Violazioni del GDPR nella videosorveglianza: cosa succede in caso di errori
La videosorveglianza fa parte dello standard dei moderni concetti di sicurezza. Le aziende proteggono così edifici, impianti di produzione, aree di stoccaggio o locali di vendita da furto, vandalismo e sabotaggio. Tuttavia la pressione normativa cresce: i gestori devono garantire che la loro sorveglianza con telecamere sia conforme ai requisiti del Regolamento generale sulla protezione dei dati (GDPR) e del Bundesdatenschutzgesetz (BDSG). Errori nella progettazione, nell'installazione o nell'esercizio possono causare non solo reclami e danni d'immagine, ma anche sanzioni pecuniarie considerevoli.
Proprio nella sorveglianza con telecamere in Germania nasce spesso un conflitto tra interesse alla sicurezza e diritti della personalità. Ogni registrazione video di dati personali interviene infatti potenzialmente nei diritti degli interessati.
Basi giuridiche: quando è consentita la videosorveglianza?
In linea di principio, nel diritto della protezione dei dati vige il «divieto con riserva di autorizzazione». Il trattamento di dati personali è in un primo momento vietato, se non sussiste una base giuridica. Non appena le persone sono identificabili nelle riprese, ad esempio tramite volto, abbigliamento o targa del veicolo, si tratta di dati personali.
Nella pratica i gestori basano la loro videosorveglianza per lo più su:
- Art. 6 par. 1 lett. f GDPR («legittimo interesse»)
- § 4 BDSG per i locali accessibili al pubblico
- in singoli casi su consensi ai sensi dell'art. 6 par. 1 lett. a GDPR
La base più importante per i gestori commerciali è l'art. 6 par. 1 lett. f GDPR. In base a esso un trattamento è ammissibile se è necessario per la tutela di legittimi interessi e non vi si oppongono interessi prevalenti delle persone interessate.
Tipici legittimi interessi
- Protezione da effrazione e furto
- Esercizio del diritto del titolare sui propri locali
- Tutela dei dipendenti
- Raccolta di prove in caso di reati
- Messa in sicurezza di infrastrutture critiche
Obblighi dei gestori: che cosa occorre osservare?
I gestori non devono soltanto dimostrare una base giuridica ammissibile, ma anche adempiere ad ampi obblighi di informazione, documentazione e protezione. Molte violazioni del GDPR non nascono dalla telecamera in sé, bensì dalla mancanza di trasparenza o da processi organizzativi carenti.
Obblighi di trasparenza ai sensi degli artt. 12 e 13 GDPR
Gli interessati devono poter riconoscere già prima di accedere all'area sorvegliata che è in atto una videosorveglianza. Tra le informazioni obbligatorie rientrano in particolare:
- Titolare del trattamento: nome e dati di contatto dell'azienda
- Finalità della sorveglianza: indicazione concreta come «prevenzione dei furti» o «protezione dal vandalismo»
- Base giuridica: di norma art. 6 par. 1 lett. f GDPR oppure § 4 BDSG
- Durata di conservazione: ad esempio «conservazione per 72 ore» oppure «cancellazione automatica dopo tre giorni»
- Diritti degli interessati: diritto di accesso, diritto di cancellazione, diritto di opposizione
Cartelli informativi: indicazioni obbligatorie per i gestori
Il classico cartello con il simbolo della telecamera resta un elemento centrale di una videosorveglianza conforme al GDPR. Deve essere collocato in modo tale che le persone riconoscano la sorveglianza prima di accedere all'area sorvegliata.
Le tipiche indicazioni obbligatorie su un cartello informativo conforme al GDPR sono:
- simbolo della telecamera ben riconoscibile
- nome del titolare del trattamento
- finalità concreta della sorveglianza
- dati di contatto
- rinvio a informazioni dettagliate sulla protezione dei dati
Molte aziende puntano inoltre su codici QR o URL brevi, attraverso i quali gli interessati possono consultare l'informativa completa sulla protezione dei dati.
Tempi di conservazione e requisiti tecnici
Il GDPR prescrive all'articolo 5 par. 1 lett. e il principio della limitazione della conservazione. I dati personali possono essere conservati solo per il tempo necessario alla rispettiva finalità. Nella pratica, tempi di conservazione da 48 a 72 ore valgono spesso come valore orientativo. Non esiste tuttavia un termine di legge rigido.
Tempi di conservazione più lunghi devono essere motivati in modo comprensibile, ad esempio con regolamentazioni per i fine settimana, giorni festivi o particolari rischi per la sicurezza. È importante una routine di cancellazione documentata con sovrascritture automatiche o concetti di cancellazione definiti.
Dove possono essere installate le telecamere?
Non ogni area può essere sorvegliata. La videosorveglianza è di regola inammissibile in servizi igienici, spogliatoi, sale pausa o zone di riposo e di sonno. Qui prevalgono quasi sempre i diritti della personalità degli interessati.
Nelle aree d'ingresso, nei parcheggi multipiano o nelle superfici di vendita la videosorveglianza è in linea di principio possibile, purché sia necessaria e avvenga in modo trasparente. Le telecamere possono riprendere soltanto l'area effettivamente necessaria.
Particolarità delle bodycam
Le bodycam vengono impiegate sempre più spesso in ambiti diversi. La Deutsche Bahn impiega bodycam per il personale di bordo e per gli addetti alla sicurezza, al fine di proteggere i collaboratori in situazioni conflittuali. Le telecamere vengono di norma attivate solo in presenza di un motivo specifico.
Anche in ambito sanitario le bodycam vengono sperimentate: il Klinikum Dortmund testa ad esempio il loro impiego nei pronto soccorso per proteggere i collaboratori da aggressioni. L'utilizzo è volontario e viene attivato solo in situazioni di conflitto concrete, non durante i trattamenti o i colloqui riservati.
Dal punto di vista giuridico l'impiego da parte di servizi di sicurezza privati e in molti ambiti civili si basa sulle prescrizioni del GDPR e del BDSG. Come base giuridica viene spesso in considerazione l'art. 6 par. 1 lett. f GDPR (legittimo interesse), che è però soggetto a requisiti severi di proporzionalità, limitazione della finalità e trasparenza.
Consigli pratici per un'attuazione conforme al GDPR
Per una videosorveglianza giuridicamente sicura i gestori dovrebbero osservare i seguenti passaggi:
- Documentare il bilanciamento degli interessi: la sorveglianza è davvero necessaria? Esistono strumenti meno invasivi?
- Modello informativo a due livelli: cartello informativo compatto in loco e informativa dettagliata sulla protezione dei dati tramite codice QR
- Routine di cancellazione automatiche: implementare concetti di cancellazione definiti
- Utilizzare le funzioni di privacy: impiegare privacy masking o funzioni di oscuramento
- Tenere la documentazione: mantenere aggiornato il registro delle attività di trattamento
Prospettive: requisiti di compliance in crescita
La pressione normativa sui gestori di impianti di videosorveglianza aumenta costantemente. Le autorità per la protezione dei dati verificano sempre più attentamente se i processi sono stati documentati in modo comprensibile. In determinati casi diventa necessaria una valutazione d'impatto sulla protezione dei dati (DPIA), in particolare in caso di sorveglianza su larga scala di aree accessibili al pubblico o di videoanalisi intelligente.
Le aziende dovrebbero pertanto avvalersi tempestivamente di una consulenza legale e verificare regolarmente la conformità al GDPR dei propri concetti di videosorveglianza. Una pianificazione accurata evita costosi adeguamenti successivi e sanzioni.
