Di seguito, un estratto di un provvedimento del Garante della Privacy, nei confronti di un bar di Verona (abbiamo tolto nome e indirizzo, anche se l’atto è pubblicamente consultabile sul sito del Garante):
“RILEVATO che la 4^ Sezione della Divisione di Polizia Amministrativa e Sociale della Questura di Verona, nell’ambito di un servizio di controllo delle attività produttive del Comune di Verona, effettuava un accertamento amministrativo presso l’esercizio pubblico denominato “OMISSIS” (di seguito denominata “l’impresa”) sita in Verona, “OMISSIS” formalizzato nel verbale del giorno 10 maggio 2018, concernente la liceità dei trattamenti di dati personali effettuati dall’impresa a mezzo dell’impianto di videosorveglianza istallato in tale esercizio commerciale;
INGIUNGE
alla medesima impresa individuale di pagare la somma di euro 12.000,00 (dodicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.”
La causa della sanzione è stata il periodo di ritenzione delle immagini, normalmente, a quel tempo previsto per 24 o 48 ore, in caso di chiusura e/o festività. Nel caso specifico, la Polizia Amministrativa ha rilevato un periodo di conservazione delle immagini di 15 giorni, assolutamente immotivato e non giustificato da alcuna deroga richiesta all’ufficio del Garante. Oggi è diverso: il titolare del trattamento può decidere il periodo di conservazione delle immagini, ma deve poter giustificare la scelta, in particolare, se il periodo supera la settimana.
Potremmo aggiungere che il povero esercente ha avuto la “fortuna” di essere stato sanzionato su una verifica avvenuta poco prima della piena efficacia del gdpr. Se il verbale fosse stato notificato un paio di settimane dopo, probabilmente la sanzione sarebbe stata ancora più pesante.
Stiamo parlando di un bar, intestato ad una ditta individuale e ciò fa riflettere sulla pesantezza della sanzione irrogata.
Ricordiamo che l’installazione di un impianto di videosorveglianza, richiede i seguenti adempimenti:
- autorizzazione richiesta presso l’Ufficio Territoriale del Lavoro o Rsu interna all’azienda, in caso di presenza di dipendenti (a prescindere dagli orari di funzionamento dell’impianto);
- informativa completa (da far visionare se richiesta) e informative sintetiche, posizionate prima del raggio d’azione delle telecamere;
- valutazione d’impatto (dpia), prevista dall’art. 35 del gdpr (Reg Eu 679/2016), in caso di riprese massive o elaborazioni biometriche, o analisi dei rischi;
- aggiornamento del registro dei trattamenti (art. 30 del gdpr);
- attuazione di tutte le misure idonee, affinché vengano ridotti al minimo i rischi di utilizzo improprio e/o illecito delle immagini raccolte (art. 24-32 del gdpr);
- nomina di autorizzazione di una persona (o più persone) addette alla gestione dell’impianto con password personale;
- nomina di responsabilità esterna in caso di gestione dell’impianto effettuata da istituto di vigilanza (art.28).
Quanti imprenditori che hanno installato un sistema di TVCC hanno espletato tutti questi adempimenti?
Ricordiamo infine che le finalità, per l’installazione di un impianto TVCC, possono essere: la tutela del patrimonio; la sicurezza del lavoro e l’organizzazione dell’attività aziendale. E’ vietato l’uso di telecamere per il controllo del lavoro dei collaboratori e la possibilità di visualizzare le immagini da remoto, ad esempio, tramite una app sullo smartphone, deve essere motivata e giustificata.
Daniele Umberto Spano
