LINEE GUIDA EUROPEE EDPB 3/2019
Il Comitato Europeo per la Protezione dei Dati (European Data Protection Board (EDPB)) ha pubblicato, il 29 gennaio 2020, le linee guida n. 3/2019 relative al trattamento dei dati personali in materia di videosorveglianza.
Ambito di applicazione
Nelle linee guida vengono specificati i casi in cui il GDPR non trova applicazione:
- installazione di telecamere finte che, in quanto tali, non elaborano dati personali;
- registrazioni effettuate da un’altitudine elevata, se i dati elaborati non sono collegati a una persona specifica;
- videocamere presenti in un’auto per l’assistenza al parcheggio se non raccoglie informazioni relative a una persona fisica;
- infine, le Linee guida non trovano applicazione nei casi in cui l’impianto di videosorveglianza sia utilizzato da persone fisiche nell’ambito della propria vita domestica.
1. Base giuridica.
Il Comitato individua tale fondamento nel legittimo interesse (art. 6 comma 1, lett. f GDPR) o nella sussistenza di un interesse pubblico (art. 6, comma 1 lett. e GDPR). Il consenso dell’interessato invece si conferma base giuridica residuale.
2. Informativa.
E’ necessario fornire un’informativa agli interessati, sotto forma di vignetta (c.d. informativa minima di primo livello) che rimandi ad un’informativa estesa e completa.
La nuova vignetta, predisposta dall’EDPB, consente agli interessati di conoscere preventivamente quali dati personali vengono trattati entrando nel raggio di azione delle videocamere. L’informativa semplificata deve contenere, oltre ai dati di contatto del Titolare, anche quelli del Responsabile Protezione Dati, le Finalità del trattamento e un breve richiamo ai diritti dell’interessato.
La cartellonistica dovrà poi contenere indicazioni su come ottenere l’informativa completa, facendo preferibilmente uso di una fonte digitale (es QR-code o indirizzo sito Web).
3. Conservazione delle immagini.
Le Linee guida non danno indicazioni temporali predefinite di conservazione delle immagini, lasciando il titolare libero nella scelta che dovrà tuttavia essere ispirata ai principi di necessità e proporzionalità.
In particolare, nell’articolo 8 si chiarisce che: “più è lungo il periodo di conservazione impostato (in particolare quando supera le 72 ore), più devono essere fornite argomentazioni sulla legittimità dello scopo e sulla necessità di conservazione”. Pertanto si dovrà indicare in un documento, la motivazione che spinge al prolungamento della conservazione.
4. Misure di Sicurezza.
Le misure tecniche e organizzative, ai sensi dell’art. 32 del GDPR, dovranno essere adeguate per la protezione dei dati e andranno pianificate prima di iniziare la raccolta e l’elaborazione delle riprese video.
Il Titolare dovrà valutare la necessità di predisporre una Valutazione d’Impatto (DPIA), in quanto il Comitato ha stabilito che nella generalità dei casi, i trattamenti dei dati attraverso la videosorveglianza, richiedono l’effettuazione di una DPIA.
Maurizio TODINI
Avvocato e DPO (Data Protection Officer)
