Videosorveglianze irregolari: Hall of Fail

Nella mia esperienza di verifiche e adeguamenti al GDPR, ho riscontrato molto spesso casi di irregolarità nell'impiego dei sistemi di videosorveglianza(in violazione o dello Statuto dei lavoratori, o del GDPR, o di entrambi.

Dunque, è tempo di redigere il podio della Hall of Fail sperando possa essere di consiglio e accendere qualche lume di ragionevole dubbio circa alcune pratiche un po' poco...GDPReady, e non solo.

1. INSTALLAZIONE ILLECITA. Ovverosia: l'installazione non è stata preceduta da un accordo sindacale o l'autorizzazione dell'Ispettorato del Lavoro territorialmente competente.

Nell'accordo o nell'autorizzazione si compie la ricognizione del legittimo interesse del datore di lavoro di effettuare il trattamento dei dati personali attraverso i sistemi di videosorveglianza, che è lecito
"esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale" (art. 4 comma 1 L. 300/1970)
Tale condizione legittimante l'attività di videosorveglianza deve ricorrere anche se...

  • ...le videocamere sono installate presso il parcheggio aziendale;
  • ...i sistemi si attivano solo con il sistema di allarme e in orario di chiusura;
in quanto rileva il contesto lavorativo e dunque anche gli ambienti prossimi ai luoghi di lavoro (quali gli accessi, i parcheggi, etc.).

Va ricordato che il consenso dei lavoratori non è necessario né tantomeno condizione sufficiente per esonerare da accordo o autorizzazione.

2. INFORMATIVE MANCANTI/INIDONEE. Ovverosia: i cartelli sono mancanti, non riportano informazioni complete, sono mal posizionati o altrimenti manca l'informativa completa.

Occorre ricordare che ai sensi dell'art. 4 comma 3 L. 300/1970 deve comunque essere rispettata la normativa in materia di protezione dei dati personali, e pertanto una corretta e idonea informativa va compilata ai sensi dell'art. 13 GDPR. E' possibile ricorrere ad un'informativa c.d. minima presso i cartelli, che devono essere visibili prima dell'accesso all'area videosorvegliata, la quale però deve riportare il titolare del trattamento e la finalità perseguita: in questo caso deve essere però garantita la presenza di un'informativa completa e facilmente raggiungibile da parte degli interessati (nelle linee guida 3/2019 dell'EDPB viene suggerito l'impiego di un QR code).

L'informativa ai dipendenti deve essere somministrata in modalità idonea, e dunque anche mediante affissione presso la bacheca aziendale.

3. CONSERVAZIONE ILLECITA. Ovverosia: le immagini sono conservate per un periodo eccedente le 24/48 ore o il diverso periodo indicato nell'accordo sindacale o nell'autorizzazione dell'ITL.

Dal momento che anche la conservazione è un'attività di trattamento dei dati, va indicata una base giuridica idonea che, nel caso del legittimo interesse, deve essere valutata con il bilanciamento fra l'interesse del titolare e il rischio per gli interessati. E' possibile convenire un periodo fino a 7 giorni per la conservazione delle immagini, e anche superiore senza più alcuna necessità di esperire una verifica preliminare (in quanto l'istituto è stato abrogato con l'applicazione del GDPR) bensì soltanto una valutazione d'impatto ai sensi dell'art. 35 GDPR (da allegare all'istanza o all'accordo sindacale).

La limitazione della conservazione deve essere garantita mediante misure preferibilmente automatizzate, quali la sovrascrittura.

Commenti