GDPR: installazione impianti di videosorveglianza in aziend

Il datore di lavoro che intende installare all’interno della propria azienda un impianto di videosorveglianza è tenuto, qualora non sia presente un accordo o in assenza di RSA (Rappresentanza Sindacale Aziendale)/RSU (Rappresentanza Sindacale Unitari), a richiedere l’autorizzazione alla sede territoriale dell’Ispettorato Nazionale del Lavoro.

In Italia, l’installazione degli impianti di videosorveglianza all’interno dei luoghi di lavoro e le relative procedure di trattamento dei dati è disciplinato da molteplici fonti, nello specifico dallo Statuto dei Lavoratori, dalle circolari dell’Ispettorato Nazionale del Lavoro, dal GDPR (General Data Protection Regulation), dal Codice Privacy, dalle Linee guida 3/2019 e dal Provvedimento 8 aprile 2010 del Garante per la Protezione dei dati personali.

L’articolo 4 dello Statuto dei Lavoratori prevede che l’installazione di questo tipo di impianti, dai quali sia presente un’inevitabile possibilità di controllo a distanza dei lavoratori, è lecita esclusivamente per far fronte a tre esigenze aziendali:

• Sicurezza del lavoro;
• Tutela del patrimonio aziendale;
• Esigenze organizzative e produttive.

Le riprese possono essere conservate di norma per un massimo di 24 ore, ma in alcuni casi specifici è ammesso il prolungamento dei tempi fino a 7 giorni.

Quale documentazione presentare

Per ricevere l’autorizzazione all’installazione di impianti audiovisivi è necessario fare richiesta, presentando la seguente documentazione presso l’Ispettorato Nazionale del Lavoro territoriale:

• Modulo di istanza di autorizzazione all’installazione di impianti audiovisivi;
• Relazione recante la modalità di funzionamento del sistema di videosorveglianza;
• In caso di presentazione telematica, la dichiarazione sostitutiva per marca da bollo.

Se il sistema deve essere installato in almeno due unità produttive ubicate in province diverse, possono essere presentate tante istanze quante sono le sedi ai diversi Ispettorati del lavoro territorialmente competenti, oppure può essere presentata un’unica istanza all’Ispettorato Nazionale del Lavoro.

Modifiche da inserire nel manuale operativo privacy

Ottenere l’autorizzazione non basta. Tutte le aziende, di qualsiasi settore e dimensione, sono tenute ad aggiornare la propria documentazione privacy.

Il titolare o il responsabile del trattamento è tenuto a segnalare per iscritto, attraverso la redazione di uno specifico registro delle attività di trattamento all’interno del Manuale Operativo Privacy, tutte le persone autorizzate ad accedere ai locali in cui sono situate le postazioni di controllo, ad utilizzare gli impianti e, nel caso in cui si presentasse l’esigenza, a visionare le immagini.

Il registro delle attività di trattamento inerente alla videosorveglianza deve indicare:

• Le finalità di trattamento;
• Una descrizione delle categorie di interessati
• Le categorie di dati personali;
• Se i dati trattati vengono trasferiti verso un paese terzo o un’organizzazione internazionale;
• I termini per la cancellazione (di norma 24 ore);
• Le misure di sicurezza tecniche e organizzative adottate.

Una volta ottenuta l’autorizzazione vigerà l’obbligo di apporre cartelli per informare gli interessati della presenza di una zona videosorvegliata.

Quando è prevista la valutazione d’impatto preventiva?

La valutazione d’impatto preventiva è prevista se il trattamento, quando preveda in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per le persone fisiche (artt. 35 e 36 del Regolamento).

Può essere il caso, ad esempio, dei sistemi integrati – sia pubblici che privati – che collegano telecamere tra soggetti diversi nonché dei sistemi intelligenti, capaci di analizzare le immagini ed elaborarle, ad esempio al fine di rilevare automaticamente comportamenti o eventi anomali, segnalarli, ed eventualmente registrarli. La valutazione d’impatto sulla protezione dei dati è sempre richiesta, in particolare, in caso di sorveglianza sistematica su larga scala di una zona accessibile al pubblico (art. 35, par. 3, lett. c) del Regolamento) e negli altri casi indicati dal Garante (cfr. “Elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35, comma 4, del Regolamento (UE) n. 2016/679” dell’11 ottobre 2018).

Sanzioni

L’installazione di impianti audiovisivi senza la sopracitata autorizzazione costituisce reato e il datore di lavoro è soggetto a:

• Sanzione penale (ammenda) che va da € 154,00 a € 1.549,00;
• Arresto da 15 giorni a un anno (art. 38 Legge n. 300/1970), salvo che il fatto non costituisca reato più grave.

Queste si combinano con le sanzioni previste in materia di privacy (GDPR), le quali prevedono:

• Per la violazione degli obblighi, fino a € 10.000,00 o fino al 2% del fatturato mondiale annuo dell’esercizio precedente;
• Per le violazioni dei principi di base del trattamento, comprese le condizioni relative al consento, fino a € 20.000,00 o fino al 4% del fatturato mondiale annuo dell’esercizio precedente;
• Per la violazione dei diritti degli interessati, fino a € 20.000,00 o fino al 4% del fatturato mondiale annuo dell’esercizio precedente.