La videosorveglianza GDPR obbliga ogni titolare del trattamento a rispettare regole precise prima di installare telecamere nei luoghi di lavoro. Infatti, le riprese di lavoratori, clienti o visitatori costituiscono un trattamento di dati personali. Pertanto, negozi, studi professionali e aziende devono adeguarsi al Regolamento UE 2016/679. Tuttavia, molti operatori ignorano gli adempimenti concreti e rischiano sanzioni elevate. In questa guida trovi le regole essenziali per gestire correttamente la videosorveglianza GDPR.
Videosorveglianza GDPR: la base giuridica per installare telecamere
Prima di posizionare una telecamera occorre individuare la base giuridica del trattamento. Inoltre, nei luoghi di lavoro si aggiunge l’obbligo di rispettare l’articolo 4 della Legge 300/1970, lo Statuto dei Lavoratori. Pertanto, il datore di lavoro può installare impianti di videosorveglianza solo per ragioni di sicurezza, tutela del patrimonio aziendale o organizzazione del lavoro. Tuttavia, in questi casi serve un accordo sindacale preventivo oppure un’autorizzazione dell’Ispettorato Nazionale del Lavoro. Di conseguenza, agire senza questi atti espone l’azienda a sanzioni sia penali che amministrative.
Il cartello informativo: obbligo previsto dalla videosorveglianza GDPR
La videosorveglianza GDPR richiede obbligatoriamente la collocazione di cartelli informativi visibili. Infatti, gli interessati devono sapere che si trovano in un’area ripresa. Pertanto, il cartello deve indicare chi gestisce il sistema, le finalità delle riprese e come esercitare i propri diritti. Inoltre, deve essere posizionato prima che si entri nella zona sorvegliata. In questo modo l’interessato può scegliere consapevolmente. Il Garante Privacy ha pubblicato un modello di cartello semplificato a cui è possibile fare riferimento.
Tempi di conservazione delle immagini
Uno degli aspetti più critici della videosorveglianza GDPR riguarda i tempi di conservazione dei filmati. Infatti, le immagini non possono essere conservate a tempo indeterminato. Pertanto, il Garante indica come termine ordinario le 24-48 ore. Tuttavia, alcune attività particolari, come istituti di credito o esercizi commerciali con elevato rischio di rapina, possono conservarle fino a 7 giorni. Di conseguenza, ogni titolare deve formalizzare il periodo di retention nel proprio Registro dei Trattamenti. Successivamente, i filmati devono essere cancellati automaticamente allo scadere del termine.
Videosorveglianza GDPR e accordo sindacale: quando serve
Nei contesti lavorativi la videosorveglianza GDPR si intreccia con la normativa giuslavoristica. Infatti, l’accordo sindacale è necessario quando le telecamere possono controllare anche indirettamente i lavoratori. Pertanto, prima di qualsiasi installazione occorre verificare se i lavoratori rientrino nel campo visivo delle telecamere. Tuttavia, le riprese di aree di accesso pubblico, come ingressi e casse, seguono regole diverse. Allo stesso modo, le telecamere orientate esclusivamente su macchinari o prodotti non richiedono l’accordo sindacale. Di conseguenza, una corretta progettazione dell’impianto riduce gli adempimenti necessari.
La valutazione d’impatto DPIA per i sistemi di videosorveglianza
Per i sistemi di videosorveglianza GDPR a larga scala o con tecnologie avanzate, come il riconoscimento facciale, è obbligatoria la DPIA. Inoltre, anche per impianti che trattano dati di molte persone in luoghi pubblici conviene valutare se la DPIA sia necessaria. Pertanto, il titolare analizza i rischi per i diritti e le libertà degli interessati. In questo modo emergono eventuali criticità prima dell’installazione. Al contrario, avviare il trattamento senza DPIA quando essa è obbligatoria costituisce una violazione diretta del GDPR. Successivamente alla DPIA, si aggiornano anche le misure di sicurezza tecniche e organizzative.
Il Registro dei Trattamenti per la videosorveglianza GDPR
Ogni titolare con più di 250 dipendenti deve obbligatoriamente tenere il Registro dei Trattamenti. Tuttavia, anche le realtà più piccole che trattano dati con rischi elevati devono documentare la videosorveglianza GDPR. Pertanto, il registro deve contenere finalità, categorie di interessati, misure di sicurezza e tempi di conservazione. Inoltre, in caso di ispezione del Garante, il registro rappresenta la prima prova di conformità. In questo modo il titolare dimostra di aver analizzato il trattamento prima di avviarlo. Al contrario, l’assenza del registro espone a sanzioni fino a 10 milioni di euro o al 2% del fatturato globale.
FAQ: videosorveglianza GDPR, le domande più frequenti
Le telecamere nei negozi richiedono il consenso dei clienti?
No. La base giuridica è il legittimo interesse del titolare per la tutela del patrimonio e la sicurezza. Tuttavia, il cartello informativo deve essere presente e visibile prima dell’ingresso. In questo modo si rispetta l’obbligo di trasparenza senza richiedere il consenso preventivo.
Quanto tempo si possono conservare le immagini?
Di solito 24-48 ore. Tuttavia, per alcune attività a rischio elevato il Garante ammette fino a 7 giorni. Pertanto, il periodo deve essere documentato nel Registro dei Trattamenti e nelle informative.
Serve un accordo sindacale per le telecamere in un piccolo negozio senza dipendenti?
No. L’accordo sindacale riguarda solo i contesti in cui sono presenti lavoratori subordinati. Pertanto, un negozio con il solo titolare non ne ha bisogno. Tuttavia, se successivamente si assumono dipendenti, l’obbligo scatta prima dell’installazione.
Il DPO è obbligatorio per chi usa la videosorveglianza GDPR?
Dipende dalla scala del trattamento. Inoltre, se l’attività principale comporta un monitoraggio sistematico su larga scala di persone fisiche, la nomina del DPO è obbligatoria. Pertanto, ogni titolare deve valutare caso per caso in base al proprio contesto.
Cosa rischio se non metto i cartelli informativi?
Il Garante può irrogare sanzioni amministrative significative. Tuttavia, la mancanza di cartelli rileva anche penalmente nei casi di controllo illecito dei lavoratori. Pertanto, è uno degli adempimenti più semplici da rispettare ma anche uno dei più controllati.
Il supporto di MODI S.R.L.
MODI S.R.L. integra documentazione privacy GDPR, sicurezza delle informazioni e Modello 231 in un unico sistema, con un solo piano di audit e formazione.
Corsi e-learning MODI® per formare il personale:
- Corso e-learning sulla privacy (GDPR) per il personale aziendale – corso base, 1 ora
- Corso e-learning sulla privacy (GDPR) per titolari e responsabili autorizzati al trattamento dei dati – corso avanzato, 3 ore
- Corso e-learning cyber security per lavoratori: prevenire gli attacchi informatici – corso base, 1 ora
Per una proposta personalizzata o un incontro conoscitivo con i consulenti MODI S.R.L. (sedi a Mestre e Spinea): compila il modulo di contatto.
Per ricevere una consulenza personalizzata, contattaci al numero verde 800300333. Il catalogo dei corsi in e-learning con relativo programma cliccare qui. Puoi anche scriverci all’indirizzo e-mail modi@modiq.it.
Maggiori informazioni sono disponibili sui siti web:
www.consulenzasicurezzaveneto.it;
www.consulenzaprivacyregolamentoue679.it;
www.consulenzacertificazioneiso37001.it.
A cura di MODI SRL – Società di consulenza e formazione.
Responsabile editoriale: Francesca Quintavalle, referente del servizio Clienti numero verde 800300333.
Risponde alle domande più frequenti sui Sistemi di Gestione per la Sicurezza, Qualità, Ambiente e Privacy. Dal 1998 MODI SRL.
