Videosorveglianza negli enti locali: gli adempimenti da rispettare

La videosorveglianza è un tema complesso che interessa sia l’ambito pubblico che quello privato; il luogo in cui vengono installati i vari dispositivi (che siano telecamere intelligenti o termiche) è uno spazio in cui si esercitano numerose libertà individuali.

In questo articolo ci concentreremo principalmente sugli impianti di videosorveglianza nei Comuni i quali devono rispettare delle regole precise secondo quanto stabilito dal decreto legge del 23 febbraio 2009, n. 11 e dal Regolamento (UE) 2016/679.

Cosa stabilisce la normativa

L’uso di impianti di videosorveglianza è una prerogativa riservata ai comuni; è infatti previsto dal decreto in materia di sicurezza pubblica che gli enti possono installare impianti per la tutela della sicurezza urbana in luoghi pubblici o aperti al pubblico, riprendendo quindi le strade e le piazze.

Il GDPR ha stabilito inoltre delle limitazioni per tutte le Pubbliche Amministrazioni che installano impianti di videosorveglianza, a favore degli interessati dal trattamento. In particolare, tali limitazioni riguardano i tempi di conservazione, le finalità del trattamento ed i requisiti tecnici dell’impianto. Gli enti sono tenuti ad assumersi tutte le responsabilità connesse all’installazione di tali impianti.

Allo stesso tempo sono tenuti ad accettare che tale attività è giuridicamente rischiosa e sono obbligati ad attuare tutte le misure tecniche ed organizzative necessarie, in rispetto al principio di accountability e di privacy by design.

Gli impianti di videosorveglianza pubblica sono impiegati per finalità di sicurezza (contrasto e prevenzione alla criminalità) per tale motivo i titolari del trattamento (nello specifico i comuni) possono stipulare appositi patti per la sicurezza e mettere a disposizione di Polizia di Stato e Carabinieri gli impianti di telecontrollo.

Quest’ultima eventualità si applica grazie alla Direttiva UE 680/2016, disposizione legislativa che pone diverse deroghe ad alcuni principi fondamentali del GDPR a favore dei soggetti che svolgono indagini in ambito di sicurezza urbana.

Risulta necessario che le pubbliche amministrazioni adottino un regolamento comunale di applicazione specifica per questo decreto legislativo, per evitare di non utilizzare le immagini delle telecamere di sicurezza perché non installate a norma o perché in contrasto con quanto stabilito dal GDPR.

Gli adempimenti da rispettare

Il titolare del trattamento prima di procedere con l’installazione di un impianto di videosorveglianza (compreso di fotocamera foto trappole o alto strumento) è tenuto alla redazione di una valutazione di impatto (DPIA Data Protection Impact Assessment nell’originale inglese).

La valutazione d’impatto è una procedura prevista dall’articolo 35 del Regolamento UE/2016/679 (RGPD) che mira a descrivere un trattamento di dati per valutarne la necessità e la proporzionalità nonché i relativi rischi, allo scopo di approntare misure idonee ad affrontarli. Una DPIA può riguardare un singolo trattamento oppure più trattamenti che presentano analogie in termini di natura, ambito, contesto, finalità e rischi.

La valutazione d’impatto è necessaria e obbligatoria nel caso in cui, il trattamento preso in esame, possa rappresentare un rischio elevato per i diritti e le libertà delle persone fisiche.

Esistono dei criteri specifici che individuano i trattamenti “a rischio” che necessitano la redazione della DPIA:

• trattamenti valutativi o di scoring, compresa la profilazione;
• decisioni automatizzate che producono effetti giuridici (assunzioni, stipula di assicurazioni ecc.);
•  monitoraggio sistematico (videosorveglianza);
• trattamento di dati sensibili, giudiziari o di natura strettamente personale (informazioni sulle preferenze politiche);
• trattamenti di dati personali su larga scala;
• dati relativi a soggetti vulnerabili (minori, anziani, richiedenti asilo, soggetti con patologie psichiatriche ecc.);
• raffronto o combinazione di dati derivanti da uno o più trattamenti svolti per diverse finalità e/o titolari distinti, secondo modalità diverse dal consenso iniziale;
• applicazione di nuove soluzioni tecnologiche e innovative (utilizzo del riconoscimento facciale);
• tutti i trattamenti che potrebbero impedire all’interessato di esercitare un diritto o avvalersi di un servizio di un contratto (screening dei clienti in una banca attraverso i dati registrati in centrale).

È importante redigere una corretta valutazione d’impatto al fine di assicurare la trasparenza del trattamento, altrimenti ogni impianto di videosorveglianza è potenzialmente a rischio sanzione.

Successivamente è opportuno stilare un regolamento relativo alle telecamere, aggiornando il registro dei trattamenti del Comune, indicando la retention policy, ovvero per quanto tempo le immagini verranno conservate e per quali finalità vengono raccolte.

Bisogna indicare i soggetti autorizzati nel prendere visione delle immagini, i quali devono essere formalmente designati ed appositamente formati a carico del Titolare.

L’ultimo passo è la stesura di apposite informative riguardanti il trattamento di videosorveglianza che devono contenere i requisiti previsti dall’art. 13 del Regolamento.

Essa può essere anche breve ma dovrà comunque contenere come minimo i dati del Titolare del trattamento, le finalità del trattamento, i tempi di conservazione e le modalità di esercizio dei diritti degli interessati, ed un rimando ad una informativa completa, che potrà essere contenuta, ad esempio, sul sito del Comune.

I diritti dell’interessato nella videosorveglianza

Un altro aspetto da tenere particolarmente in considerazione nell’ambito della videosorveglianza è certamente l’osservanza dei diritti dell’interessato, regolamentati dal GDPR dall’art. 12 all’art. 23.

Essi si distinguono in:

• diritto di accesso;
• diritto di rettifica;
• diritto alla cancellazione (anche detto diritto all’oblio);
• diritto di limitazione del trattamento;
• diritto alla portabilità dei dati;
• diritto di opposizione al trattamento.

Alla luce di una recente sanzione da parte del Tar della Puglia ci soffermeremo in particolare sul diritto all’accesso, regolamentato dall’art. 15, che stabilisce quanto segue:

“L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:

• le finalità del trattamento;
• le categorie di dati personali in questione;
• i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
• quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
• l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;
• il diritto di proporre reclamo a un’autorità di controllo;
• qualora i dati non siano raccolti presso l’interessato, tutte le informazioni disponibili sulla loro origine;
• l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.

Qualora i dati personali siano trasferiti a un paese terzo o a un’organizzazione internazionale, l’interessato ha il diritto di essere informato dell’esistenza di garanzie adeguate ai sensi dell’articolo 46 relative al trasferimento.”

La sanzione

La sanzione sopracitata si riferisce alla pronuncia, da parte del Tar della Puglia, sul caso di un automobilista che, coinvolto in un incidente stradale, ha richiesto i filmati della videosorveglianza comunale ai sensi della Legge 241/90, la quale riguarda l’accesso ai documenti amministrativi.

La Legge 241/90 consente dunque di richiedere dati e documenti detenuti dalla Pubblica Amministrazione riguardanti attività di pubblico interesse purché il soggetto richiedente abbia un interesse concreto negli stessi.

I giudici amministrativi hanno quindi ritenuto opportuna la richiesta avanzata dall’automobilista, poiché è solo con la visione delle immagini che è possibile accertare la responsabilità dei soggetti coinvolti nel sinistro.

Le eccezioni del Comune e il conseguente rifiuto alla richiesta di accesso sono state giustificate dal rifiuto avanzato dall’altro soggetto coinvolto nel sinistro e dal divieto di trasmissione dei filmati contenuto nel Regolamento comunale relativo al trattamento dei dati personali tramite impianti di videosorveglianza.

Tali eccezioni sono state però ritenute non fondate, in virtù del fatto che la legge che regola il diritto all’accesso è una legge dello Stato che prevale sul Regolamento comunale.

È stato inoltre specificato che, il rapporto redatto dalla Polizia Locale sull’incidente, non può essere considerato del tutto attendibile poiché potrebbe non essere del tutto corrispondente alla realtà dei fatti.

Le immagini della videosorveglianza escludono invece, qualsiasi valutazione o errore umano, essendo fondate su dati e fatti oggettivi.

Il ricorso è stato dunque accolto e il Comune è stato condannato alle spese sostenute dal ricorrente oltre che al rimborso contributo unificato, spese e IVA come per legge.

Inoltre, essendo titolare del trattamento, il Comune ha dovuto consegnare all’interessato i filmati che lo riguardavano, avendo cura di oscurare dati personali di eventuali terzi estranei al sinistro.

Tale sentenza è stata innovativa poiché ha sottolineato quanto sia importante proteggere i diritti degli eventuali terzi, rispettando il Regolamento UE e il provvedimento del Garante in tema di videosorveglianza 08/04/2021, oltre che le Linee Guida EDPB n.3/2019.