Videosorveglianza in azienda: cosa sapere

• L’installazione di sistemi di rilevazione delle immagini deve avvenire nel rispetto del principio di minimizzazione dei dati riguardo alla scelta delle modalità di ripresa e dislocazione e alla gestione delle varie fasi del trattamento; i dati trattati devono comunque essere pertinenti e non eccedenti rispetto alle finalità perseguite. E', pertanto, consigliabile ottenere dal produttore / installatore del sistema di videosorveglianza delle dichiarazioni / certificazioni in tal senso.

Inoltre, sul luogo del lavoro un sistema di video sorveglianza può essere installato solo esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, nel rispetto delle altre garanzie previste dalla normativa di settore (art. 4 della l. 300/1970). Gli impianti possono essere installati solo previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali (se presenti). Nel caso in cui non siano costituite né RSU né RSA, o in alternativa nel caso in cui le rappresentanze non concordino sull'installazione, l'autorizzazione potrà essere concessa dal competente Ispettorato Territoriale del Lavoro.

• Non è prevista alcuna autorizzazione da parte del Garante per installare un sistema di videosorveglianza. In base al principio di responsabilizzazione (art. 5, par. 2, del GDPR), spetta, tuttavia, al titolare del trattamento (la società) valutare la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche. Il titolare del trattamento deve, altresì, valutare se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento. La valutazione d’impatto preventiva è obbligatoria quando l'impianto di video sorveglianza prevede l'uso di nuove tecnologie che possono presentare un rischio elevato per le persone fisiche: ad esempio nel caso di sistemi integrati che collegano telecamere tra soggetti diversi  o che usano sistemi intelligenti. Negli altri casi la valutazione d'impatto preventiva non è obbligatoria, è, tuttavia, una questione di opportunità e di accountability. 
• Dovrà essere fornita l'informativa privacy a tutti coloro che possono essere oggetto di ripresa di un sistema di video sorveglianza. L’informativa può essere fornita utilizzando un modello semplificato (esempio) che deve contenere, tra le altre informazioni, le indicazioni sul titolare del trattamento e sulla finalità perseguita. Il cartello deve essere collocato prima di entrare nella zona sorvegliata. L’interessato deve poter capire quale zona sia coperta da una telecamera in modo da evitare la sorveglianza o adeguare il proprio comportamento, ove necessario. L’informativa deve rinviare a un testo completo contenente tutti gli elementi di cui all´art. 13 del GDPR, indicando come e dove trovarlo (ad es. sul sito Internet del titolare del trattamento o affisso in bacheche o locali dello stesso).

• I tempi di conservazione delle riprese, in via generale, tenendo conto dei principi di minimizzazione dei dati e limitazione della conservazione, sono di solito, come da indicazione del Garante, di 24 ore e di 72 ore durante la chiusura nei fine settimana o in periodi festivi ovvero per un periodo più lungo nel caso in cui il prolungamento si rende necessario per dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad un’attività investigativa in corso. 

Tempi di conservazione più lunghi possono essere previsti, ma in tal caso dovrà essere effettuata un'analisi argomentata sulla necessità del maggior tempo di conservazione.

• I soggetti che potranno visualizzare le immagini in real time e quelli che potranno accedere alle registrazioni conservate, dovranno essere autorizzati con appositi atti / lettere di nomina all’interno delle quali dovranno essere previste specifiche istruzioni di dettaglio circa gli obblighi e i divieti per tali soggetti. 

E' opportuno, pertanto, evitare che il posizionamento del monitor permetta che le immagini siano visibili da parte di soggetti non autorizzati come, ad esempio, soggetti di passaggio davanti alla reception/portineria. 

• Qualora la gestione del sistema di video sorveglianza  – o una parte di essa – venga esternalizzata (ad esempio, alla società di vigilanza che visualizza le immagini e/o ha accesso alle registrazioni; società installatrice che ha accesso al sistema per ragioni di manutenzione e assistenza), il titolare del trattamento (la società) dovrà procedere alla nomina della società che effettua le attività di trattamento per suo conto, quale responsabile del trattamento secondo l’art. 28 GDPR.
• Infine, poiché il trattamento dei dati relativo ad un sistema di videosorveglianza ha di solito come base giuridica l'interesse giuridico del titolare del trattamento (art. 6 lettera f) del GDPR), dovrà essere redatta, altresì, la valutazione sul legittimo interesse (il c.d. Legitimate Impact Assessment - LIA).

Conclusioni

In sintesi una società che vuole installare in Italia un sistema di videosorveglianza sul luogo del lavoro dovrà:

• raggiungere un Accordo sindacale o ottenere l'autorizzazione dell'I.T.L. competente;
• eventualmente redigere una valutazione di impatto;
• affiggere la cartellonista relativa all'informativa breve;
• predisporre un 'informativa privacy completa da pubblicare sul sito ovvero affiggere in azienda in un luogo visibile;
• redigere una valutazione sul legittimo interesse, 
• procedere alle nomine degli autorizzati;
• sottoscrivere un contratto di nomina di responsabile esterno de trattamento dei dati se l'attività di video sorveglianza viene esternalizzata.