News

Ti ho già parlato della necessità di richiedere specifica autorizzazione per l’installazione e l’utilizzo dei sistemi di videosorveglianza nel caso in cui sia presente in azienda anche un solo lavoratore e la loro presenza possa determinare, seppur solo indirettamente, il controllo a distanza dell’attività lavorativa. Ma la gestione delle telecamere in azienda deve rispettare anche altri requisiti che il Garante della privacy ha dettagliato nel Provvedimento dell’8 aprile 2010. Il provvedimento, nonostante sia antecedente all’entrata in vigore del Regolamento europeo 2016/679 (GDPR), continua a mantenere la sua validità.

Vediamo insieme quali sono gli elementi da verificare per una corretta gestione delle telecamere in azienda.

Luoghi di installazione

Dovendo rispettare il divieto di controllo a distanza dell’attività lavorativa, è vietata l’installazione di telecamere in azienda che abbiano unicamente tale finalità. In altre parole, nei luoghi come le aree ristoro o le mense e i punti di accesso con badge, ove la presenza delle apparecchiature di videosorveglianza avrebbe come unica ragion d’essere il controllo dei lavoratori (ex. la verifica del rispetto dell’orario di lavoro), è vietata l’installazione delle apparecchiature. L’unica eccezione è quella in cui si possa dimostrare che la localizzazione in tale aree sia essenziale al fine di garantire la tutela del patrimonio aziendale o la sicurezza del personale. In quest’ultimo caso è evidente la necessità di richiedere autorizzazione del sistema di videosorveglianza ai soggetti competenti, tenendo conto anche degli altri requisiti riportati di seguito.

Caratteristiche tecniche

L’adeguatezza di un sistema di videosorveglianza rispetto alla gestione dei dati personali parte dalla scelta delle componenti fisiche e dei programmi informatici che devono presentare caratteristiche e configurazione tali da ridurre al minimo la raccolta e l’utilizzo di dati personali. Per esempio la scelta di un sistema che consenta di effettuare degli zoom oppure di modificare l’angolo di ripresa deve essere valutata e motivata e non deve essere ritenuta una scelta scontata e incontestabile. Allo stesso modo si dovrebbe valutare il posizionamento fisico dei dispositivi di registrazione e/o di accesso ai dati, che è preferibile si trovino fuori dalla portata di tutti.

Inoltre, i dati raccolti devono essere protetti per ridurre al minimo i rischi di distruzione, di perdita anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta (come per esempio la trasmissione delle immagini). Questo significa:

1. che il titolare del trattamento deve essere in grado di verificare chi può accedere alle immagini e controllarne gli accessi;
2. che i soggetti incaricati del trattamento o i responsabili del trattamento devono essere in possesso di credenziali di autenticazione che permettano di effettuare esclusivamente le operazioni di competenza;
3. che nel caso di sistemi configurati per la registrazione e conservazione delle immagini rilevate, deve essere esclusa la possibilità dei soggetti abilitati di visionare la ripresa e le immagini registrate e di effettuare operazioni di cancellazione o duplicazione;
4. che il sistema deve essere in grado di cancellare le registrazioni, in forma automatica o per mezzo di precise misure organizzative, allo scadere del termine previsto.

Tempi di conservazione

La conservazione deve essere limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione. Sono ammesse deroghe in relazione a:

• festività;
• chiusura di uffici;
• necessità di rispondere a una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria.

In realtà il Garante ha previsto che si possano prevedere proroghe a tale termine sino al limite della settimana per casi specifici e motivati da ragioni tecniche o di sicurezza (ex. i mezzi di trasporto o le banche). Qualora si ritenesse di dover procedere a un ulteriore allungamento dei tempi di conservazione oltre la settimana, si deve infine sottoporre specifica richiesta di verifica preliminare al Garante stesso. Per quanto tale possibilità sia prevista, i casi in cui è stata a oggi presentata richiesta di verifica preliminare sono tutti riconducibili a realtà di grandi dimensioni e caratterizzate da un’utenza di larga scala (ex. compagnie di navigazione, brand di lusso e gestori autostradali).

Addetti e responsabili al trattamento

Il titolare o il responsabile devono nominare per iscritto tutte le persone fisiche incaricate del trattamento in quanto

• autorizzate ad accedere ai locali dove sono situate le postazioni di controllo;
• autorizzate a utilizzare gli impianti;
• autorizzate, nei casi in cui sia indispensabile per gli scopi perseguiti, a visionare le immagini.

In relazione agli addetti al trattamento dei dati, il Garante ha previsto che:

1. si debba trattare di un numero limitato di soggetti, soprattutto in caso di collaboratori esterni;
2. si debbano individuare e definire diversi livelli di accesso in funzione delle specifiche mansioni attribuite ai singoli operatori, distinguendo per esempio chi può unicamente visionare le immagini da chi può effettuare ulteriori operazioni.

Informativa

Gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata, quindi il cartello recante l’indicazione di “area videosorvegliata”:

• deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti;
• deve avere un formato e un posizionamento tali da essere chiaramente visibile in ogni condizione di illuminazione, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno;
• può inglobare un simbolo che consenta di informare se le immagini sono solo visionate o anche registrate.

Il Garante ritiene auspicabile che l’informativa semplificata rappresentata dal cartello sia seguita da un testo completo di tutti gli elementi previsti dall’art. 12 del GDPR, disponibile agevolmente e senza oneri per gli interessati. In ogni caso il titolare, eventualmente per il tramite di un incaricato, è tenuto a fornire anche solo oralmente un’informativa adeguata.

Alcune risorse di approfondimento

Oltre al link diretto al Provvedimento del Garante dell’8 aprile 2010, riporto di seguito il link alle recenti linee guida del Comitato europeo per la protezione dei dati. Si tratta di un documento che affronta la questione della videosorveglianza in termini generali, quindi non solo in riferimento all’installazione di telecamere in azienda. Può essere utile a chi fosse interessato ad approfondire gli aspetti interpretativi sull’argomento della videosorveglianza nel suo complesso. Purtroppo sono disponibili solo in inglese…

• Provvedimento in materia di videosorveglianza – 8 aprile 2010
• Linea guida n.3/2019 del Comitato europeo per la protezione dei dati (in inglese

Telecamere nella sede aziendale per proteggere il patrimonio dell’impresa e GPS installati sui mezzi per prevenirne il furto, per proteggere il personale che svolge lavori isolati o a rischio rapina, oppure per questioni logistiche. A volte sono i clienti, soprattutto le stazioni appaltanti, a premiare chi ha dotato il proprio parco mezzi di un sistema satellitare. Quindi viene naturale pensare che non serva alcuna autorizzazione dei sistemi di videosorveglianza (impianti audiovisivi) e satellitari. In realtà bisogna verificare una condizione, ossia la presenza o meno di lavoratori in azienda: nel caso sia presente anche un solo lavoratore, per installare telecamere e GPS, il titolare dell’impresa deve ottenere specifica autorizzazione prima della loro installazione.

A chi richiedere l’autorizzazione?

Le strade percorribili sono due.

1. La sottoscrizione di un accordo sindacale. Questa strada è percorribile se sono presenti rappresentanze sindacali aziendali (RSA) o unitarie (RSU), oppure facendo riferimento alle rappresentanze sindacali territoriali (tra le più rappresentative a livello nazionale).
2. La presentazione di una domanda di autorizzazione alla sede territorialmente competente dell’Ispettorato del lavoro, invece, è percorribile nel caso in cui
   – non siano stati eletti RSA o RSU;
   – sia stato sottoscritto un verbale di mancato accordo con le rappresentanze sindacali (anche quelle territoriali) in relazione all’utilizzo dell’impianto di localizzazione satellitare e/o delle apparecchiature di videosorveglianza.

Come funziona l’iter autorizzativo?

Accordo sindacale

L’accordo sindacale altro non è che un documento scritto nel quale vengono dettagliate le condizioni alle quali il titolare dell’impresa e le rappresentanze sindacali hanno convenuto che le attrezzature di videosorveglianza e satellitari potranno essere utilizzate al fine di consentire il raggiungimento degli obiettivi di tutela del patrimonio, di organizzazione logistica o di sicurezza dei lavoratori, senza costituire una possibilità di controllo a distanza dell’attività dei lavoratori e garantendo la tutela dei dati personali.

La tempistica richiesta per giungere all’accordo dipende dalla complessità del sistema da autorizzare e dalla complessità della trattativa.

Dato che l’accordo non è obbligatorio, ossia una delle due parti potrebbe non ritenere accettabili le condizioni imposte dalla controparte, la trattativa potrebbe concludersi senza nulla di fatto, imponendo di procederecon la richiesta di autorizzazione all’Ispettorato del lavoro.

La domanda all’Ispettorato del lavoro

Il titolare dell’impresa deve procedere alla predisposizione di specifica modulistica, scaricabile dal sito dell’Ispettorato Nazionale del Lavoro, che comprende

• modulo d’istanza di autorizzazione all’installazione (a cui bisogna applicare n. 1 marca da bollo da € 16,00);
• autocertificazione di dichiarazione sostitutiva per marca da bollo (a cui bisogna applicare n.2 marche da bollo da € 16,00).

Inoltre l’impresa deve predisporre una relazione di dettaglio che illustri le ragioni dell’installazione e le modalità di funzionamento.

Le tempistiche di rilascio dell’autorizzazione variano a seconda della sede territoriale di riferimento e l’Ispettorato può procedere all’esecuzione di un sopralluogo a sorpresa per verificare quanto dichiarato nella domanda e che la tecnologia non sia già stata installata. La sola installazione e/o la messa in esercizio dei sistemi prima del rilascio dell’autorizzazione comporta infatti l’applicazione delle sanzioni penali previste dall’art. 38 dello Statuto dei lavoratori (L. 300/1970) :

• ammenda da € 154 a € 1.549 o arresto da 15 giorni a 1 anno;
• nei casi più gravi (ex. l’installazione degli impianti a totale insaputa del lavoratore; l’installazione di telecamere fisse che inquadrino esclusivamente l’attività svolta dai lavoratori o i luoghi di pausa o di mensa; l’assenza di esigenze organizzative, produttive, di sicurezza del lavoro e di tutela del patrimonio aziendale che giustifichino l’installazione degli impianti) le pene dell’arresto e dell’ammenda sono applicate congiuntamente;
• quando, per le condizioni economiche del titolare dell’impresa, l’ammenda sopra riportata si presume inefficace anche se applicata nel massimo, il giudice ha facoltà di aumentarla fino al quintuplo.

Perché bisogna richiedere l’autorizzazione?

Perché l’art. 4, comma 1 dello Statuto dei lavoratori prevede che gli impianti audiovisivi o altri strumenti da cui possa derivare “la possibilità di controllo a distanza dell’attività dei lavoratori” possono essere impiegati esclusivamente:

• se rispondono a “esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale“;
• previo accordo sindacale o autorizzazione da parte dell’Ispettorato del lavoro, antecedenti la loro installazione.

Quanto dura l’autorizzazione?

L’art. 4, comma 1 dello Statuto dei lavoratori stabilisce che i provvedimenti autorizzativi sono definitivi, tuttavia la prassi operativa (i modelli autorizzativi dell’Ispettorato del lavoro e la formulazione degli accordi sindacali) prevedono la necessità di dare comunicazione e quindi di richiedere autorizzazione per modifiche rilevanti dei sistemi già autorizzati.

Serve “solo” l’autorizzazione?

Non proprio. Sempre l’art. 4 dello Statuto dei lavoratori, al comma 3, precisa anche che le informazioni raccolte mediante i sistemi di videosorveglianza e satellitari “sono utilizzabili a tutti i fini connessi al rapporto di lavoro a condizione che sia data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196“, quindi, oltre al possesso dell’autorizzazione, il titolare dell’impresa deve essere in grado di dimostrare:

1. di aver adeguatamente informato i lavoratori sul funzionamento dei sistemi installati e sull’esecuzione dei controlli;
2. di trattare i dati raccolti mediante i sistemi di videosorveglianza e satellitari nel rispetto dei requisti di privacy.

Il piano ispettivo del Garante della privacy per il secondo semestre 2019 prevede circa un centinaio di controlli ai soggetti pubblici e privati, con riferimento ad attività specifiche:

• alle banche, in riferimento ai flussi verso l’anagrafe dei conti;
• agli intermediari del servizio di fatturazione elettronica;
• alle società, per attività di marketing;
• agli enti pubblici, con riferimento a banche dati di notevoli dimensioni, per le attività di profilazione e fidelizzazione;
• alle società del food delivery;
• alla sanità privata.

Quattro gli aspetti oggetto di controllo:

1. il periodo di conservazione dei dati;
2. la regolarità di consensi e informative;
3. i trattamenti collegati alla fatturazione elettronica;
4. i dati trasmessi dalle banche all’anagrafe dei conti tenuta dal Fisco.

Consenso e periodo di conservazione dei dati per le attività di marketing: che cosa dice il GDPR?

Al fine di consentire una verifica della compliance in ambito privacy, concentriamoci su

1. consenso;
2. periodo di conservazione dei dati (che spesso induce a errori sostanziali nella modalità e in merito alla necessità).

Il consenso per le attività di marketing

Marketing diretto (in assenza di intermediari)

• La tutela dei dati personali degli utenti è rappresentata dal consenso che non può essere mai proposto con caselle già contrassegnate e non può costituire condizione legata all’ottenimento del servizio principale.
• Non è lecito ricorrere a dati estratti da registri pubblici, elenchi, siti web, atti o documenti pubblici.
• L’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei suoi dati a fini di marketing, pur avendo originariamente manifestato il consenso.
• Non è necessario chiedere consensi distinti per ogni canale comunicativo; un consenso rilasciato per l’invio di mail, sms, mms, telefonate automatizzate, copre anche quello per altre forme di comunicazione (ex. posta cartacea, telefonate tramite operatore).
• Il non consenso, quando proposto in modo unico, non permetterà al titolare di inviare alcuna comunicazione.
• Il GDPR prevede che, se il trattamento è basato sui legittimi interessi, non occorre il consenso. Significa che i legittimi interessi del titolare del trattamento possono rendere lecito il trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.

Esempio 1 – Quando esiste una relazione pertinente e appropriata tra l’interessato e il titolare del trattamento: l’interessato è alle dipendenze del titolare del trattamento.

Esempio 2 – Quando si è in presenza di un cliente acquisito, si può far leva sul “bilanciamento degli interessi” e quindi la base giuridica può consistere nei legittimi interessi del titolare evitando il consenso, purché si rispettino i seguenti requisiti dimostrabili al Garante   

• la trasmissione del messaggio avviene per posta elettronica (non sono ammesse comunicazioni telefoniche);
• la mail deve essere quella indicata nel contesto della vendita di un prodotto o servizio;
• i messaggi devono essere inviati a fini di vendita diretta di prodotti e/o servizi forniti dal titolare, mai da terzi;
• il prodotto o il servizio devono essere analoghi a quelli già acquistati dall’interessato;
• il destinatario non deve aver rifiutato all’inizio o nel corso di ulteriori comunicazioni tale invio di comunicazioni promozionali;
• il destinatario deve avere la possibilità di opporsi al trattamento dei dati in ogni momento, gratuitamente e in maniera semplice.

Marketing indiretto

L’identificazione dell’utente può avvenire solo previo consenso manifestato sulla base di una informativa che espliciti tale finalità.

Il termine di conservazione dei dati

Il Regolamento stabilisce che i dati devono essere “conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici”.

L’articolo 13 del GDPR prevede che il titolare del trattamento debba informare gli interessati circa il periodo di conservazione dei dati personali e, se ciò non è possibile, almeno dei “criteri utilizzati per determinare tale periodo”.

Il tempo di conservazione in taluni trattamenti è preciso (per esempio se legato a obblighi contrattuali, normative, la garanzia del prodotto, termini di prescrizioni per far fronte a futuri contenziosi). In caso contrario viene stabilito direttamente dal titolare e talvolta non è di facile individuazione, in quanto non è immediato valutare la proporzionalità rispetto alla finalità del trattamento come richiesto dal GDPR. In ogni caso un tempo di conservazione illimitato non è mai consentito.

Una volta terminato tale periodo il dato va cancellato (da tutti i supporti, compresi i backup) oppure, in alternativa, anonimizzato.