Source: http://www.ateneoweb.com/approfondimenti-legali/videosorveglianza-e-privacy-aspetti-applicativi.html
Timestamp: 2016-12-08 09:47:16+00:00

Document:
Recentemente il Garante della Privacy ha adottato un provvedimento sulla Videosorveglianza che ha sostituito il provvedimento di pari oggetto del 2004.	Tale cambiamento ha fatto sorgere alcuni dubbi interpretativi, a cui di seguito ho fornito le mie risposte.
L'art. 4, comma 1, lettera d), del D. Lgs 196/2003 definisce i dati sensibili come i dati personali "idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale".
Il Garante, nel Provvedimento dell'08.04.2010, prevede che "l'utilizzo di immagini configura un trattamento di dati personali" e, nella sezione relativa ad ospedali e luoghi di cura, ricorda "la natura sensibile di molti dati che possono essere in tal modo raccolti" presso tali strutture.
Nella recente sentenza n° 1972/2010 con cui il Tribunale di Milano ha condannato i vertici di Google per la presenza su un loro sito di un video contenente vessazioni nei confronti di una persona diversamente abile, è riportato che "non vi è dubbio sul fatto che il video in questione contenga della 'pesanti' allusioni allo stato di salute del soggetto … non vi è nemmeno il dubbio che il video in questione sia, di per sé, un 'dato personale e sensibile'".
A mio parere, le immagini sono dati potenzialmente sensibili, infatti alcune di esse sono idonee a rivelare uno degli elementi di differenziazione che rende sensibile un dato personale; sono da considerarsi sensibili, ad esempio, l'immagine di una persona che indossa un determinato copricapo da cui sia desumibile l'orientamento religioso o politico, od anche la ripresa dell'acquisto di un contraccettivo da cui desumere la vita sessuale dell'acquirente.
Pertanto, considerando che i normali impianti di videosorveglianza non possono essere impostati per cancellare - in fase di rilevazione - quei tratti distintivi che sensibilizzano le immagini, se ne deduce che, anche se non tutte le riprese si configurano quali dati sensibili, comunque per la videosorveglianza sarà necessario porre in essere tutte le misure minime di sicurezza previste dal D. Lgs. 196/2003 per il trattamento elettronico di dati sensibili, in quando le videoriprese sono dati "idonei a rivelare" elementi discriminanti.
Al riguardo, colgo l'occasione per riportare sinteticamente gli estremi di un dibattito interpretativo circa il dubbio se il DPS debba essere adottato da qualunque titolare che tratti dati personali oppure se deve essere redatto dai soli titolari che trattano dati sensibili o giudiziari.
A mio avviso, rifacendosi strettamente al dettato normativo, è più corretta l'interpretazione restrittiva secondo cui il DPS va redatto solo nel caso di trattamento con strumenti elettronici di dati sensibili o giudiziari.
A supporto della teoria restrittiva da me sposata, si osserva che la previsione dell'art. 34, comma 1, del D. Lgs. 196/2003, prevedendo la "tenuta di un aggiornato documento programmatico sulla sicurezza" in base ai "modi previsti dal disciplinare tecnico contenuto nell'allegato B)", rimanda fattivamente alle specifiche contenute nell'allegato B, il cui punto 19 prevede che "entro il 31 marzo di ogni anno, il titolare di un trattamento di dati sensibili o di dati giudiziari redige anche attraverso il responsabile, se designato, un documento programmatico sulla sicurezza contenente idonee informazioni riguardo".
Inoltre, nella Guida pratica e misure di semplificazione per le piccole e medie imprese del 24 maggio 2007, il Garante ha precisato che "in base alla vigente disciplina, in caso di trattamento di dati sensibili e giudiziari attraverso sistemi informatici deve essere redatto il documento programmatico sulla sicurezza". Invece, secondo i sostenitori dell'interpretazione estensiva, la specifica di cui al punto 19 dell'allegato B) significherebbe invece che il DPS deve essere comunque redatto e che tale documento, in caso di trattamento di dati sensibili, deve essere redatto od aggiornato al massimo entro il 31 marzo di ogni anno.
L'Amministratore di Sistema (di seguito AdS), in base alla prima FAQ sull'AdS, pubblicata dal Garante, è una "figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi".
Il Titolare del trattamento deve riportare gli estremi identificativi e le funzioni degli AdS in un "documento interno", quale ad esempio il DPS.
L'individuazione dell'AdS è necessaria non solo se vengono trattati sensibili o giudiziari, ma anche in caso di trattamento di dati personali comuni, sempre che il Titolare non rientri nelle categorie per cui non è necessaria l'individuazione dell'AdS, così come precisato dalle FAQ sull'AdS.
Riguardo la videosorveglianza, a mio parere, il Titolare del trattamento dovrà individuare l'AdS principalmente nei seguenti due casi:
qualora il manutentore possa accedere sempre alle immagini, in remoto od presso la sede del Titolare, senza che l'accesso venga preventivamente autorizzato dal Titolare (comunque il manutentore dovrà essere nominato quale Responsabile o Incaricato del trattamento); infatti in tal caso non si può parlare di "soggetti che solo occasionalmente intervengono (p.es., per scopi di manutenzione a seguito di guasti o malfunzioni) sui sistemi di elaborazione e sui sistemi software", ma di persone che potenzialmente possono accedere liberamente alla base dati.
Nel provvedimento del Garante sulla Videosorveglianza del 2004 veniva riportato che "anche l'installazione meramente dimostrativa o artefatta di telecamere non funzionanti o per finzione, anche se non comporta trattamento di dati personali, può determinare forme di condizionamento nei movimenti e nei comportamenti delle persone in luoghi pubblici e privati e pertanto può essere legittimamente oggetto di contestazione".
In seguito a tale frase, solitamente si dava l'indicazione ai detentori di impianti non funzionanti o di rimuovere gli impianti ovvero di esporre un informativa sulla videosorveglianza.
Il provvedimento del Garante sulla Videosorveglianza del 2010 non riporta più l'avvertimento contenuto nella frase sopra citata; conseguentemente ci si è chiesti se era ancora valida l'indicazione di affiggere l'informativa anche in presenza di telecamere non funzionanti.
A mio parere, in presenza di un impianto di videosorveglianza non funzionante, l'esposizione di un'informativa ex art. 13 del D. Lgs. 196/2003 è opportuna, ma non necessaria, in quanto non vengono trattati dati personali.
Bisogna però ricordare che l'installazione di telecamere non funzionanti invece configura certamente la violazione dell'art. 4 dello Statuto dei Lavoratori, salvo che non sia intervenuto il richiesto accordo con la RSA o che l'installazione sia stata preventivamente autorizzata dall'Ispettorato del Lavoro, così come a suo tempo chiarito dalla sentenza 1490/86 con cui la Sezione lavoro della Corte di Cassazione stabiliva che "il divieto di controllo a distanza posto al datore di lavoro dall'art. 4 dello statuto dei lavoratori è assoluto e pertanto non può ritenersi escluso né dalla circostanza che le eventuali apparecchiature all'uopo installate non siano ancora funzionanti, né che i lavoratori ne siano stati preavvertiti, né infine dal fatto che tale controllo sia destinato ad essere discontinuo potendo unicamente derivare dal mancato esercizio di fatto del controllo, l'esonero del datore di lavoro dalle sanzioni penali previste dall'art. 38 dello statuto". Si segnala che il principio espresso in tale sentenza è stato ripreso anche nella sentenza n° 9211 emessa nel 1997 dalla stessa Sezione della suprema Corte.
Il Codice della Privacy non prevede una sanzione nel caso di esposizione di un'informativa per un trattamento effettivamente non svolto.
L'art. 161 del D. Lgs. 196/2003 sanziona la mancanza o l'inidoneità dell'informativa, ossia l'informativa che non rispetta il contenuto dell'art. 13 del D. Lgs. 196/2003, ma non sanziona l'aver fornito un'informativa di un trattamento assente.
A mio parere l'esposizione di una informativa in assenza di trattamento non è di per sé sanzionabile, tuttavia, volendo ragionare in maniera paradossale, mi chiedo quale decisione potrebbe assumere l'Autorità Giudicante nei confronti del soggetto identificabile che ha esposto l'informativa, nel caso in cui ad esempio un passante, volendo sottrarsi alla riprese di una fantomatica telecamera, spostandosi venisse investito da un automezzo!
Relazione di conformità rilasciata dall'installatore
Nel provvedimento sulla Videosorveglianza del 2010 non è stato ripreso il contenuto del secondo capoverso del punto 3.3.2 del provvedimento sulla Videosorveglianza del 2004, dove era previsto che "il titolare del trattamento che si avvale di un soggetto esterno deve ricevere dall'installatore una descrizione scritta dell'intervento effettuato che ne attesti la conformità alle regole in materia (artt. 33-36 e 169, nonché Allegato B) del Codice, in particolare punto 25".
Infatti l'onere di ricevere la relazione di conformità è comunque previsto dal punto 25 dell'Allegato B) del Codice della Privacy e rimane in vigore anche se tale onere non viene ricordato nel provvedimento sulla sorveglianza del 2010.
Pertanto il Titolare del trattamento dovrà farsi rilasciare dall'installatore la dichiarazione di conformità dell'impianto.
Il punto 3.5 del provvedimento sulla Videosorveglianza del 2004 prevedeva che "le ragioni delle scelte, cui si è fatto richiamo, devono essere adeguatamente documentate in un atto autonomo conservato presso il titolare e il responsabile del trattamento e ciò anche ai fini dell'eventuale esibizione in occasione di visite ispettive, oppure dell'esercizio dei diritti dell'interessato o di contenzioso".
Alla luce di tale previsione si era soliti suggerire la redazione di un documento riportante le motivazioni, le finalità e le caratteristiche dell'impianto di videosorveglianza.
Il provvedimento del Garante del 2010 non prevede più l'emissione di un atto documentativo delle scelte.
A parere di chi scrive è comunque consigliabile documentare in maniera chiara e comprensibile le motivazioni, le finalità e le caratteristiche dell'impianto di videosorveglianza che non dovranno necessariamente essere riportate in un documento autonomo. Il Titolare potrebbe riportare tali informazioni nel DPS ovvero potrebbe comunque emettere un documento autonomo od infine aggiornare, se necessario, il documento redatto quando era stato installato l'impianto.	Fonte: Diritto & Diritti
- Napoli, 17 ore fa	Altri utenti hanno acquistato
- Napoli, 17 ore fa	Altri approfondimenti
Le Novità del Decreto Fiscale approvato alla Camera	Esecuzioni immobiliari: i rapporti riepilogativi del delegato alla vendita	Rette RSA nell'infermità psichica. Cassazione: la quota sociale va esclusa quando prevale la componente sanitaria	Se il reato edilizio è prescritto, per Cassazione né confisca, né demolizione	Antiriciclaggio e terrorismo: adempimenti del professionista	Fisco: Equitalia, parte il servizio "SMS - SE MI SCORDO"	Datore installa telecamere ma le tiene spente: per Cassazione è reato	La vendita di beni mobili registrati con riserva di proprietà	Il custode nelle procedure esecutive immobiliari. La Cassazione su natura e funzioni e sull'impugnazione del compenso	Regolamento di condominio e inquilino molesto. Si può risolvere la locazione	La clausola "floor" nei contratti di finanziamento. Applicabilità nelle pronunce dell'ABF ed eventuale nullità	Credito d'imposta recuperato tramite 36-bis: nullità della cartella di pagamento	Nel contenzioso tributario é ancora indispensabile depositare la nota spese?	La tua banca ha cambiato il modo con il quale calcola gli interessi: quello che c'è da sapere in sintesi	Rette Rsa e nuovo Isee. Tar Lombardia: l'Isee riformato ha efficacia retroattiva	Multe codice strada con lo 'sconto' del 30%, guida per non sbagliare	Cassazione civile 12965 del 22/06/2016: la Suprema Corte recepisce la circolare della Banca d'Italia del 2/12/2005, in relazione alla rilevazione della CMS della commisurazione del tasso usurario nel periodo ante 2010	Il punto sul raddoppio dei termini per l'accertamento alla luce dell'entrata in vigore della Legge di stabilità	PEC irregolari: le conseguenze della mancata regolarizzazione	Ipoteca vince, fondo patrimoniale perde - Cass. Civ. n. 10794 del 25.5.2016	La clausola penale paga l'imposta di registro	Separazione: Facebook e sms in violazione della privacy?	Videosorveglianza: l'informativa va resa all'esterno del locale	PEC irregolari. Iniziati i controlli; le conseguenze della mancata regolarizzazione	Lavoratore assente per malattia svolge prestazione per altri: per Cassazione non è vietato purché...	Locazioni e fondo per la copertura della 'morosità incolpevole': stanziamenti per il 2016	Vacanze rovinate. Cosa fare	Simulazione della malattia e licenziamento: per Cassazione il datore di lavoro può incaricare un'agenzia per accertarne la sussistenza	Affitto non registrato, scatta la nullità	Per ribaltare la sentenza di assoluzione di primo grado il giudice di appello deve risentire il testimone	Ergastolo ostativo: il vero 'fine pena mai'	Assegno di mantenimento, come si determina? Le Linee Guida	Infortunio sul lavoro: ma è sempre colpa dell'Imprenditore?	Due coamministratori di sostegno, perché no? - Trib. Genova, 17.12.2015	Disciplina dei contributi universitari: la proposta in discussione alla Camera	Avvisi di accertamento TARSU/TIA: la Cassazione fissa il termine iniziale per la decadenza	Pacchetti viaggio e fondo di garanzia per i casi di fallimento del tour operator, novita'	Viaggi tutto compreso. Vademecum dell'Aduc	Successione in banca e privacy: alcuni accorgimenti	La separazione dal coniuge non scalfisce la solidarietà	Prelievi e versamenti inverosimili: il perché lo spieghi il contribuente	I costi dell'acquisto della prima casa dal Tribunale	Le nuove scadenze di UNICO 2016 dopo la proroga	Permesso di soggiorno extra UE: nuove unioni civili e convivenze di fatto. Cosa cambia?	Locazione abitativa con contratto occulto e "canone in nero": per Cassazione è valido il contratto registrato ed il canone "apparente"	Cartelle di pagamento via PEC: è possibile eccepire la nullità della notifica?	Sicurezza dei lavoratori in cantiere: per Cassazione la fine delle opere edili non fa venir meno la responsabilità del coordinatore e del committente	Procedura contro il sovraindebitamento solo se il debito è privato	Beneficio "prima casa" e mancato trasferimento della residenza: per Cassazione escludono la responsabilità la forza maggiore o il caso fortuito	Riforma della prescrizione: i processi si allungheranno?	tutti gli approfondimenti

References: sentenza 
 art. 13
 sentenza 
 sentenza 
 sentenza 
 Cass. 
 sentenza