Il 9 settembre u.s. si è conclusa la consultazione pubblica proposta sulle nuove Linee Guida 3/2019 in tema di Videosorveglianza adottate il 12 luglio 2019 dall’European Data Protection Board (EDPB).
Le linee guida in commento risultano essere molto interessanti considerato l’utilizzo, a volte intensivo, dei sistemi di videosorveglianza che ha di fatto modificato il comportamento dei cittadini Europei, “the intensive use of video devides has an impact on citizen’s behaviour”.
Di fatto, questa tecnologia limita la possibilità per l’individuo di rimanere “unnoticed” e le implicazioni sulla protezione dei dati sono innumerevoli, considerato altresì che le tecnologie legate alla videosorveglianza sono diventate notevolmente più performanti in conseguenza della nascita della “intelligent video analisys”.
Lo scopo delle Linee Guida emanate dall’EDPB è pertanto quello di fornire uno strumento utile al fine di evitare che una legittima acquisizione di video registrazioni possa sfociare in un trattamento illecito di dati personali non conforme alla disciplina di cui al GDPR.
Più è estesa la videosorveglianza e maggiore è il rischio.
La raccolta massiva di informazioni relative a persone fisiche monitorate da un sistema di videosorveglianza (di seguito, VDS) consente l’elaborazione di numerosi dati personali riferibili alla presenza di una persona in un determinato luogo e di valutarne i comportamenti da questa tenuti. Il pericolo legato all’abuso che potrebbe derivare dalla raccolta di tali informazioni è alto.
In questo senso, l’EDPB richiama infatti l’art. 35, par. 3, GDPR che stabilisce l’obbligo per il Titolare di effettuare una preventiva Valutazione d’Impatto Privacy (DPIA) nel caso in cui il monitoraggio sistematico avvenga su larga scala di una zona accessibile al pubblico e l’art. 37, par. 1, GDPR che impone la nomina di un Data Protection Officer, nel caso in cui il trattamento, per sua natura, richieda il monitoraggio regolare e sistematico su larga scala, quale fonte di mitigazione del rischio conseguente a tale trattamento.
Prima che inizi il trattamento derivante dall’utilizzo di un sistema di videosorveglianza, devono essere specificate nel dettaglio le finalità (art. 5, par. 1 lett. b), GDPR). Le finalità di trattamento a seconda che il Titolare sia un soggetto pubblico o privato, ricorda l’EDPB, devono essere documentate per iscritto e devono essere specifiche per ogni sistema di videosorveglianza in uso. “Video surveillance based on the mere purpose of “safety” or “for your safety” is not sufficiently specific” ed è altresì contrario ai principi di legalità, correttezza e trasparenza di cui all’art. 5, par. 1 lett. a), GDPR.
Base giuridica: legittimo interesse o consenso?
Per essere lecito, il trattamento di dati conseguente all’utilizzo di un impianto di VDS deve essere sempre sorretto da una base giuridica di cui all’art. 6 GDPR.
La videosorveglianza è lecita se è necessaria a soddisfare le finalità per un legittimo interesse perseguito da un Titolare o da terzi, a meno che l’interesse perseguito non pregiudichi i diritti e le libertà dell’interessato.
Il legittimo interesse può derivare da un interesse legale, economico o non patrimoniale del Titolare e deve essere reale, non deve essere immaginario o speculativo, e attuale, cioè concreto e non potenziale. Il legittimo interesse del Titolare deve essere valutato caso per caso tramite uno specifico bilanciamento degli interessi in gioco (Legitimate Interest Assessment).
Il bilanciamento deve considerare in che misura il monitoraggio incida su interessi legittimi, diritti fondamentali e libertà degli interessati e se questo provochi violazioni o ripercussioni negative sui diritti dell’interessato. A mente del Considerando 47, l’esistenza di un legittimo interesse richiede un’attenta valutazione (assessment) anche sulle aspettative degli interessati ad essere tutelati dalle valutazioni e misure di sicurezza predisposte dal Titolare per il caso concreto.
A differenza del legittimo interesse, il consenso dell’interessato si pone come base giuridica alternativa e residuale in materia di videosorveglianza.
Difficilmente un Titolare del trattamento sarà in grado di dimostrare che un’interessato ha prestato il proprio consenso prima dell’inizio del trattamento. Un caso particolare sarebbe quello di un Titolare che a ogni soggetto chiede la prestazione di un consenso prima dell’accesso ad un’area videosorvegliata.
Il consenso deve comunque soddisfare le condizioni di cui all’art. 7 GDPR quindi una manifestazione di volontà libera, specifica, informata e inequivocabile.
Le categorie di dati trattati e il riferimento ai dati biometrici
L’EDPB continua la propria disamina evidenziando che i dati personali trattati da un sistema di VDS devono essere adeguati, pertinenti e limitati in relazione alle finalità per i quali sono trattati. In questo senso, un sistema di videosorveglianza dovrebbe essere adottato da un Titolare quale extrema ratio per il perseguimento delle finalità di trattamento: “Video surveillance measured should only be chosen if the purpose of the processing could not reasonably be fulfilled by other means which are less intrusive to the fundamental rights and freedoms of data subject”.
La divulgazione (disclosure) delle immagini mediante comunicazione, diffusione o la messa a disposizione in altro modo è definito dall’art. 4 GDPR quale tipologia di trattamento. Per questo, qualsiasi divulgazione di filmati contenenti dati personali deve essere legittimata da una specifica base giuridica per tale trattamento. Anche la divulgazione delle immagini alle Forze dell’Ordine è un trattamento specifico che richiede una legittima base giuridica ai sensi dell’art. 6 GDPR.
Mediante un sistema di videosorveglianza potrebbero inoltre essere trattate particolari categorie di dati. L’EDPB ricorda che l'immagine di un soggetto con gli occhiali o in sedia a rotelle possa non essere considerata di per sé un dato particolare, ma dipende dal contesto e dalla natura del trattamento di tale immagine. In ogni caso, il trattamento di categorie particolari di dati personali mediante un sistema di videosorveglianza deve essere legittimato da una delle deroghe di cui all’art. 9 GDPR. Ad esempio, un ospedale monitora i pazienti di una specifica area per ragioni mediche e tale trattamento è reso legittimo dalla necessità di tutelare un interesse vitale dell’interessato (art. 9, par. 1 lett. c), GDPR).
Il Comitato Europeo include nelle Linee Guida una specifica sezione afferente al trattamento dei dati biometrici, quali ad esempio il riconoscimento facciale. Una videoripresa non rappresenta di per sè un dato biometrico se non è stata specificamente trattata tecnicamente al fine di contribuire all’identificazione di un individuo.
Dal combinato disposto degli artt. 4 e 9 GDPR, devono essere considerati i seguenti criteri per verificare se un Titolare stia effettuando o meno un trattamento di dati biometrici:
- La natura dei dati: devono essere trattati dati relativi a caratteristiche fisiche, fisiologiche o comportamentali di una persona;
- I mezzi e modalità di trattamento: il dato risulta da un trattamento tecnico specifico;
- Le finalità di trattamento: la finalità è quella di identificare univocamente una persona fisica.
Il Garante Europeo suggerisce alcune misure per minimizzare i rischi derivanti dal trattamento di dati biometrici. Il Titolare deve considerare il luogo più appropriato, in ottica di accountability, per lo storage dei dati. Lo storage dovrebbe poi essere effettuato mediante un database crittografato e con accesso limitato ad un numero strettamente necessario di soggetti. In ogni caso, il Titolare deve garantire la disponibilità, l’integrità a la riservatezza dei dati trattati.
Diritti degli interessati ed eventuali limitazioni
Ogni individuo, indipendentemente dal sistema di VDS utilizzato, deve essere in grado di esercitare i diritti stabiliti dagli artt. 15-22 GDPR.
L’interessato ha il diritto di ottenere la conferma dal Titolare che sia o meno in corso un trattamento dei propri dati personali.
L’European Board ricorda però alcune limitazioni all’esercizio del diritto di accesso:
- La richiesta potrebbe influire negativamente sui diritti e libertà di altri soggetti interessati dallo stesso trattamento (per evitare tale aspetto, il Titolare dovrebbe essere in grado di evitare l’identificazione di altri soggetti nel video, ad esempio oscurandoli);
- Il Titolare non è in grado di identificare l’interessato (quest’ultimo dovrà specificare il periodo di riferimento);
- Richiesta eccessiva da parte dell’interessato o manifestamente infondata.
Nel momento in cui i dati personali trattati non sono più necessari al perseguimento delle finalità per cui sono raccolti e il Titolare persevera nel trattamento oltre al termine di conservazione indicato, l’interessato può chiedere la cancellazione dei propri dati personali ex art. 17 GDPR laddove venga revocato il consenso e non sia presente altra legittima base giuridica di trattamento e, in caso di legittimo interesse, l’interessato abbia esercitato il proprio diritto di opposizione al trattamento.
In caso di opposizione al trattamento da parte di un’interessato, il Titolare deve effettuare un bilanciamento degli interessi per verificare che i motivi addotti dalla persona fisica, legati alla propria situazione particolare, prevalgono sull’interesse del Titolare alla videosorveglianza ed in caso affermativo, interrompere il trattamento. Nel contesto della videosorveglianza, l’opposizione al trattamento potrebbe essere sollevata dall’interessato prima di entrare all’interno e dopo aver lasciato l’area sorvegliata. In pratica questo significa che il monitoraggio di un’area in cui le persone fisiche potrebbero essere identificate è lecito solo se il Titolare è in grado di interrompere immediatamente il trattamento a meno che non sussistano validi motivi legittimi oppure l’area sorvegliata sia ad accesso limitato e l’interessato non ha diritto di accedere.
