GDPR e videosorveglianza le sanzioni previste – Informativa (seconda parte)

L’azienda che tratta dati personali mediante videosorveglianza è titolare del trattamento dei dati. Pertanto deve dichiarare le finalità e le modalità del trattamento.

Come preannunciato, nella prima parte dell’email che ho inviato il 19 febbraio us, all’informativa minima (il cartello “Area videosorvegliata”) deve seguirel’informativa “completa” resa ai sensi dell’art. 13 del GDPR.

Cosa deve contenere un’informativa in materia di videosorveglianza?

• L’identità ed i dati di contatto del titolare del trattamento che devono essere sempre aggiornati e corrispondere al vero.
• I dati di contatto del Responsabile della Protezione dei Dati (DPO), se presente.
• Le finalità del trattamento. Queste possono essere:
  • protezione e incolumità degli individui, ivi ricompresi i profili attinenti alla sicurezza urbana, all’ordine e sicurezza pubblica, alla prevenzione, accertamento o repressione dei reati svolti dai soggetti pubblici, alla razionalizzazione e miglioramento dei servizi al pubblico volti anche ad accrescere la sicurezza degli utenti, nel quadro delle competenze ad essi attribuite dalla legge;
  •  protezione della proprietà;
  • rilevazione, prevenzione e controllo delle infrazioni svolti dai soggetti pubblici, nel quadro delle competenze ad essi attribuite dalla legge;
  • acquisizione di prove.

• La base giuridica del trattamento. La base giuridica che legittima il trattamento mediante videosorveglianza è l’interesse legittimo (art. 6, comma 1, lettera f del GDPR), Il provvedimento del 2010 al punto 6.2.2. – richiamato da un (più) recente provvedimento del Garante del 22 Febbraio 2018 – afferma che“la rilevazione delle immagini può avvenire senza consenso, qualora, con le modalità stabilite in questo stesso provvedimento, sia effettuata nell´intento di perseguire un legittimo interesse del titolare o di un terzo attraverso la raccolta di mezzi di prova o perseguendo fini di tutela di persone e beni rispetto a possibili aggressioni, furti, rapine, danneggiamenti, atti di vandalismo, o finalitàdi prevenzione di incendi o di sicurezza del lavoro”.
• I destinatari del trattamento. Si può far riferimento a soggetti interni autorizzati al trattamento dei dati (ad esempio, dipendente dell’istituto di vigilanza deputato al controllo dei dati su NVR/DVR), ovvero a soggetti esterni che effettuano trattamenti per conto del titolare (responsabile del trattamento) come un Istituto di vigilanza che fa controllo dei dati su DVR. Destinatari del trattamento potrebbero essere anche le forze dell’ordine in caso di sistema di videosorveglianza collegato (punto 3.1.3 del provvedimento del 2010).
• Il periodo di conservazione dei dati o i criteri utilizzati per determinarne il periodo. Diciamo subito che la conservazione deve essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria. Solo in alcuni casi, per la particolare rischiosità dell´attività svolta dal titolare del trattamento può ritenersi ammesso un tempo più ampio di conservazione dei dati comunque non superiore ad una settimana.

       Attenzione al rispetto del principio di minimizzazione dei dati quando si inserisce il periodo di conservazione.

• I diritti dell’interessato sui suoi dati personali. Questa è una parte fondamentale dell’informativa privacy.
  Importante: il titolare del trattamento deve ottemperare alle richieste senza ingiustificato ritardo. Inoltre si risponde, ove possibile, alle richieste dell’interessato nella stessa forma: a richieste cartacee si risponde in maniera cartacea, a richieste elettroniche si risponde in maniera elettronica.
  I diritti contemplati son quelli previsti dagli artt. 15 (Accesso), 16 (Rettifica), 17 (Cancellazione), 18 (Limitazione), 21 (Opposizione), 51 (Proporre Reclamo all’Autorità).

Infine, l’informativa completa deve specificare se:

• la comunicazione di dati personali (ai destinatari) è un obbligo di legge o contrattuale, se l’interessato ha l’obbligo di fornire tali dati e le possibili conseguenze nel caso in cui lo stesso non volesse procedere con la comunicazione.
• è in atto un processo decisionale automatizzato (art. 22 GDPR), con la logica utilizzata, l’importanza e le conseguenze di tale trattamento.

News