Source: http://marcellopolacchini.postilla.it/2012/01/30/e%E2%80%99-morto-il-dps/
Timestamp: 2018-07-20 02:38:35+00:00
Document Index: 3159933

Matched Legal Cases: ['art. 47', 'art. 15', 'art. 2050', 'art. 8', 'art. 45', 'art. 47', 'art. 7', 'art. 5', 'art. 615', 'art. 24', 'art. 4']

E’ morto il DPS! - Il Blog di Marcello Polacchini
Postilla » Generale » Il Blog di Marcello Polacchini » Privacy » E’ morto il DPS!
Dopo anni di travagliata esistenza è venuto a mancare il
Ne danno il triste annuncio il Garante per la protezione dei dati personali, i Consulenti privacy, i cittadini interessati alla protezione e alla riservatezza dei loro dati personali.
I funerali si svolgeranno a Roma in Parlamento, non appena il decreto approvato dal Consiglio dei Ministri il 27 gennaio 2012 sarà convertito in legge.
Non fiori, ma applicazione di tutte le misure di sicurezza necessarie per il trattamento dei dati e rispetto per la privacy dei cittadini.
Al di là della triste ironia di questo necrologio, è proprio così: per effetto dell’art. 47 del decreto legge sulle semplificazioni approvato venerdì scorso dal Consiglio dei Ministri sono state abrogate tutte le previsioni contenute nel Codice della privacy e nel Disciplinare tecnico sulle misure di sicurezza che si riferivano al Documento Programmatico sulla Sicurezza per il trattamento dei dati personali. Niente più DPS quindi, niente più modalità semplificate per la tenuta del DPS e, naturalmente, niente più dichiarazione nelle relazioni accompagnatorie del bilancio sull’avvenuta redazione o aggiornamento del DPS.
Davvero una bella “semplificazione”!
Quello che ha sin qui rappresentato l’adempimento più complesso, oneroso – ed evidentemente inutile secondo il Governo – tra i tanti previsti dalla disciplina sulla protezione dei dati personali è stato definitivamente cancellato con due commi di un articoletto del decreto legge.
E adesso che cosa succederà?
Oltre all’esultanza di molti imprenditori, contenti che sia stato finalmente eliminato un adempimento considerato inutile, che effetti avrà questa soppressione e come si ripercuoterà sul cittadino?
Come sostenevo tempo fa nella premessa al mio libro intitolato “La tutela della privacy in azienda”, un’impresa dovrebbe cercare sempre di applicare il Codice della privacy non in maniera formale, ma traendone un’effettiva utilità. Pertanto, a mio avviso il DPS, al di là dell’obbligo o no di redigerlo, avrebbe dovuto essere considerato come uno strumento del titolare del trattamento utile per poter tenere costantemente sotto controllo il proprio sistema di sicurezza per il trattamento delle informazioni. In pratica, il documento serviva a fotografare la privacy policy aziendale e a definire e programmare (sulla base di un’attenta analisi dei rischi) le misure necessarie per migliorare la sicurezza del trattamento dei dati personali. Perciò – a parere mio – era la misura di sicurezza più utile, perchè conteneva la descrizione di tutte le altre misure di sicurezza obbligatorie.
L’eliminazione del DPS crea un vuoto nel sistema di sicurezza per il trattamento dei dati posto in essere dall’impresa titolare del trattamento e rende molto più difficoltosi – non solo per il titolare ma anche per gli organi di vigilanza – i controlli sul rispetto delle norme del Codice della privacy, in particolare per quanto riguarda l’allegato B sulle misure di sicurezza.
Infatti, mancando il DPS d’ora in poi gli organi preposti ai controlli (Guardia di Finanza o ispettori dell’Autorità Garante) non potranno più verificare un documento, ma dovranno fare accertamenti approfonditi sul rispetto di tutte le misure indicate nel Disciplinare tecnico allegato al decreto 196/03. Non dimentichiamo infatti che, nonostante la soppressione del DPS, ogni impresa ha comunque l’obbligo di applicare almeno tutte le misure minime di sicurezza previste dal Codice della privacy.
A questo punto una domanda mi sorge spontanea: gli estensori del provvedimento appena approvato dal Governo Monti erano a conoscenza dei contenuti e del significato intrinseco del DPS ? E prima di cancellare il DPS dal nostro ordinamento giuridico si sono consultati con il Garante della privacy? Probabilmente no.
Non si spiegherebbe altrimenti perché, presi dalla “smania di sburocratizzazione” del Paese, abbiano soppresso il documento con il quale si pianificava la gestione di un’attività – il trattamento dei dati sensibili – che l’art. 15 del Codice definisce “pericolosa” (art. 2050 c.c.) e che ha gravi conseguenze risarcitorie nel caso di danni.
L’aggiornamento annuale del DPS a mio avviso era una delle condizioni cardine per un costante monitoraggio della correttezza dei trattamenti di dati effettuati dal titolare. Averlo cancellato avrà anche semplificato la vita delle imprese, ma non ha certamente aumentato la sicurezza del trattamento delle informazioni di carattere personale!
Ma tant’è. Così ha voluto il Governo, ed ora sono molti gli interrogativi che l’eliminazione del DPS pone alla mente di un osservatore attento.
Come saranno tutelati i cittadini?
Chi li garantirà che le imprese impiegheranno ugualmente tempo e risorse per tutelare la loro privacy?
Se sino ad oggi il diritto fondamentale alla protezione dei dati personali (sancito dall’art. 8 della Carta dei diritti fondamentali dell’UE) è stato rispettato a fatica, chi li assicurerà che senza il DPS potranno continuare ad avere la garanzia di un minimo di tutela dei propri dati sensibili?
E poi – come ho già scritto – paradossalmente, con l’abolizione del DPS non diminuirà il rischio delle sanzioni per le violazioni del Codice della privacy, ma aumenterà, perché il documento era lo strumento interno di autoverifica che permetteva al titolare di capire immediatamente se era in linea oppure no con tutte le prescrizioni della legge sulla privacy.
Ad ogni modo la normativa sulla privacy, in Italia come negli altri Paesi dell’Unione Europea, si può dire che si trovi in una fase transitoria, essendo ormai imminente l’emanazione di un regolamento comunitario che andrà a sostituire la normativa europea di riferimento (la direttiva 95/46 CE del 1995). E come è noto, i regolamenti emanati dall’UE godono di un’applicazione diretta negli Stati membri, a differenza delle direttive che, definiscono le linee guida, ma lasciano agli Stati la facoltà di provvedere con legislazione propria.
Questo regolamento comunitario è molto importante, perché oltre ad uniformare le regole a livello europeo, stando alla bozza che circola renderà molto più incisive le regole in materia di tutela dei dati personali. I commentatori della bozza del regolamento si sono, infatti, già detti molto preoccupati per alcune norme che renderanno veramente pesanti e onerosi gli adempimenti per le imprese e gli enti.
In sostanza, con i nuovi obblighi introdotti dal regolamento saranno richiesti sforzi di compliance e di documentazione molto superiori rispetto al DPS. Inoltre, sarà imposta alle imprese e agli enti l’adozione di un vero modello organizzativo per la tutela dei dati, introducendo il principio di responsabilità (accountability), per cui nel caso di controlli saranno loro a dover dimostrare la conformità del proprio operato alle regole comunitarie. Anche l’impianto sanzionatorio sarà di fonte comunitaria, a garanzia dell’efficacia di quanto prescritto, e le sanzioni massime previste saranno molto elevate e parametrate al fatturato dell’impresa sanzionata.
Francamente, a leggere questo testo di origine comunitaria sembra quasi che il nostro Governo eliminando il DPS abbia voluto dare alle imprese una sorta di respiro per superare il momento di crisi attuale, in vista dei ben più gravi adempimenti cui saranno soggette quando il regolamento UE sulla protezione dei dati personali sarà applicabile in Italia.
Letture: 10823 | Commenti: 19 |
19 Commenti a “E’ morto il DPS!”
Scritto il 30-1-2012 alle ore 14:47
In attesa di leggere il testo del nuovo regolamento comunitario in materia di privacy e di trattamento dei dati sensibili, una prece x il (poco rimpianto…) DPS
Scritto il 30-1-2012 alle ore 15:07
In attesa di leggere il testo del nuovo Regolamento comunitario in materia di privacy io consiglieri di… non dormire sugli allori.
Ricordando che restano comunque obbligatorie tutte le altre misure di sicurezza previste dalla normativa vigente (D.Lgs. 196/03, Disciplinare Tecnico allegato B e provvedimenti generali del Garante) e le sanzioni penali e amministrative per chi non le rispetta, secondo me le imprese che in passato hanno investito sul DPS e sulla formazione non dovrebbero abbandonare questo documento, ma dovrebbero continuare a monitorare senza più l’assillo della scadenza annuale del 31 marzo la loro situazione interna, attraverso uno strumento snello (una sorta di “disciplinare interno”) che permetta loro di tenere sotto controllo le misure di sicurezza e gli altri adempimenti previsti dalla normativa privacy che sono rimasti in vigore.
Questo permetterebbe alle imprese di “prepararsi” all’avvento del nuovo Regolamento comunitario, senza dovere ricominciare tutto da capo quando sarà applicabile in Italia.
Scritto il 31-1-2012 alle ore 19:36
Pienamente daccordo con l’Autore: senza assilli di scdenze imminenti e con maggior snellezza di adempimenti, risulterà molto più agevole – x i soggetti interessati – monitorare le singole situazioni aziendali Eppoi….quante cartacce di meno x gli addetti interni alla sicurezza:)
Claudio Salviati scrive:
Scritto il 1-2-2012 alle ore 15:14
Buongiorno, condivido le sue perplessità.
Dato che il suo articolo lo trovo molto istruttivo, le chiedo il permesso di citarlo in una e-mail che ho intenzione di girare ai clienti che seguo per il dlgs 196/03.
Con l’occasione cordiali saluti
Scritto il 1-2-2012 alle ore 15:32
Faccia pure Claudio.
Magari citi anche l’autore…
Scritto il 1-2-2012 alle ore 15:52
Mi scuso per non averlo precisato.
Ovviamente oltre che a citare il testo nomimerò l’autore e inserirò il link per la lettura dell’articolo.
Scritto il 8-2-2012 alle ore 10:50
E per chi in passato non ha mai fatto il DPS che ripercussioni ci sono, cioe’ sono sanzionabili penalmente se non esibiscono “vecchi” DPS oppure no?
Scritto il 8-2-2012 alle ore 18:35
Teoricamente è sanzionabile… anche se dubito che lo sarebbe.
Piuttosto che del “documento” cartaceo, si occupi di applicare almeno tutte le misure minime di sicurezza obbligatorie (artt. 34 e 35 del Codice e Disciplinare Tecnico allegato B) e si preoccupi di come poterlo “dimostrare” nel caso di un controlo della GdF… Ecco a che cosa serviva il tanto disprezzato DPs!!
Scritto il 9-2-2012 alle ore 16:34
vorrei sapere se lei tiene dei corsi per “consulenti sulla privacy” e nel caso avere le informazioni necessarie. grazie
Scritto il 9-2-2012 alle ore 18:47
Ho tenuto moltissimi corsi per formare gli incaricati e i responsabili del trattamento dei dati. L’ho fatto presso la Confindustria, presso l’ANCE, presso Comuni, Ordini Professionali e, soprattutto, in moltissime aziende private.
Probabilmente in futuro terrò un corso per “Consulenti privacy” per conto della Federprivacy, per la quale ho già svolto il ruolo di commissario d’esame per la certificazione TUV Italia della figura di “consulente privacy”.
Altro per il momento non le so dire….
Scritto il 11-2-2012 alle ore 09:27
complimenti per l’articolo, ma fino alla conversione del D.L. (60 gg. e quindi entro il 27/03/12) non c’è possibilità che venga fatto un emendamento su questo punto ?
Scritto il 11-2-2012 alle ore 17:21
Buonasera Matteo.
Sulla G.U. n. 33 del 9 febbraio 2012 è stato pubblicato il D.L. 9/2/2012 n. 5 (cd. decreto semplificazioni).
questo è il testo dell’art. 45 (leggermente diverso rispetto all’originario art. 47) che sancisce l’abrogazione del DPS:
d) nel disciplinare tecnico in materia di misure minime di sicurezza di cui all’allegato B sono soppressi i paragrafi da 19 a 19.8 e 26.”
Teoricamente potranno essere apportate delle modifiche a questo testo in sede di conversione in legge del decreto (che dovrà avvenire entro il 9 aprile 2012), ma ritengo molto improbabile che il DPS possa… “resuscitare” !
Scritto il 13-2-2012 alle ore 11:30
sono d’accordo con lei, improbabile che venga resuscitato il DPS. Però mi sembra veramente in controtendenza con le proposte della C.E.
Non mi soprrenderebbe se fra un anno nascesse un qualcosa simile al DPS, ma con altro nome, tipo P.I.A. (privacy impact assessment) o altro. Del resto …siamo in italia !!! Saluti e grazie
Scritto il 13-2-2012 alle ore 11:38
E’ improbabile, comunque considerando che non e’ stato sentito il Garante, e memori di quello che e’ successo con il Sistri, non mi stupirei della “resurrezione” del DPS in sede di conversione del D.L. semplificazioni.
Scritto il 13-2-2012 alle ore 12:32
Francamente non so cosa pensare…
Ho parlato di “smania di sburocratizzazione”… Forse nella foga di “semplificare” il signor Primo Ministro non si è reso conto del danno che stava creando all’impianto “privacy” del nostro Paese.
A noi non resta che… stare alla finestra, in attesa del nuovo Regolamento UE che sarà ben più rigoroso.
Anche se questo continuo tira e molla del legislatore non giova alla certezza del diritto e alla credibilità della questione della privacy, perlomeno le imprese (quelle meno lungimiranti) tireranno un sospiro di sollievo e si dedicheranno più serenamente a cercare di risalire la china della crisi… senza lo spauracchio del DPS e della scadenza del 31 marzo!
Scritto il 21-2-2012 alle ore 13:34
anche il sistri era morto ed è stato resuscitato!
spero in un DPS chiaro, vivo e sostenibile!
Scritto il 21-2-2012 alle ore 16:33
Franz il DPS era “chiaro” nella misura in cui colui il quale lo redigeva evitava di fare un doocumento inutile e faragginoso, ma si concentrava sulle poche cose essenziali da descrivere e soprattutto le metteva in pratica.
Era “vivo” se il titolare del trattamento lo teneva in vita, considerandolo un documento “in progress” e uno strumento utile in primo luogo per se stesso.
Quanto alla “sostenibilità”… qual’era il problema?
Comunque non è detto che, magari in un’altra forma, il DPS prima o poi non resusciti….
Scritto il 23-5-2012 alle ore 18:40
sto provvedendo alla messa in opera di un impianto di videosorveglianza in un luogo di culto (una chiesa) che è stato oggetto di tentativi, riusciti e non, di rapina e di atti vandalici negli ultimi anni.
Le immagini verranno registrate e conservate per un periodo di massimo 48h, l’accesso alla diretta delle immagini è consentito solo al titolare del trattamento dei dati via web.
L’installazione dell’impianto di tvcc mira alla prevenzione di furti e atti vandalici, le telecamere sono site sia all’interno che all’esterno dei locali oggetto di tutela.
Alla luce di questo, considerato che vengono rispettati i principi di liceità, necessità, proporzionalità e finalità, sono a chiederti quale documentazione è da redigere da parte dell’installatore e da parte dell’utilizzatore.
Il documento programmatico sulla sicurezza (dps) è stato abolito.
Non si menziona più il documento delle scelte, è ancora necessaria la compilazione di quest’ultimo?
Sono semplicemente sufficienti le informative brevi nel raggio di azione di ogni telecamera e l’informativa estesa a disposizione del pubblico?
Quali altri documenti devono essere redatti prima della consegna dell’impianto da parte dell’installatore e quali documenti devono essere tenuti dall’utilizzatore?
Scritto il 24-5-2012 alle ore 10:00
Francesco, veramente qui si dovrebbe parlare della soppressione del DPS, dato che ci sono già 6 o 7 discussioni specifiche nel mio blog che riguardano la videosorveglianza…
Ad ogni modo, cerco di formulare la mia risposta… tanto ormai in Italia privacy è uguale a videosorveglianza, mentre fino allo scorso anno privacy era uguale a DPS!!
Lasciando perdere i principi di liceità, necessità, proporzionalità e finalità da lei citati, vengo alla documentazione necessaria per installare un impianto di videosorveglianza.
1)	Il DPS è stato abolito. La mia opinione su questa scelta di “semplificazione” operata dal governo Monti e sulle sue conseguenze l’ho già espressa e non aggiungo altro. Al Privacy Day Forum 2012 tenutosi due settimane fa ho notato con soddisfazione che esperti ed autorità ben più competenti di me sulla materia la pensano nello stesso modo, e questo mi è sufficiente (vedi http://marcellopolacchini.postilla.it/2012/05/14/esperti-e-legali-a-confronto-al-privacy-day-forum-2012-di-arezzo/ ).
2)	La documentazione delle scelte. Nel provvedimento sulla videosorveglianza del 2010 non si menziona più la documentazione delle scelte, che invece faceva parte degli adempimenti indicati nel punto 3.5 del provvedimento del 2004 («Le ragioni delle scelte, cui si è fatto richiamo, devono essere adeguatamente documentate in un atto autonomo conservato presso il titolare e il responsabile del trattamento e ciò anche ai fini dell’eventuale esibizione in occasione di visite ispettive, oppure dell’esercizio dei diritti dell’interessato o di contenzioso»). Personalmente ritengo che sia un peccato, perché questo documento era un modo valido ed economico per evidenziare i ragionamenti che avevano portato il titolare all’adozione di determinati sistemi di videosorveglianza e alla scelta del loro impiego, ed era utile nel caso di ispezioni o contestazioni. A mio avviso è consigliabile in ogni caso documentare in maniera chiara e comprensibile le motivazioni, le finalità e le caratteristiche dell’impianto di videosorveglianza in un documento o aggiornare, se esistente, il documento redatto quando era stato installato l’impianto.
3)	La dichiarazione di conformità rilasciata dall’installatore. Nel provvedimento sulla videosorveglianza del 2010 non è stato ripreso il contenuto del secondo capoverso del punto 3.3.2 del provvedimento del 2004, dove era previsto che «il titolare del trattamento che si avvale di un soggetto esterno deve ricevere dall’installatore una descrizione scritta dell’intervento effettuato che ne attesti la conformità alle regole in materia (artt. 33-36 e 169, nonché Allegato B) del Codice, in particolare punto 25».
Alla luce di tale carenza, alcuni installatori di impianti di videosorveglianza hanno smesso di rilasciare le dichiarazioni di conformità, asserendo che tale onere sarebbe venuto meno, esponendo così il titolare del trattamento al rischio di essere sanzionato per non aver posto in essere una misura minima di sicurezza.
In ogni caso, come installatore qualificato, lei deve assicurare ai suoi clienti il pieno rispetto delle prescrizioni di legge, rilasciando a lavoro ultimato una specifica dichiarazione di conformità, ai sensi dell’art. 7 del D.M. 22 gennaio 2008 n. 37. Tale dichiarazione deve contenere una descrizione dettagliata dell’intervento fatto e delle caratteristiche tecniche dell’impianto TVCC, compresa una pianta indicante la posizione delle telecamere e il loro angolo di ripresa. Questa dichiarazione, come già detto, è anche una “misura minima di sicurezza” prevista obbligatoriamente dal Codice della privacy, pertanto il titolare del trattamento deve farsi rilasciare dall’installatore la dichiarazione di conformità dell’impianto, anche se tale onere non viene ricordato nel nuovo provvedimento del Garante sulla videosorveglianza.
Detto questo, come semplice installatore dell’impianto lei non ha alcuna responsabilità sull’uso che il suo cliente farà delle telecamere, né sulle modalità con le quali egli tratterà le immagini riprese. Solamente per scrupolo professionale e per dare dimostrazione di serietà e competenza, secondo me sarebbe comunque bene che lei informasse sinteticamente la sua clientela sulle implicazioni della richiesta di installazione di un impianto TVCC e quindi, sostanzialmente, sarebbe sufficiente che lei facesse presente al suo committente queste poche cose essenziali:
a) Le telecamere devono essere segnalate con un apposito cartello informativo (conforme a quello predisposto dal Garante) collocato nelle vicinanze di ciascuna di esse, indicante chi è il titolare del trattamento (cioè il proprietario dell’impianto) e la finalità delle riprese. Il cartello deve essere ben visibile anche di notte se l’impianto è attivo h24 e deve essere integrato da un’informativa scritta completa, messa agevolmente a disposizione di tutti gli interessati.
b) La videosorveglianza fatta dalle persone fisiche (non dalle imprese, enti, associazioni, ecc.) per fini esclusivamente personali non è soggetta alle norme del Codice della privacy se le immagini riprese non sono comunicate sistematicamente a terzi ovvero se non sono diffuse. Anche in questo caso, però, si devono adottare opportune cautele a tutela dei terzi, perché, ai sensi dell’art. 5, comma 3, del Codice il titolare è sempre responsabile civilmente per gli eventuali danni procurati a terzi e deve garantire la sicurezza e riservatezza delle immagini riprese e registrate. Il Garante ha precisato che questo vale, per esempio, per gli strumenti di videosorveglianza (videocitofoni o altre apparecchiature che rilevano immagini o suoni, anche tramite registrazione) idonei a identificare chi si accinge ad entrare in luoghi privati, oltre che per i sistemi di ripresa installati nei pressi di immobili privati e all’interno di condomini e loro pertinenze (come posti auto e box). In ogni caso, anche se non si applica il Codice della privacy, per evitare di incorrere nel reato di interferenze illecite nella vita privata (art. 615-bis c.p.), l’angolo visuale delle riprese deve essere sempre limitato ai soli spazi di propria pertinenza esclusiva (ad esempio quelli antistanti l’accesso alla propria abitazione), mentre non sono ammesse riprese (anche senza la registrazione) di aree comuni come cortili, pianerottoli, scale, garage comuni, ovvero di aree antistanti l’abitazione di altri condomini. In sostanza, le telecamere private devono inquadrare soltanto le aree di proprietà del proprietario dell’impianto, titolare del trattamento.
c) Se invece è applicabile il Codice della privacy (cioè se le finalità delle riprese non sono solamente personali o se le immagini riprese sono comunicate a qualcuno, oppure diffuse), la ripresa è lecita soltanto se c’è il consenso preventivo dell’interessato (il soggetto ripreso), oppure se ricorre uno dei casi nei quali ai sensi dell’art. 24 del Codice non è necessario il consenso dell’interessato. Nel caso da lei prospettato della chiesa, stante l’oggettiva difficoltà di raccogliere uno specifico consenso, se ne prescinde ed è sufficiente la sola informativa.
d) La conservazione delle immagini registrate deve essere limitata a poche ore o, al massimo, alle 24 ore successive alle riprese, salva l’esigenza di un periodo di conservazione più lungo a causa di festività o chiusura di uffici o esercizi, nonché nel caso in cui si deve aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o della polizia. Solamente se il titolare del trattamento svolge un’attività particolarmente rischiosa è ammesso un tempo più ampio di conservazione delle immagini registrate, che comunque non deve mai superare i 7 giorni (questo vale, per esempio, per le banche, che possono avere l’esigenza di identificare le persone che hanno fatto un sopralluogo nei giorni precedenti una rapina). Quindi nel caso da lei prospettato deve essere rispettato il limite normale delle 24 ore.
e) Se l’impianto viene installato in un luogo di lavoro e le telecamere riprendono anche luoghi nei quali si trovano o possono transitare i dipendenti, lo Statuto dei lavoratori (art. 4, comma 2, legge n. 300/70) stabilisce che prima dell’installazione bisogna stipulare un accordo con la rappresentanza sindacale aziendale (non è sufficiente farlo con i singoli lavoratori). Se però manca la rappresentanza sindacale (come nel caso delle aziende con meno di 15 dipendenti), o se non si raggiunge un accordo, è necessario ottenere dalla competente Direzione Territoriale del Lavoro l’autorizzazione all’installazione dell’impianto, avanzando un’apposita istanza.
L’istanza di autorizzazione deve essere presentata dal datore di lavoro committente l’impianto TVCC, prima della sua installazione. La DTL, ricevuta l’istanza del datore di lavoro, invia un funzionario del Servizio Ispettivo a fare un sopralluogo in azienda. Sulla base della relazione scritta fatta da questo dopo il sopralluogo, la DTL emette entro 60 giorni dall’istanza il provvedimento autorizzatorio, che può anche contenere delle particolari prescrizioni sulle modalità tecniche con le quali possono essere fatte le riprese.
Nel caso di un’attività commerciale con presenza di ingenti somme di denaro in cassa (ricevitorie, tabaccherie, gioiellerie, benzinai, ecc.) per la concessione dell’autorizzazione da parte della DTL il sopralluogo non è necessario, perché si presume la necessità della videosorveglianza al fine di tutelare la sicurezza dei lavoratori. Perciò l’autorizzazione è concessa sulla base della sola documentazione prodotta dal titolare del trattamento (vedi nota Min. Lavoro n. 7162 del 16 aprile 2012). Ed ecco che anche in questo caso un documento simile alla vecchia documentazione delle scelte potrebbe essere molto utile per accelerare l’iter autorizzatorio.
f) I sistemi di videosorveglianza dotati di software che permette il riconoscimento della persona tramite collegamento, incrocio o confronto delle immagini rilevate (morfologia del volto) con altri specifici dati personali (dati biometrici), o sulla base del confronto dell’immagine con un campione di soggetti precostituito alla rilevazione e i sistemi “intelligenti” (che non si limitano a riprendere le immagini, ma possono rilevare automaticamente comportamenti o eventi anomali, segnalarli, ed eventualmente registrarli) devono essere sottoposti alla verifica preliminare del Garante. Anche fuori da questi casi, se la videosorveglianza ha natura e caratteristiche tali per cui le misure e gli accorgimenti individuati nel provvedimento del Garante del 2010 non sono integralmente applicabili, a causa della natura dei dati o delle modalità del trattamento o degli effetti che possono determinare, il titolare del trattamento è tenuto a chiedere una verifica preliminare al Garante. L’approvazione dell’impianto da parte del Garante deve essere esplicita, perché in questo caso non vale il principio del silenzio-assenso.
g) In ogni caso, è opportuno che colui il quale vuole installare un impianto di videosorveglianza prenda visione dell’intero provvedimento dell’8 aprile 2010, con il quale il Garante ha fissato le regole generali che tutti i soggetti, pubblici e privati, devono osservare per utilizzare in maniera lecita un sistema di videosorveglianza.
Spero di essere stato sufficientemente chiaro e che queste mie osservazioni possano servire anche ad altri installatori.