LE LINEE GUIDA DA RISPETTARE PER LA REALIZZAZIONE DI UN IMPIANTO DI VIDEOSORVEGLIANZA CONFORME AL GDPR
Il tema del trattamento e della tutela dei dati personali attraverso la videosorveglianza ha registrato un interesse crescente da parte degli addetti ai lavori (autorità e professionisti della privacy), in ragione della diffusione degli impianti deputati a raccogliere immagini.
Se si considera che in Italia sono installate circa un milione e quattrocentomila telecamere, ed in Inghilterra si arriva addirittura a quota 4 milioni, non è difficile comprendere la portata di tale fenomeno e l’inevitabile impatto in termini di trattamento dei dati.
Pertanto l’EBDP, European Data Protection Board, ha ritenuto opportuno intervenire mediante stesura di apposite linee guida, ovvero le Linee Guida n. 3/2019 sul “trattamento dei dati personali attraverso dispositivi video” in cui si affronta il tema dell’applicazione dei principi della privacy by design e by default ad un sistema di videosorveglianza.
Le Linee Guida rappresentano il primo documento europeo che applica i principi del GDPR al trattamento dei dati effettuati tramite riprese video.
Il 29 gennaio 2020 il Comitato Europeo per la Protezione dei Dati (European Data Protection Board – EDPB) ha adottato la versione definitiva delle citate linee guida, in cui è contenuta una descrizione tecnica e vengono forniti i riferimenti per progettare un impianto di videosorveglianza conforme al GDPR.
Il documento individua tre blocchi funzionali tipici dei sistemi di videosorveglianza, definendone i requisiti minimi di prestazione. Essi sono:
- L’ambiente video, finalizzato all’acquisizione dell’immagine, alla sua trasmissione, visualizzazione, analisi e memorizzazione;
- La funzione di gestione del sistema, riferito a tutte quelle attività di collegamento con l’operatore e con altri sistemi, che comprendono, ad esempio, i comandi dell’operatore o le procedure di allarme generate dal sistema.
- La funzione di sicurezza del sistema che sovrintende all’integrità dei dati e del sistema, segnala gli eventuali guasti e protegge il sistema di videosorveglianza dalle manomissioni volute e/o involontarie.
I criteri per progettare un sistema di Videosorveglianza conforme ai princìpi di privacy
1)Un sistema di videosorveglianza prima di essere messo in funzione deve essere progettato secondo quanto previsto dall’articolo 25 del Regolamento UE 679/2016, rubricato “Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita" , in maniera tale da implementare misure tecniche e organizzative adeguate di protezione dei dati.
2)Il titolare del trattamento dovrà proteggere adeguatamente tutti i componenti di un sistema di videosorveglianza e i dati in tutte le fasi di trattamento, vale a dire durante la conservazione (“data at rest”), la trasmissione (“data in transit”) e l’utilizzo (“data in use”).
3)In tema di misure organizzative, oltre alla eventuale necessità di una valutazione d’impatto sulla protezione dei dati (art.35 Reg. UE 679/2016), nell’elaborare le proprie politiche e procedure di videosorveglianza i titolari del trattamento dovranno definire:
- A chi compete la responsabilità della gestione e del funzionamento del sistema di videosorveglianza;
- La finalità e l’ambito di applicazione del progetto di videosorveglianza;
- Gli utilizzi consentiti e quelli vietati (ad esempio, stabilire se la captazione audio è ammessa o meno);
- Le informative brevi e complete da rendere agli interessati che si accingono ad entrare in un’area videosorvegliata;
- La durata delle registrazioni video;
- Le modalità di conservazione delle videoregistrazioni;
- La formazione per gli operatori addetti all’utilizzo del sistema di videosorveglianza;
- Le modalità di accesso alle registrazioni video, specificando in quali casi è ammessa;
- Le procedure in caso di data breach;
- Le procedure da seguire in caso di richieste di accesso alle immagini provenienti da terzi (definendo in quali casi accogliere le richieste e in quali rigettarle);
- Le procedure per la manutenzione del sistema di videosorveglianza (aggiornamento telecamere, software, ecc.);
4)Per quanto concerne la sicurezza tecnica, si fa riferimento alla sicurezza fisica di tutti i componenti del sistema, nonché all’integrità dello stesso, vale a dire alla protezione e resilienza in caso di interferenze volontarie e involontarie nel suo normale funzionamento e controllo degli accessi. Inoltre, devono essere garantite la riservatezza (i dati sono accessibili solo a coloro a cui è concesso l’accesso), l’integrità (prevenzione dalla perdita o dalla manipolazione dei dati) e la disponibilità (i dati possono essere consultati ogniqualvolta sia necessario).
Le misure da adottare sono:
- La protezione dell’intera infrastruttura del sistema TVCC (comprese telecamere remote, cablaggio e alimentazione) contro manomissioni fisiche e furti;
- La protezione dei canali di trasmissione;
- La cifratura dei dati;
- L’implementazione di firewall, antivirus o sistemi di rilevamento delle intrusioni contro gli attacchi informatici;
- Il rilevamento di guasti di componenti, software e interconnessioni;
- L’impiego di strumenti per ripristinare la disponibilità dei dati personali e l’accesso agli stessi in caso di problemi fisici o tecnici.
Infine, si rammenta, che una corretta implementazione delle misure organizzative e tecniche richiede l’adozione di un regolamento interno sull’utilizzo del sistema di videosorveglianza; un documento che consentirà al titolare del trattamento di dimostrare di aver predisposto misure tecniche e organizzative adeguate in ossequio al principio di responsabilizzazione (accountability).









