Dal momento che una gestione non corretta della videosorveglianza può costare cara ad un datore di lavoro comportando un intervento sanzionatorio da parte del Garante Privacy, avevamo già richiamato l’attenzione su alcuni aspetti da dover considerare in considerazione delle sinergie e dei punti di contatto fra normativa in materia di lavoro e di protezione dei dati personali.
Andando ad approfondire nello specifico la compliance GDPR, l’EDPB ha tracciato le Linee guida n. 3/2019 che rimangono un punto di riferimento ineliminabile per comprendere il perimetro degli obblighi che gravano sulle organizzazioni che fanno ricorso alla videosorveglianza.
Per quanto riguarda il fondamento di liceità dell’attività svolta, la base giuridica va ricercata in via generale nell’art. 6 GDPR salvo non vi sia una raccolta di informazioni per cui i dati raccolti appartengono a categorie particolari o altrimenti richiedono specifiche cautele. In queste ultime ipotesi, il principio di minimizzazione assume un rilievo come presidio per prevenire la raccolta – anche indiretta – di informazioni di carattere sensibile (incluse quelle che esulano dal novero dell’art. 9.1 GDPR).
Qualora il titolare del trattamento sia obbligato da una norma all’installazione dei sistemi, non può che ricorrere la base giuridica di cui all’art. 6.1 lett. c) GDPR, tenendo sempre conto che non esime dal dover rispettare gli ulteriori obblighi normativi ivi incluso il dover ricorrere ad un accordo sindacale o autorizzazione ITL qualora vi siano dei lavoratori. Nel caso in cui il titolare svolga mediante l’attività di videosorveglianza un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ricorre l’art. 6.1 lett. e) GDPR dovendo tenere conto delle precisazioni di cui all’art. 2-ter Cod. Privacy. In particolare, l’aspetto dell’individuazione della finalità svolto direttamente dall’amministrazione o dalla società a controllo pubblico in coerenza al compito svolto o al potere esercitato, va svolto “assicurando adeguata pubblicità all’identità del titolare del trattamento, alle finalità del trattamento e fornendo ogni altra informazione necessaria ad assicurare un trattamento corretto e trasparente con riguardo ai soggetti interessati e ai loro diritti di ottenere conferma e comunicazione di un trattamento di dati personali che li riguardano”.
Il consenso, invece, è base giuridica assolutamente eccezionale nell’ambito della videosorveglianza dovendo comunque rispettare tutti i requisiti previsti dall’art. 7 GDPR (libero, specifico, informato, inequivocabile) dal momento che ad esempio l’ingresso in un’area monitorata non costituisce un’azione positiva inequivocabile, e la natura stessa dell’attività di trattamento svolta riguarda un numero di interessati indeterminato per cui occorrerebbe l’unanimità circa la sussistenza di un consenso valido già preventivamente e per tutta la durata del trattamento e della conservazione delle immagini.
Il legittimo interesse è la base giuridica maggiormente ricorrente per i sistemi di videosorveglianza, per cui è bene ricordare l’inapplicabilità alle autorità pubbliche nell’esecuzione dei propri compiti e, soprattutto, l’adeguata valutazione comprovante la sua sussistenza affinché possa essere validamente invocata dal titolare del trattamento (anche qui, in contesto lavorativo subentra l’ulteriore requisito posto dall’art. 4.1 Statuto dei Lavoratori). Inoltre, fare riferimento alle ragionevoli aspettative dell’interessato è il criterio di filtro da dover applicare per la verifica di liceità e per la valutazione circa l’esito dell’esercizio del diritto di opposizione.
