Accountability e videosorveglianza: la scelta del termine di conservazione delle immagini alla luce delle nuove faq del garante privacy

Le FAQ pubblicate dall’Autorità Garante per la protezione dei dati personali contribuiscono a fare chiarezza sui principi che ciascun titolare del trattamento deve rispettare ai fini dell’accountability in relazione al trattamento di dati personali attraverso un impianto di videosorveglianza.



Le recenti FAQ – domande frequenti – in materia di videosorveglianza pubblicate dall’Autorità Garante per la protezione dei dati personali contengono alcuni spunti utili per dare maggior concretezza al principio cardine del GDPR, cioè l’accountability (responsabilizzazione). In base a tale principio, infatti, non sarà più il Garante privacy a dettare termini massimi di conservazione delle immagini riprese dagli impianti di videosorveglianza, ma tale compito spetterà esclusivamente al titolare del trattamento.

La sfida diventa allora quella di individuare i termini corretti di conservazione dei dati, pena il rischio di sanzioni potenzialmente assai elevate. Per tale ragione è importante raccogliere quanti più elementi utili dalle citate FAQ (disponibili al seguente link e commentate qui), per interpretare correttamente gli elementi di fatto e di diritto sui quali ciascun titolare del trattamento dovrà fondare la scelta della giusta data retention delle immagini, dimostrando così il rispetto del principio di accountability.

Le indicazioni del Garante privacy sui tempi dell’eventuale conservazione delle immagini registrate

In un commento alle nuove FAQ, il Garante ha chiarito che “i termini per la conservazione delle immagini raccolte da dispositivi di videosorveglianza di cui al vecchio provvedimento generale dell'8 aprile 2010 devono, oggi, considerarsi superati dalle decisioni adottate dal titolare del trattamento in attuazione del principio di accountability” e che “spetta al titolare del trattamento individuare i tempi di conservazione delle immagini”.

Ne deriva che oggi il titolare del trattamento non è più tenuto ad osservare il rigido e limitato termine di 24 ore per la conservazione delle immagini, ma è libero di individuare liberamente quella tempistica di conservazione delle immagini che lo stesso ritiene più adeguata alla propria organizzazione “tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche”.

Tuttavia, il superamento di un termine rigido imposto dall’Autorità non determina di per sé la possibilità di conservare le immagini per un lasso di tempo particolarmente lungo (e salvo che specifiche norme di legge non prevedano espressamente determinati tempi di conservazione dei dati): infatti, nella FAQ n. 5, il Garante ricorda che “le immagini registrate non possono essere conservate più a lungo di quanto necessario per le finalità per le quali sono acquisite” e, nella FAQ n. 6, lo stesso riconosce – con carattere di eccezionalità - la possibilità di un prolungamento dei tempi di conservazione delle immagini solo in determinate circostanze.

Al riguardo, nelle citate FAQ, il Garante chiarisce che ai fini della sicurezza e della protezione del patrimonio, le immagini permettono di individuare eventuali danni entro uno o due giorni, per cui i dati personali dovrebbero essere – nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici) – cancellati dopo pochi giorni, fino ad arrivare, nel caso di un piccolo esercizio commerciale, a sole 24 ore.

Come individuare allora dei tempi di conservazione delle immagini più ampi di 24 ore nel rispetto del principio di accountability?

Per quanto sopra, nonostante l’apertura del Garante privacy di cui alle FAQ, la possibilità di individuare un termine sensibilmente più lungo di 24 ore per la conservazione dei dati raccolti da un impianto di videosorveglianza appare un’operazione per nulla semplice ed affatto scontata. E ciò anche in quanto il titolare dovrà assumersi ogni conseguente responsabilità della scelta effettuata.

Infatti, benché il termine delle 24 ore di cui al provvedimento di generale dell'8 aprile 2010 sia ormai da intendersi superato, a ben guardare le indicazioni fornite del Garante sembrerebbero comunque consigliare al titolare una limitata e prudente estensione della retention delle immagini, circostanza che si coglie in particolare dal passaggio della FAQ n. 5 in cui si prevede che “quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione”.

Ne consegue che più il termine di conservazione delle immagini si allontana dalle 24 ore, più lo stesso dovrà essere considerato critico per il titolare, il quale dovrà dunque fondarlo – per provare la sua accountability privacy – su valide e solide giustificazioni. 

E per dimostrare l’esistenza di dette giustificazioni sarà allora opportuno formalizzare (per iscritto, soprattutto attraverso una DPIA) le ragioni della scelta di una certa data retention (particolarmente argomentata con una retention superiore a 72 ore o ancora più estesa), ragioni che dovranno essere approvate dal titolare, previo parere, ove presente, del DPO. 

Tali ragioni dovranno essere concrete, accompagnate da dati, prove, ecc. idonee a dimostrare in maniera più granitica possibile la bontà della scelta effettuata dal titolare, con particolare attenzione al contesto in cui il trattamento viene effettuato (area geografica, caratteristiche della zona/quartiere, ampiezza del perimetro videosorvegliato, ecc.), delle finalità del trattamento (mera tutela del patrimonio oppure anche sicurezza sul lavoro, esigenze organizzative e produttive, con descrizione delle peculiarità delle stesse), nonché del rischio per i diritti e le libertà delle persone fisiche (vi sono lavoratori coinvolti? Ci sono soggetti fragili, malati, minorenni? ecc.), il tutto sempre salva la presenza di eventuali obblighi di legge applicabili al titolare.

Non sarà quindi possibile alcuna estensione dei termini di conservazione delle immagini sul solo presupposto che i termini di cui al provvedimento generale in materia di videosorveglianza emesso dal Garante Privacy in data 8 aprile 2010 possano essere superati da scelte autonome e responsabili dei titolari del trattamento, ma occorrerà una attenta e motivata analisi degli elementi su cui fondare dette scelte.

***

Le FAQ in esame contribuiscono a fare chiarezza sui principi che ciascun titolare del trattamento deve rispettare ai fini dell’accountability in relazione al trattamento di dati personali attraverso un impianto di videosorveglianza. 

Tra questi principi, come si è detto, vi è proprio la corretta individuazione del termine di conservazione delle immagini riprese da tale impianto: il titolare del trattamento dovrà quindi prestare particolare attenzione alle ragioni su cui fondare la sua autonoma scelta circa il termine da adottare in relazione al suo impianto di videosorveglianza, tenendo conto delle peculiarità della sua organizzazione. E proprio su detta scelta sarà valutato dal Garante per la protezione dei dati personali.

Se ti è piaciuto l'articolo condividi: