Da alcuni giorni sono state rese disponibili le nuove linee guida che si prefiggono lo scopo di fornire gli strumenti utili per evitare che la legittima acquisizione di video registrazioni configuri un trattamento illecito o non conforme al GDPR.
L’European Data Protection Board (EDPB) con le linee guida 3/2019 pubblicate il 12 luglio 2019 ha infatti definito quelli che sono i cardini dei sistemi di videosorveglianza nel rispetto del GDPR al quale tutte le aziende/ organizzazioni dovranno adottare.
Per identificare le finalità del trattamento l’EDPB fa riferimento all’Articolo 5 del GDPR.
Le finalità possono cambiare a seconda che il titolare sia pubblico o privato, che la video sorveglianza abbia la finalità di migliorare la sicurezza, per fornire strumenti di pubblicità mirata.
Alcuni algoritmi secondo il Board non sono propriamente affidabili e i soggetti preposti alla raccolta di tali informazioni devono assicurare l’affidabilità dei sistemi di video sorveglianza per evitare che tali tecnologie pongano in essere scelte giuridiche ben determinate (come l’identificazione facciale o il riconoscimento).
Nella parte iniziale del documento si fa accenno anche all’incremento dei rischi del “secondary use” dei dati, generati da sistemi sempre più innovativi dal punto di vista tecnologico e a quelli correlati a un loro eventuale malfunzionamento.
E’ stata fatta quindi anche una distinzione in tema di trattamento dei dati, a seconda del carattere più o meno intrusivo delle tecniche di videosorveglianza, quindi tra tecnologie biometriche complesse e semplici algoritmi di conteggio delle persone in un locale.
Le finalità della video sorveglianza possono essere diverse:
– la protezione della proprietà e di altri beni;
– la raccolta di prove per il diritto di difesa nei processi civili. P
er questa ragione, le finalità devono
– essere documentate per iscritto (articolo 5, paragrafo 2, GDPR);
– essere specifiche per ogni sistema di video sorveglianza in uso (cioè raggruppate per scopi comuni); – devono fornire informazioni agli interessati in modo da far comprendere le finalità e gli scopi del trattamento conformemente all’articolo 13 del GDPR.
Secondo l’EDPB la semplice finalità per fini di “sicurezza” non è sufficientemente specificata poiché non si aggancia alle diverse base giuridiche di cui all’art. 6.
La base giudica imposta dall’art 6:
• Articolo 6, paragrafo 1, lettera a), GDPR (consenso).
• Articolo 6, paragrafo 1, lettera f), GDPR (legittimo interesse).
• Articolo 6, paragrafo 1, lettera e), GDPR (necessità di svolgere un compito svolto nell’interesse pubblico o nell’esercizio di autorità ufficiale)
Il consenso Articolo 6, paragrafo 1, lettera a):
Il consenso deve essere
a) libero;
b) specifico;
c) informato;
d) attuale;
e) revocabile.
Tali presupposti si applicano anche alla videosorveglianza, con la precisazione che il consenso può costituire valida base giuridica solo in casi eccezionali in riferimento all’Articolo 7 GDPR (cfr. considerando 43).
Quanto invece al legittimo interesseArticolo 6, paragrafo 1, lettera f)
La videosorveglianza è lecita se è necessaria a soddisfare la finalità per legittimo interesse perseguito da un titolare del trattamento o da terzi, a meno che tali interessi non mettano a rischio i diritti e libertà fondamentali dell’interessato (articolo 6, paragrafo 1, lettera f), GDPR).
Per legittimo interesse si intende quindi un interesse: a) legale; b) economico; c) immateriale e Il legittimo interesse deve essere pertanto:
– reale (cioè non deve essere immaginario o speculativo);
– attuale (cioè non potenziale ma concreto)
E’ importante sottolineare come i trattamenti dei dati personali (anche da video registrazione) da parte delle autorità competenti ai fini della prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, non è disciplinato dal GDPR ma dalla Direttiva EU 2016/680.
Il testo pubblicato dall’ EDPB riporta inoltre alcuni esempi in cui il GDPR non è applicabile
a) telecamere false (cioè quelle che non registrano video o immagini) poiché non vengono elaborati dati personali;
b) video registrazioni ad alta quota (perché le immagini non possono essere agganciate ad un soggetto preciso);
c) videocamera a bassa risoluzione, non in grado di raccogliere alcuna informazione relativa ad una specifica persona fisica (come targhe o informazioni che potrebbero identificare i passanti).
Fonte:Key4biz
