Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2803442
Timestamp: 2020-07-08 06:03:38+00:00
Document Index: 107305863

Matched Legal Cases: ['art. 4', 'art. 1', 'art. 4', 'art. 11', 'art. 114', 'art. 4', 'art. 11', 'art. 17']

Allungamento dei tempi di conservazione delle immagini raccolte dai sistemi... - Garante Privacy
Conservazione di dati , Anagrafe tributaria , Sogei , Videosorveglianza aziende
[doc. web n. 2803442]
Allungamento dei tempi di conservazione delle immagini raccolte dai sistemi di videosorveglianza. Verifica preliminare richiesta da Società Generale d´Informatica S.p.A. (Sogei) - 28 novembre 2013
n. 532 del 28 novembre 2013
Vista la nota della Società Generale d´Informatica S.p.A. (Sogei) del 19 settembre 2013 (Prot. n. 10203/2013);
La Società Generale d´Informatica S.p.A. (Sogei) -società a totale partecipazione pubblica, le cui azioni appartengono al Ministero dell´Economia e delle Finanze- ha sottoposto al Garante una richiesta di verifica preliminare concernente la possibilità di allungare, fino a trenta giorni, la durata del periodo di conservazione delle immagini raccolte dai sistemi di videosorveglianza installati presso la sede della stessa.
Nell´ambito della citata richiesta, la Sogei fornisce una descrizione del proprio ruolo istituzionale, dichiarando, tra l´altro, che:
- oltre alla "prestazione di servizi strumentali all´esercizio delle funzioni pubbliche attribuite al Ministero dell´economia e delle finanze e alle Agenzie fiscali (…) svolge (…) ogni altra attività di natura informatica per conto dell´Amministrazione pubblica centrale o locale, di istituzioni, di Enti pubblici territoriali locali, di società a partecipazione pubblica, anche indiretta, di organismi ed enti che svolgano attività di interesse pubblico o rilevanti nel settore pubblico, nonché di Istituzioni internazionali e sovranazionali e di Amministrazioni pubbliche estere";
- "rende servizi e/o gestisce le banche dati dei seguenti enti: Dipartimento delle Finanze, Agenzia delle Entrate, Agenzia delle Dogane, Agenzia del territorio e del Demanio, Amministrazione autonoma dei monopoli di Stato, Guardia di Finanza";
- tratta e gestisce "Informazioni Classificate, in relazione allo specifico livello di segretezza attribuito"; in tale quadro, "nel mese di settembre 2012 il DIS, Dipartimento Informazioni per la Sicurezza, istituito presso la Presidenza del Consiglio dei Ministri, ha autorizzato la Sogei all´istituzione di una "Segreteria principale di Sicurezza NATO-UE/S", la quale "è legittimata a trattare documenti fino al livello di classifica Segreto NATO/UE; svolge funzioni di raccordo con l´Ufficio Centrale per la Segretezza (UCSe) del DIS; è preposta alla protezione e alla tutela delle informazioni classificate";
- "le attività informatiche riservate allo Stato ai sensi del decreto legislativo 19 novembre 1997, n. 414, e successivi provvedimenti di attuazione, nonché le attività di sviluppo e gestione dei sistemi informatici delle amministrazioni pubbliche, svolte precedentemente dalla Consip S.p.A. ai sensi di legge e di statuto, sono state trasferite mediante operazione di scissione, alla Sogei S.P.A." (art. 4, comma 3-bis del d.l. 6 luglio 2012, convertito, con modificazioni, dall´art. 1, comma 1della legge 7 agosto 2012, n, 135); a seguito di tale trasferimento, la "Sogei erogherà attività informatiche anche per quanto concerne i sistemi informativi delle Amministrazioni citate nonché per il Dipartimento del Tesoro ed il Dipartimento della Ragioneria Generale dello Stato".
Al riguardo, la medesima Società ha fatto presente che "conserva e custodisce nella propria banca dati l´intera Anagrafe tributaria", trattando, pertanto, un enorme volume di dati personali.
Con riferimento all´attività di videosorveglianza effettuata, la Società ha dichiarato che essa è volta esclusivamente a perseguire "finalità di sicurezza ovvero" a "proteggere le banche dati da accessi non autorizzati e/o intrusioni e (…)" a "garantire la sicurezza delle apparecchiature hardware (server, quadri elettrici, apparati elettronici, quadri di rete, centrali telefoniche, magazzini, etc.), dei prodotti software utilizzati per la gestione delle banche dati e dei relativi dati personali, nonché per la protezione dei beni aziendali e delle persone che operano all´interno dei locali e nelle aree aziendali".
E´ stato, inoltre, precisato che le telecamere installate presso i principali punti di accesso all´azienda (varchi carrai, ingresso principale) e presso le aree perimetrali della stessa sono "custodite e gestite dalla Guardia di Finanza unicamente per gli scopi di antintrusione, protezione perimetrale e controllo accessi e sono presidiate unicamente da personale della Guardia di Finanza"; le telecamere, collocate, invece, all´interno degli edifici, nei locali di transito (corridoi e atri), all´interno del Centro Elaborazione dati "CED", nei locali ove sono installate e custodite le apparecchiature hardware, nell´ala direzionale, nella Segreteria Principale di Sicurezza NATO-UE/S, sono gestite dalla Sogei e attive 24 ore su 24, ad eccezione di quelle posizionate nei locali di transito, che sono funzionanti fuori dagli orari di lavoro (e precisamente dalle XX alle YY dal ZZ al KK, e dalle JJ del HH alle HJ del QQ successivo).
In relazione al rispetto della disciplina in materia di protezione dei dati personali, è stato, altresì, evidenziato che il sistema di videosorveglianza:
- "non effettua alcun genere di controllo dell´attività lavorativa, anzi ogni telecamera è configurata e posizionata nel rispetto dei diritti e delle libertà fondamentali dei lavoratori ex art. 4 della legge 300/70;
- è sempre preceduto, prima del raggio di azione di ciascuna telecamera, da appositi cartelli espositivi contenenti idonea informativa agli interessati, conformemente a quanto previsto dal Provvedimento del Garante dell´8 aprile 2010".
Con riferimento alla richiesta oggetto di verifica preliminare, riguardante l´esigenza di poter conservare le immagini registrate fino a un periodo di trenta giorni, la Sogei ha rappresentato che:
- "tenuto conto dei ripetuti tentativi di intrusione, furto e danneggiamento" è necessario garantire "un costante miglioramento del sistema di videosorveglianza (..), anche attraverso l´estensione dei punti di videosorveglianza, in ragione del numero dei varchi di accesso, delle aree interne ed esterne e dei locali CED da vigilare, distribuiti su più edifici";
- "il numero di punti di videosorveglianza (…) non consente il completamento dei controlli necessari entro il tempo di conservazione attualmente consentito di una settimana, anche in considerazione del fatto che non sono utilizzati sistemi intelligenti di videosorveglianza (…) e che le analisi sono condotte esclusivamente dal personale di sicurezza appositamente incaricato";
- nell´ambito di un´attività di indagine in caso di accessi non autorizzati, intrusioni, manomissione o furti, "tali atti non sono sempre immediatamente rilevabili e nell´esperienza di questi ultimi anni si è rilevata l´importanza di estendere l´indagine anche alle fasi ed attività che eventualmente precedono l´azione incriminata (sopralluoghi iniziali, appostamenti, attività di predisposizione dell´ambiente, …)".
A conforto dell´esigenza manifestata nella richiesta di verifica preliminare, la Società ha allegato una nota del Ministero dell´Economia e delle Finanze-Organo centrale di Sicurezza, nella quale viene rappresentata la valutazione della Guardia di Finanza secondo la quale sarebbe necessario prorogare i tempi di conservazione delle immagini registrate dalla Sogei fino a trenta giorni "attesa la particolare attività di interesse strategico svolta da Sogei (…), sia per la rilevanza dei dati trattati sia per la quantità delle stesse informazioni gestite e delle interazioni istituzionali strategiche con soggetti pubblici e privati".
La normativa in materia di protezione dei dati personali prevede che la conservazione delle informazioni oggetto di trattamento, in una forma che consenta l´identificazione dell´interessato, non superi il periodo di tempo necessario agli scopi per i quali esse sono state raccolte o successivamente trattate (art. 11, comma 1, lett. e) del Codice).
Il Garante, con provvedimento di carattere generale dell´8 aprile 2010, ha fornito ai titolari del trattamento specifiche indicazioni circa il corretto utilizzo di sistemi di videosorveglianza, al fine di rendere il trattamento dei dati personali effettuato mediante l´uso di tali sistemi conforme alla disciplina in materia di protezione dei dati personali.
In tale provvedimento generale, l´Autorità ha evidenziato, in particolare, che nei casi in cui sia stato scelto un sistema che preveda la conservazione delle immagini, in applicazione del principio di proporzionalità, anche l´eventuale conservazione temporanea dei dati deve essere commisurata al tempo necessario -e predeterminato- a raggiungere la finalità perseguita.
Più precisamente, il Garante ha previsto che la conservazione deve essere limitata al massimo alle ventiquattro ore successive alla rilevazione e che solo in alcuni casi può ritenersi ammesso un tempo più ampio di conservazione dei dati, che non superi comunque la settimana. In tutti i casi in cui si voglia procedere a un allungamento dei tempi di conservazione per un periodo superiore alla settimana, una richiesta in tal senso deve essere sottoposta ad una verifica preliminare del Garante, e comunque essere ipotizzato dal titolare come eccezionale nel rispetto del principio di proporzionalità. La congruità di un termine di tempo più ampio di conservazione va adeguatamente motivata con riferimento ad una specifica esigenza di sicurezza perseguita, in relazione a concrete situazioni di rischio riguardanti eventi realmente incombenti e per il periodo di tempo in cui venga confermata tale eccezionale necessità. Tale congruità può altresì dipendere dalla necessità di aderire ad una specifica richiesta di custodire o consegnare una copia specificamente richiesta dall´autorità giudiziaria o dalla polizia giudiziaria in relazione ad un´attività investigativa in corso (punti 3.2.1. e 3.4. del citato provvedimento generale dell´8 aprile 2010).
La Sogei ha chiesto al Garante di valutare la possibilità di allungare il periodo di conservazione delle immagini registrate attraverso sistemi di videosorveglianza delle quali la stessa Sogei è titolare, fino ad un periodo massimo di trenta giorni.
A sostegno di tale istanza, è stata richiamata una nota del Ministero dell´Economia e delle Finanze-Organo centrale di Sicurezza, nella quale, nel rappresentare che "il sistema Informativo della Fiscalità, gestito da Sogei, (è) fra i più complessi e strategici nell´ambito della Pubblica Amministrazione, sia per rilevanza dei dati trattati sia per la quantità delle stesse informazioni gestite e delle interazioni realizzate con i soggetti sia coinvolti sia pubblici che privati", viene evidenziato che "attese le necessarie esigenze di sicurezza nazionale anche volte alla prevenzione di minacce terroristiche e di tutela dei dati gestiti", "per Sogei sia necessaria una tenuta delle registrazioni fino a giorni 30 (trenta), attesa la particolare attività di interesse strategico svolta da Sogei, che deve intendersi essenziale in quanto esposta ad elevati rischi di intrusione e possibili azioni criminose".
La Sogei ha dichiarato che l´attività di videosorveglianza interessata dalla verifica preliminare è volta esclusivamente a perseguire finalità di sicurezza e di protezione di banche dati, beni aziendali e persone e non è in alcun modo finalizzata ad un controllo dell´attività dei lavoratori.
In ogni caso, si fa presente che, qualora tale attività di videosorveglianza effettuata dalla Sogei possa realizzare, pur non essendovi preordinata, un controllo a distanza dell´attività lavorativa, resta ferma l´esigenza che venga rispettato il provvedimento generale del Garante dell´8 aprile 2010, con particolare riferimento alle garanzie previste al riguardo per i lavoratori (punto 4.1.; art. 114 del Codice; art. 4, legge 20 maggio 1970, n. 300).
Tutto ciò premesso, allo stato degli elementi forniti, anche sulla base delle valutazioni espresse dal Ministero dell´Economia e delle Finanze-Organo centrale di Sicurezza, emerge una specifica esigenza di sicurezza, in relazione ad una concreta situazione di rischio riguardante eventi realmente incombenti; ciò, tenuto anche conto della particolare delicatezza nonché dell´enorme volume dei dati custoditi presso l´Anagrafe tributaria. Pertanto, con riferimento alla richiesta presentata dalla Sogei, un allungamento dei tempi di conservazione delle immagini per un periodo di trenta giorni può ritenersi congruo, in quanto rispettoso del menzionato principio di proporzionalità, che prevede la conservazione dei dati personali oggetto di trattamento, in una forma che consenta l´identificazione dell´interessato per un arco di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 11, comma 1, lett. e) del Codice; punto 3.4. del citato provvedimento).
ai sensi dell´art. 17 del Codice, accoglie la richiesta di verifica preliminare presentata dalla Società Generale d´Informatica S.p.A. (Sogei), considerata la specifica esigenza di sicurezza, in relazione ad una concreta situazione di rischio, valutata anche dal Ministero dell´Economia e delle Finanze-Organo centrale di Sicurezza, e tenuto conto della particolare delicatezza nonché dell´enorme volume dei dati detenuti presso l´Anagrafe tributaria, e ammette, pertanto, la conservazione per trenta giorni delle immagini raccolte attraverso il sistema di videosorveglianza delle quali la Sogei è titolare del trattamento, nel rispetto del provvedimento generale del Garante dell´8 aprile 2010, con particolare riferimento alle garanzie previste in materia di controllo a distanza dell´attività lavorativa.