Sono entrati in vigore dal 29 gennaio 2020 i nuovi cartelli legati alla gestione della privacy nei luoghi in cui si trovano telecamere di videosorveglianza. Lo stabilisce il Garante italiano della Privacy in ottemperanza alle norme europee del Gdpr.

Relativamente a quanto stabilito dal regolamento continentale stesso, di seguito pubblichiamo, tradotta in italiano, la parte relativa ai nuovi cartelli delle “Linee guida 3/2019 sul trattamento dei dati personali tramite dispositivi video”, versione 2.0 adottata il 29 gennaio 2020. Tutto il documento, in inglese, è disponibile su questo sito cliccando qui.

Per avere un valido aiuto in questi contesti, puoi contare anche sulla soluzione Datacom Videosorveglianza, che trovi a questo link: https://www.datacomtecnologiegdpr.it/.

Cosa dice il GDPR sui nuovi cartelli

È da tempo insito nella legislazione europea sulla protezione dei dati che gli interessati dovrebbero essere consapevoli di quando la videosorveglianza è in funzione. Dovrebbero essere informati in modo dettagliato in merito ai luoghi monitorati. Ai sensi del GDPR, gli obblighi generali di trasparenza e informazione sono stabiliti nell’articolo 12 GDPR e seguenti. Gli “Orientamenti sulla trasparenza ai sensi del regolamento 2016/679 (WP260) del Gruppo di lavoro” Articolo 29, approvati dall’EDPB il 25 maggio 2018, forniscono ulteriori dettagli. In linea con il par. WP260. 26, è l’articolo 13 del GDPR, che è applicabile se i dati personali vengono raccolti “[…] da una persona interessata mediante osservazione (ad esempio utilizzando dispositivi di acquisizione dati automatizzati o software di acquisizione dati come telecamere […].”.

Alla luce della quantità di informazioni da fornire necessariamente all’interessato, i responsabili del trattamento possono seguire un approccio a più livelli in cui scelgono di utilizzare una combinazione di metodi per garantire la trasparenza (WP260, par. 35; WP89, par 22). Per quanto riguarda la videosorveglianza, le informazioni più importanti dovrebbero essere visualizzate sul segnale di avvertimento stesso (primo livello) mentre gli ulteriori dettagli obbligatori possono essere forniti con altri mezzi (secondo livello).

Informazioni sul primo livello (segnale di avvertimento)

Il primo livello riguarda il modo principale in cui il responsabile del trattamento si impegna per la prima volta con il soggetto interessato. In questa fase, i controller possono utilizzare un segnale di avvertimento che mostra le informazioni pertinenti. Le informazioni visualizzate possono essere fornite in combinazione con un’icona al fine di fornire, in modo facilmente visibile, comprensibile e chiaramente leggibile, una panoramica significativa dell’elaborazione prevista (articolo 12, paragrafo 7, GDPR). Il formato delle informazioni dovrebbe essere adattato alla posizione individuale (WP89 par. 22).

Posizionamento del segnale di avvertimento

Le informazioni dovrebbero essere posizionate in modo tale che l’interessato possa facilmente riconoscere le circostanze della sorveglianza prima di entrare nell’area monitorata (approssimativamente a livello degli occhi). Non è necessario rivelare la posizione della telecamera fintanto che non vi sono dubbi su quali aree siano soggette a monitoraggio e il contesto di sorveglianza sia chiarito in modo inequivocabile (WP 89, paragrafo 22). L’interessato deve essere in grado di stimare quale area è acquisita da una telecamera in modo da poter evitare la sorveglianza o adattare il suo comportamento, se necessario.

Contenuto del primo livello

Le informazioni del primo livello (segnale di avvertimento) dovrebbero in genere trasmettere le informazioni più importanti, ad esempio i dettagli delle finalità del trattamento, l’identità del responsabile del trattamento e l’esistenza dei diritti dell’interessato, insieme alle informazioni sui maggiori impatti del trattamento. Ciò può includere ad esempio gli interessi legittimi perseguiti dal responsabile del trattamento (o da una terza parte) e i dettagli di contatto del responsabile della protezione dei dati (se applicabile). Deve anche fare riferimento al secondo strato più dettagliato di informazioni e dove e come trovarle.

Inoltre, il segno dovrebbe contenere anche tutte le informazioni che potrebbero sorprendere l’interessato (WP260, paragrafo 38). Ciò potrebbe ad esempio essere la trasmissione a terzi, in particolare se si trovano al di fuori dell’UE, e il periodo di conservazione. Se queste informazioni non sono indicate, l’interessato dovrebbe essere in grado di fidarsi che esiste solo un monitoraggio in tempo reale (senza alcuna registrazione o trasmissione di dati a terzi).

Informazioni sul secondo livello

Le informazioni del secondo livello devono anche essere rese disponibili in un luogo facilmente accessibile all’interessato, ad esempio come un foglio informativo completo disponibile in una posizione centrale (ad esempio banco informazioni, reception o cassiere) o visualizzato su un poster facilmente accessibile. Come accennato in precedenza, il segnale di avvertimento del primo livello deve fare riferimento chiaramente alle informazioni del secondo livello. Inoltre, è meglio se le informazioni del primo livello si riferiscono a una fonte digitale (ad esempio QR-code o indirizzo di un sito Web) del secondo livello. Tuttavia, le informazioni dovrebbero anche essere facilmente disponibili in modo non digitale. Dovrebbe essere possibile accedere alle informazioni del secondo livello senza entrare nell’area rilevata, specialmente se le informazioni sono fornite in modo digitale (ciò può essere ottenuto ad esempio tramite un collegamento). Altri mezzi appropriati potrebbero essere un numero di telefono che può essere chiamato. Tuttavia, le informazioni fornite devono contenere tutto ciò che è obbligatorio ai sensi dell’articolo 13 del GDPR.

Oltre a queste opzioni e anche per renderle più efficaci, l’EDPB promuove l’uso di mezzi tecnologici per fornire informazioni agli interessati. Ciò può includere ad esempio la geolocalizzazione delle telecamere e l’inclusione di informazioni in app o siti Web di mappatura, in modo che le persone possano facilmente identificare e specificare le fonti video relative all’esercizio dei propri diritti e, dall’altro, ottenere informazioni più dettagliate sull’operazione di elaborazione.

Esempio: un proprietario di un negozio sta monitorando il suo negozio. Per conformarsi all’articolo 13 è sufficiente posizionare un segnale di avvertimento in un punto facilmente visibile all’ingresso del suo negozio, che contiene le informazioni di primo livello. Inoltre, deve fornire un foglio informativo contenente le informazioni del secondo livello presso la cassa o qualsiasi altra posizione centrale e facilmente accessibile nel suo negozio.