La videosorveglianza illegale non può tutelare la legalità
[Ethica Societas anno 1 n.1]
La videosorveglianza è oggi una soluzione tecnologica di gran moda sia tra i privati cittadini che tra le aziende, private e pubbliche. Tra quest’ultime, non trascurabile è la diffusione tra gli enti locali.
Il motivo per il quale il fenomeno ha registrato negli ultimi anni una crescita esponenziale è che offre, spesso, una risposta adeguata alla domanda di sicurezza dei cittadini. Non sempre però l’attenzione che si pone all’acquisto e all’installazione dei sistemi di videosorveglianza è preceduta, come dovrebbe essere e come impone la legge, da una valutazione preliminare del sistema che si intende adottare e del posizionamento delle telecamere.
In alcuni casi sopravvivono i principi generali della vecchia normativa nazionale e, quindi, l’approccio alla videosorveglianza è vissuto con molta superficialità, come qualcosa che richieda dei meri adempimenti burocratici.
In altri casi c’è addirittura l’assurda idea che gli enti pubblici siano, a torto aggiungiamo in questa sede, legibus solutibus e quindi, data la finalità istituzionale dell’azione degli organismi pubblici, il fine giustifichi i mezzi e anche le azioni.
Eppure il Regolamento (UE) 2016/679 sulla privacy ha completamente sostituito il precedente quadro normativo sul trattamento dei dati personali ed esso non ha bisogno di alcuna conversione in legge da parte degli Stati membri essendo addirittura sovraordinato rispetto le norme nazionali, le quali non possono né variarlo né derogarlo.
La disciplina europea della privacy non fa alcuna differenza negli obblighi e nelle sanzioni tra aziende private ed enti pubblici, se non nel fatto che le prime sono sanzionate in maniera proporzionale al fatturato, e non consente alcuna deroga o giustificazione derivante da esigenze di bilancio o urgenze.
Quindi l’omissione delle valutazioni preliminari e delle procedure di gestione del trattamento dei dati in generale e, in particolare, di quanto previsto per la videosorveglianza a cominciare dalla valutazione d’impatto sulla protezione dei dati, determina a carico degli enti pubblici così come dei soggetti privati, tra le altre cose, una sanzione sino a dieci milioni di euro (art.83 c.4 Reg.UE 2016/679[1] ), una somma rilevante, anche se applicata in misura ridotta.
VIDEOSORVEGLIANZA, PUNTI FONDAMENTALI
Il Comitato Europeo per la Protezione dei Dati/European Data Protection Board (CEPD/EDPB), organismo dell’UE (art.68 Reg.UE 2016/679[2] ) incaricato dell’interpretazione e dell’applicazione del Regolamento generale sulla protezione dei dati (RGPD/GDPR) il 29 gennaio 2020[3] ha pubblicato il testo di riferimento sulla videosorveglianza in ogni forma, le Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video [4].
La premessa esplicita sulla quale si basano è che le nuove tecnologie sempre più avanzate possono interferire con la libertà di movimento e con le scelte degli interessati alla loro riservatezza. Questo diritto deve essere tutelato e bilanciato con i vantaggi che che gli stessi cittadini potrebbero apprezzare nella videosorveglianza per fini di sicurezza [5].
Si deve poi considerare che i sistemi di videosorveglianza possono essere utilizzati non solo per fini di sicurezza ma, anche contemporaneamente, per altre finalità, come ad esempio nel caso del marketing o delle analisi delle prestazioni lavorative. trasformandosi in questo modo in un sistema “intelligente” che combina ingenti quantità di dati con un aumento del rischio di utilizzo illecito.
Queste disposizioni riguardano sia i dispositivi video tradizionali, ossia le telecamere digitali e analogiche, sia i dispositivi video intelligenti, come i sistemi OCR e di rilevamento facciale o biometrico, ponendo norme restrittive per tutti i soggetti pubblici e privati. Quindi le regole sulla vidoesorveglianza, salvo i casi esclusi dall’applicazione del Regolamento UE 2016/679, riguardano anche le attività delle forze di polizia e degli enti territoriali.
VIDEOSORVEGLIANZA COME ULTIMA RATIO
La videosorveglianza è un sistema di trattamento dei dati personali estremamente invasivo sulla vita dei cittadini e sulle loro libertà.
Si pensi, per esempio, alle telecamere poste in prossimità delle scuole utilizzate come seggio elettorale, di sedi di partito o di sindacati, oppure all’uso che si potrebbe fare delle riprese audiovisive di incontri di coppie clandestine o di soggetti che frequentano sexy shops o associazioni omosessuali.
Per queste ragione occorre rispettare una serie di norme e regole, sia nella fase di installazione dell’impianto e sia nella fase di gestione, per contemperare le esigenze di sicurezza con la tutela dei diritti e delle libertà fondamentali dei cittadini.
IL PRINCIPIO DI PROPORZIONALITÀ
Questo principio deriva dal Trattato sull’Unione europea che pone appunto la proporzionalità come limite a tutte le competenze comunitarie e quindi anche all’attività normativa (art.5 c.1 TUE[6] ). Tale principio impone, in via generale, che l’azione delle istituzioni europee deve limitarsi a quanto è necessario per raggiungere gli obiettivi fissati (art.5 c.4 TUE[7] ), bilanciando l’utilizzo dei mezzi in funzione del fine ultimo.
All’atto pratico quindi non basta che i sistemi di ripresa siano solamente utili perché essi devono essere impiegati solo quando non sia possibile ricorrere ad altro sistema meno invasivo[8] e questo vale per tutti, tanto per le telecamere fisse quato per le bodycam così come per i sistemi mobili di sanzionamento.
MINIMIZZAZIONE E LIMITAZIONE DELLA CONSERVAZIONE
Dal principio di proporzionalità conseguono, in particolare, altri due valori fondamentali che devono guidare dalla progettazione, nell’ottica della privacy by design, a ogni fase dell’attività di videosorveglianza, nel contesto della privacy by default.
Il principio di minimizzazione dei dati impone come comportamento generale che il trattamento sia limitato ai soli dati personali che siano indispensabili, pertinenti, come aspetto qualitativo, e adeguati, in senso quantitativo, per il perseguimento delle finalità per cui sono raccolti e trattati (art.5 c.1 p.c Reg.UE 2016/679[9] ).
Il principio della limitazione della conservazione dei dati impone circoscrivere la lesione alla riservatezza conseguente ai trattamenti. Ne consegue, anche per il diritto all’oblio, che i dati personali siano mantenuti per un tempo non superiore a quello necessario al conseguimento della finalità per le quali sono stati raccolti (art.5 c.1 p.e Reg.UE 2016/679[10] ).
Inoltre per rispettare il principio di minimizzazione dei dati si deve riprendere solo ciò che serve strettamente allo scopo e si deve tenere per il minimo tempo indispensabile.
Per verificare il rispetto di questi principi c’é la procedura della valutazione d’impatto-DPIA.
OBBLIGO SEGNALE DI AVVERTIMENTO
Importante risalto viene dato anche agli obblighi di trasparenza a cominciaere dal segnale di avvertimento, ossia un cartello che con un pittogramma faccia capire con chiarezza e immediatezza che si sta accedendo in un’area videosorveglianta. Con questo metodo di parcellizzazione a più livelli si attua l’obbligo di trasparenza e informativa fissato come cardine dei diritti dell’interessato dal GDPR (art.12 c.7 Reg.UE 2016/679[11] ).
OBBLIGO DI VALUTAZIONE D’IMPATTO PER OGNI SISTEMA DI VIDEOSORVEGLIANZA
Le linee guida 3/2019 ribadiscono l’obbligo di svolgere sempre e comunque la valutazione d’impatto-DPIA per qualsiasi sistema di videosorveglianza su area pubblica, sia fissa, come le telecamere di contesto e OCR, e sia mobile, body cam e sistema di sanzionamento mobili (art.35 c.3 p.c Reg.UE 2016/679[12] ).
Non ha alcun senso qualsiasi altro atto, a cominciare dai vari regolamenti comunali sulla videosorveglianza, ed è illecito e da sanzionare l’utilizzo di qualsiasi sistema di videosorveglianza senza DPIA.
NOTE:
[1] Reg. UE/2016/679 GDPR, art.83 (Condizioni generali per infliggere sanzioni amministrative pecuniarie) c.4 «In conformità del paragrafo 2 la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR o per le imprese fino al 2 % del fatturato mondiale totale annuo dell’esercizio precedente se superiore: a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11 da 25 a 39, 42 e 43…omissis…».
[2] Regolamento UE 2016/679 GDPR, art. 68 (Comitato europeo per la protezione dei dati) c.1: «Il comitato europeo per la protezione dei dati («comitato») è istituito quale organismo dell’Unione […]».
[3] Arrivate alla versione 2.1 con l’ulteriore correzione di un errore materiale il 26 febbraio 2020.
[4] Nel testo originale denominate “Guidelines 3/2019 on processing of personal data through video devices”.
[5] EDPB-European Data Protection Board. Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video. Versione 2.1 26 febraio 2020. Punto 1 «L’uso intensivo di dispositivi video influisce sul comportamento dei cittadini. Un ricorso significativo a tali strumenti in numerosi ambiti della vita delle persone eserciterà su queste ultime un’ulteriore pressione per impedire il rilevamento di quelle che potrebbero essere percepite come anomalie. Di fatto, queste tecnologie possono limitare le possibilità di muoversi e di utilizzare servizi in maniera anonima nonché, in linea generale, la possibilità di passare inosservati. Le conseguenze per la protezione dei dati sono enormi.».
[6] Trattato sull’Unione europea (versione consilidata), art. 5 c.1: «La delimitazione delle competenze dell’Unione si fonda sul principio di attribuzione. L’esercizio delle competenze dell’Unione si fonda sui principi di sussidiarietà e proporzionalità.».
[7] Trattato sull’Unione europea (versione consilidata), art. 5 c.4: «In virtù del principio di proporzionalità, il contenuto e la forma dell’azione dell’Unione si limitano a quanto necessario per il conseguimento degli obiettivi dei trattati.».
[8] EDPB-European Data Protection Board. Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video. Versione 2.1 26 febraio 2020. Punto 1.5 «La videosorveglianza non è di per sé indispensabile se esistono altri mezzi per raggiungere lo scopo che ci si prefigge. Altrimenti si rischia di modificare le norme culturali con la conseguenza di ammettere come regola l’assenza di privacy.».
[9] Regolamento UE 2016/679 GDPR, art. 5 (Principi applicabili al trattamento dei dati) c.1: «I dati personali sono: […] c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalit per le quali sono trattati (“minimizzazione dei dati”);».
[10] Regolamento UE 2016/679 GDPR, art. 5 (Principi applicabili al trattamento dei dati) c.1: «I dati personali sono: […] e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; […] fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato (“limitazione della conservazione”);».
[11] EDPB-European Data Protection Board. Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video. Versione 2.0 29 gennaio 2020. Punto 2 Ambito di applicazione “7. La sorveglianza sistematica e automatizzata di uno spazio specifico con mezzi ottici o audiovisivi […]. Ciò si riflette nel RGPD […] all’articolo 37 paragrafo 1 lettera b) che impone ai responsabili del trattamento di designare un responsabile della protezione dei dati se la tipologia di trattamento per sua natura richiede il monitoraggio regolare e sistematico degli interessati.”.
[12] Regolamento UE 2016/679 GDPR, art. 35 c.3: «La valutazione d’impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti: […]c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.».