The Italian Privacy Authority Provides Clarification On Video Surveillance

  • Posted By Pierangela Rodilosso
  • |
  • 14 January 2021
  • |
  • 0 comments
The Italian Privacy Authority Provides Clarification On Video Surveillance

Sharing is caring!

On 5 December 2020, the Italian Privacy Authority (hereinafter only the “Authority”) has published answers to the most frequently asked questions on video surveillance and personal data protection. The clarifications have been provided considering the new provisions introduced by Regulation (EU) 2016/679 (hereinafter the “Regulation” or the “GDPR”). The most significant topics addressed by the Authority are summarised below.

First of all, the Authority has specified that the installation of video surveillance systems must comply with the rules on the protection of personal data and – with regard to the choice of filming methods and the location of the cameras and the management of the various processing stages – with the principles of minimisation, relevance and non-excessiveness. Moreover, the collection of images must be carried out in compliance with the current civil and criminal legislation on unlawful interference in private life, or on the remote control of workers. The installation of video cameras does not require any authorisation from the Authority, since all the necessary assessments for filming are the responsibility of the data controller, in accordance with the principle of accountability established by the Regulation.

The persons concerned must always be informed, before entering the supervised area and irrespective of the occasion on which the filming takes place and of the type of subject processing the data, about the filming of the images by means of the information notice pursuant to Article 13 of the Regulation, which may be provided by means of a simplified model or a simple sign, containing a reference to a full text containing all the elements provided for by the aforementioned Article 13.

With regard to the storage time of the recorded data, the Authority has reiterated that, unless expressly provided for by law, the data controller must not store the images beyond the time necessary for the purposes of acquisition, taking into account the context, the purposes of processing and the risk for the rights and freedoms of natural persons, and always in compliance with the principle of accountability referred to above. Usually, legitimate purposes of retrieval are security or asset protection. In such a case, data retention should be limited to a few days; however, its extension could be justified by a specific request of the judicial authority or the judicial police.

Moreover, the Authority has dwelt on the subject of the prior impact assessment that data controllers must carry out pursuant to Articles 35 and 36 of the Regulation, taking into account the indications provided by the Authority. By way of example, it is required in the event that data processing is carried out through the use of new technologies or in the event of large-scale surveillance of an area accessible to the public.

In general, the Authority admits the possibility of installing video cameras in workplaces, after informing workers, for organisational and production needs, for work safety and for the protection of company assets. As regards, instead, the installation of video surveillance systems for the purpose of monitoring private property, it is considered admissible, provided that the camera angle is limited to the spaces of one’s own exclusive use. In condominiums, the installation of such systems may take place with the consent of the majority of the thousandths of those present at the meeting, while in domestic spaces the installation of smart cams is only permitted for personal control and security purposes, after informing any employees or collaborators present, avoiding the filming of certain areas (such as bathrooms) and using appropriate security measures.

The Authority has also clarified that the installation by municipalities of video cameras to monitor landfills of hazardous substances and ‘eco-plots’ is only permissible in the absence of alternative means of control, in compliance with the principle of data minimisation and subject to the posting of appropriate information signs.

Moreover, the Authority has considered lawful the filming of images aimed at processing special categories of data where one of the exceptions provided for in Article 9 of the Regulation is applicable and, in general, suggested that data controllers should minimise the risk of filming images revealing sensitive data, regardless of the purpose of the processing, paying particular attention to the principle of minimisation.

The Authority has also clarified the electronic systems for detecting traffic violations, requiring that they be indicated by means of a sign/information and limiting their lawfulness solely to the collection of data that are relevant and not excessive in relation to the purposes of the processing.

Lastly, the Authority has specified the cases of video surveillance in which the application of the legislation on the protection of personal data is excluded. In particular, this is the case:

  • when it is not possible to identify persons, either directly or indirectly, such as in the case of filming at high altitude (e.g. by drones);
  • in the presence of false or switched-off cameras;
  • in the case of video cameras integrated into a car to assist the driver when parking, provided that they do not record data such as number plates or information capable of identifying passers-by.

****

IL GARANTE FORNISCE CHIARIMENTI SULLA VIDEOSORVEGLIANZA

 

Il 5 dicembre 2020 il Garante per la protezione dei dati personali (di seguito solo il “Garante” o l’”Autorità”) ha pubblicato le risposte alle domande più ricorrenti in tema di videosorveglianza e protezione dei dati personali. I chiarimenti sono stati forniti tenuto conto delle nuove previsioni introdotte dal Regolamento (UE) 2016/679 (di seguito il “Regolamento” o il “GDPR”). Di seguito, si riassumono gli argomenti più significativi affrontati dall’Autorità.

In primo luogo, il Garante ha precisato che l’installazione di sistemi di videosorveglianza deve avvenire nel rispetto della disciplina in materia di protezione dei dati personali e – quanto alla scelta delle modalità di ripresa e dislocazione delle telecamere ed alla gestione delle varie fasi del trattamento – in ossequio ai principi di minimizzazione, pertinenza e non eccedenza. La rilevazione delle immagini deve, inoltre, essere effettuata nel rispetto delle vigenti norme dell’ordinamento civile e penale in materia di interferenze illecite nella vita privata, o in materia di controllo a distanza dei lavoratori.

L’installazione delle telecamere non necessita di alcuna autorizzazione da parte del Garante, in quanto tutte le necessarie valutazioni per effettuare le riprese spettano al titolare del trattamento, nel rispetto del principio di responsabilizzazione stabilito dal Regolamento.Gli interessati devono essere sempre messi a conoscenza, prima di accedere alla zona sorvegliata e a prescindere dall’occasione in cui avviene la ripresa e dalla tipologia del soggetto che tratta i dati, in merito alla ripresa delle immagini attraverso l’informativa ex art. 13 del Regolamento, che può essere fornita attraverso un modello semplificato o un semplice cartello, contenente il rinvio a un testo completo di tutti gli elementi previsti dall’art. 13 sopra citato.

Quanto ai tempi di conservazione dei dati registrati, il Garante ha ribadito che, salvo espresse previsioni di legge, il titolare del trattamento non deve conservare le immagini oltre i tempi necessari per le finalità di acquisizione, tenuto conto del contesto, delle finalità del trattamento e del rischio per i diritti e le libertà delle persone fisiche e sempre nel rispetto del principio di responsabilizzazione sopra richiamato. Di solito, finalità legittime della ripresa sono la sicurezza o la protezione del patrimonio. In tal caso, la conservazione dei dati dovrebbe essere limitata a pochi giorni; tuttavia, il prolungamento della stessa potrebbe essere giustificato da una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria.

Inoltre, il Garante si è soffermato sul tema della valutazione d’impatto preventiva che i titolari del trattamento dovranno svolgere ai sensi degli artt. 35 e 36 del Regolamento, tenendo conto delle indicazioni fornite dall’Autorità. A titolo di esempio, essa è richiesta nel caso in cui il trattamento dei dati avviene attraverso l’uso di nuove tecnologie o in caso di sorveglianza su larga scala di una zona accessibile al pubblico.

In generale, il Garante ammette la possibilità di installare le telecamere nei luoghi di lavoro, previa informazione dei lavoratori, per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale. Quanto, invece, all’installazione di sistemi di videosorveglianza per fini di monitoraggio della proprietà privata, si ritiene ammissibile, purché l’angolo di ripresa sia limitato ai soli spazi di propria esclusiva pertinenza. Nei luoghi condominiali, l’installazione di tali sistemi può avvenire previo consenso della maggioranza dei millesimi dei presenti all’assemblea, mentre negli spazi domestici l’installazione delle c.d. smart cam è ammessa unicamente per finalità personali di controllo e sicurezza, previa informativa dei dipendenti o collaboratori eventualmente presenti, evitando la ripresa di determinati ambienti (quali ad esempio i bagni) ed utilizzando adeguate misure di sicurezza.

L’Autorità ha, altresì, chiarito che l’installazione, da parte dei Comuni, di telecamere volte al controllo di discariche di sostanze pericolose ed “eco piazzole” è ammissibile solo in assenza di strumenti alternativi di controllo, nel rispetto del principio di minimizzazione dei dati e previa affissione di appositi cartelli informativi.

Inoltre, il Garante ha ritenuto lecite le riprese volte a trattare categorie particolari di dati nel caso in cui risulti applicabile una delle eccezioni previste dall’art. 9 del Regolamento e, in via generale, ha suggerito ai titolari del trattamento di ridurre al minimo il rischio di riprendere immagini che rivelino dati sensibili, indipendentemente dalla finalità del trattamento, dovendosi prestare, in tal caso, particolare attenzione al principio di minimizzazione.

L’Autorità ha dedicato una precisazione anche ai sistemi elettronici di rilevamento delle infrazioni del Codice della Strada, prescrivendone la segnalazione tramite cartello/informativa e delimitandone la liceità unicamente alla raccolta di dati pertinenti e non eccedenti rispetto alle finalità del trattamento.

Da ultimo, il Garante ha specificato i casi di videosorveglianza in cui è esclusa l’applicazione della normativa in materia di protezione dei dati personali. In particolare, ciò avviene:

  • quando non è possibile identificare le persone, direttamente o indirettamente come, ad esempio, in caso di ripresa ad alta quota (ad esempio per mezzo di droni);
  • in presenza di fotocamere false o spente;
  • nei casi di videocamere integrate in un’automobile per assistere il conducente durante il parcheggio, sempre che non riprendano dati quali targhe o informazioni idonee ad identificare i passanti.

Leave a Comment

shares