo caso, è evidente che è compito dell’installatore trovare un posizionamento dei monitori, tale che solo soggetti autorizzati possano osservare le immagini. Nel caso nascano difficoltà di posizionamento, nell’ambito della portineria od altro sito coinvolto, l’installatore deve necessariamente prendere contatto con il titolare e congiuntamente trovare una soluzione che soddisfi questa precisa specifica del regolamento.

Le procedure di gestione e le misure organizzative

Sarebbe bene che l’installatore si facesse consegnare dal titolare del trattamento anche un manuale con le procedure di gestione dell’impianto di videosorveglianza. Purtroppo l’esperienza insegna che spesso il titolare è del tutto impreparato ad elaborare questo documento e risulta pertanto preziosa l’assistenza dell’installatore, che dovrà aiutarlo nel compilare un documento, nel quale devono essere messi in evidenza almeno i seguenti punti:

• Chi è responsabile della gestione e del funzionamento del sistema di videosorveglianza
• Scopo e portata del progetto di videosorveglianza
• Uso appropriato e proibito (dove e quando è consentita la videosorveglianza e dove e quando non lo è; ad es. Uso di telecamere nascoste e audio oltre alla registrazione video)
• Obblighi di informazione)
• Come vengono registrate le immagini video e per quale durata, inclusa l'archiviazione delle registrazioni video relative a incidenti di sicurezza
• Chi deve sottoporsi a formazione specifica e quando, ad esempio tutti i soggetti autorizzati alla gestione dell’impianto
• Chi ha accesso alle registrazioni video e per quali scopi
• Procedure operative (ad es. Da chi e da dove viene monitorata la videosorveglianza, cosa fare in caso di incidente con violazione dei dati)
• Quali procedure i soggetti terzi devono seguire per richiedere registrazioni video, nonché le procedure per rifiutare o soddisfare tali richieste, ad esempio in caso di richiesta da parte dei tutori dell’ordine
• Procedure per l'approvvigionamento, l'installazione e la manutenzione dell’impianto
• Procedure di gestione e recupero degli incidenti

Tra le misure gestionali di estrema importanza, ricordo quella afferente alla gestione di possibili perdite di dati, sia per ragioni accidentali, sia per ragioni criminose. L’accidentale cancellazione di un’immagine video registrata comporta una violazione dell’impegno di protezione dei dati, assunto dal titolare, di concerto con l’installatore. In alcuni casi questa violazione potrebbe avere riflessi oltremodo gravi, con applicazione di salate sanzioni da parte dell’autorità Garante. Ricordo ancora una volta che il fatto che la perdita del dato abbia natura accidentale, ad esempio per un guasto dell’apparecchiatura, oppure abbia natura criminosa, ad esempio perché qualcuno ha sottratto alcune videoregistrazioni critiche, in nulla altera il fatto che una violazione si sia comunque verificata. Semmai, la natura accidentale o dolosa potrà essere presa in considerazione dell’autorità Garante, in fase di applicazione di sanzioni.

Infine, parliamo dell’articolo 35 del regolamento generale europeo

Questo articolo prevede che sistemi di trattamento, in particolare impianti di videosorveglianza, aventi particolari caratteristiche, debbano essere assoggettati ad una valutazione di impatto.

Le autorità Garanti nazionali devono emettere un elenco nel quale sono descritte le tipologie di impianti, per le quali è obbligatorio sviluppare la valutazione di impatto. Impianti di videosorveglianza di grandi dimensioni sono già esplicitamente inseriti, tenendo comunque ben presente che la dimensione non è l’unico parametro da prendere in considerazione, ma anche numerosi altri parametri di contorno.

La valutazione di impatto deve ovviamente essere sviluppata dal titolare, che si trova però nella già menzionata difficile condizione di avere poca o nessuna esperienza specifica.

Ecco la ragione per la quale è bene che l’installatore sia pronto a offrire assistenza per sviluppare questo importantissimo documento.

Ricordo ai lettori che il sempre prezioso articolo 29 Working party ha già messo a disposizione un documento che aiuta nello sviluppare questa valutazione di impatto. Il documento, dal titolo “ Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is "likely to result in a high risk" for the purposes of Regulation 2016/679, wp248rev.01”,  è reperibile sul sito.

Con l’occasione ricordo che, se i risultati della valutazione di impatto indicano che il trattamento comporterebbe rischi elevati, nonostante le misure di sicurezza pianificate dal titolare del trattamento, sarà necessario consultare l'autorità di controllo competente, prima del trattamento. I dettagli sui temi prima illustrati sono disponibili nell'articolo 36.

Abbiamo quasi finito

Dopo aver adempiuto a tutte le prescrizioni, illustrate in precedenza, raccomando caldamente che l’installatore analizzi puntualmente tutte le attività sopradescritte, confermando di averle portate a termine nel pieno rispetto delle indicazioni ricevute dal titolare e delle prescrizioni del regolamento generale europeo.

A questo punto, una breve vacanza può essere meritata!

Adalberto Biasiotti

Questo articolo è pubblicato sotto una Licenza Creative Commons.