Il nuovo provvedimento in materia di videosorveglianza: chiariti gli obblighi normativi

Transcript

1 Il nuovo provvedimento in materia di videosorveglianza: chiariti gli obblighi normativi Relatore Avv. Valentina Frediani La normativa vigente coinvolta Normativa civile e penale in materia di interferenze illecite nella vita privata Statuto dei Lavoratori Misure di sicurezza nei luoghi pubblici Accessi ai trasporti aerei, via mare, treni, ecc. 1

2 Ribaditi i principi di base Il nuovo testo unico sulla Privacy Il Codice basandosi sul diritto alla protezione dei dati personali, che riconosce a chiunque, raccoglie l intera normativa coordinata ed è entrato in vigore il 1 gennaio Finalità Il Codice garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell interessato con particolare riferimento alla riservatezza, all idendità personale ed al diritto alla protezione dei dati personali. Il tutto deve avvenire secondo principi di armonizzazione, semplificazione ed efficacia delle modalità previste per la tenuta dei dati. Principi di necessità I sistemi di videosorveglianza sono configurati riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o opportune modalità che permettano di identificare l interessato solo in caso di necessità. Gli obiettivi riconosciuti Protezione e incolumità degli individui, ivi ricompresi i profili attinenti alla sicurezza urbana, all ordine e sicurezza pubblica, alla prevenzione, accertamento o repressione dei reati svolti dai soggetti pubblici, alla razionalizzazione e miglioramento dei servizi al pubblico volti anche ad accrescere la sicurezza degli utenti, nel quadro delle competenze ad essi attribuiti dalla legge. Protezione della proprietà Rilevazione, prevenzione e controllo delle infrazioni svolte dai soggetti pubblici, nel quadro delle competenze ad essi attribuiti dalla legge. Acquisizioni di prove 2

3 I soggetti coinvolti Titolare: persona fisica, giuridica, pubblica amministrazione e qualsiasi altro ente, cui competono le decisioni in ordine alle finalità, modalità del trattamento dei dati personali ed agli strumenti utilizzati ivi compreso i profilo della sicurezza. Responsabile: persona fisica o giuridica, pubblica amministrazione e qualsiasi altro ente, associazione o organismo preposti dal titolare del trattamento dei dati personali. Incaricati: persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile. Interessato: persona fisica o giuridica, ente o associazione cui si riferiscono dati personali. Gli obblighi del responsabile Individuare e nominare per iscritto gli incaricati del trattamento, dando loro le idonee istruzioni. Vigilare sul rispetto delle istruzioni impartite agli incaricati. Adottare e rispettare le misure di sicurezza indicate dal titolare del trattamento. Evadere tempestivamente tutte le richieste e gli eventuali reclami degli interessati e le richieste di informazioni da parte dell Autorità Garante. Interagire con i soggetti incaricati di eventuali verifiche, controlli o ispezioni. Comunicare al titolare nuovi trattamenti da intraprendere e distruggere i dati personali in caso di cessazione del trattamento degli stessi. 3

4 Gli obblighi dell incaricato Trattare tutti i dati personali di cui vengono a conoscenza nell ambito dello svolgimento delle funzioni in modo lecito e secondo correttezza. Effettuare la raccolta, l elaborazione, la registrazione di dati personali esclusivamente per lo svolgimento delle proprie mansioni. Non estrapolare immagini senza espressa autorizzazione. Non asportare supporti informatici contenenti immagini senza autorizzazione del titolare. Il supporto breve Deve essere collocato prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti; Deve avere un formato ed un posizionamento tale da essere chiaramente visibile in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno; Può inglobare un simbolo o una stilizzazione di esplicita immediata comprensione, eventualmente diversificati al fine di informare se le immagini sono solo visionate o anche registrate. 4

5 AREA VIDEOSORVEGLIATA La ripresa è effettuata da..per fini di sicurezza Ai sensi dell art.13 del Codice in materia di protezione dei dati personali, l informativa è visionabile sul sito web alla pagina.. Le registrazioni vengono conservate per.. (d.lgs. 196/2003) Formalizzato dal Garante l obbligo di informativa estesa Il Garante ritiene auspicabile che l informativa, resa in forma semplificata avvalendosi del predetto modello, poi rinvii a un testo completo contenente tutti li elementi di cui all art. 13, comma 1, del Codice, disponibile agevolmente senza oneri per gli interessati, con modalità facilmente accessibili anche con strumenti informatici e telematici (in particolare, tramite reti Intranet o siti Internet, affissioni in bacheche o locali, avvisi e cartelli agli sportelli per gli utenti, messaggi preregistrati disponibili digitando un numero telefonico gratuito). In ogni caso il titolare, anche per il tramite di un incaricato, ove richiesto è tenuto a fornire anche oralmente un informativa adeguata, contenente gli elementi individuati dall art. 13 del Codice. 5

6 L informativa completa L informativa è l insieme delle informazioni che il titolare del trattamento deve rilasciare ai soggetti di cui tratta i dati. L informativa deve contenere una serie di informazioni tra cui: Indicazione del titolare e dell eventuale responsabile nominato Diritti esercitabili dall interessato Indicazione delle finalità e modalità di trattamento dei dati Indicazione di eventuali operazioni di comunicazione a terzi o diffusione dei dati Indicazione delle modalità mediante cui esercitare i diritti da parte dell interessato Eccezioni al rilascio L informativa può non essere resa quando i dati personali sono trattati per il perseguimento delle finalità di tutela dell ordine e della sicurezza pubblica, prevenzione, accertamento e repressione dei reati; Il trattamento deve comunque essere effettuato in base ad espressa disposizione di legge che lo preveda specificatamente. 6

7 Misure di sicurezza e scopi Le strutture sono obbligate ad adottare nel trattamento dei dati personali tutte le misure necessarie affinchè non si producano danni agli interessati che possono derivare: Dalla distruzione o dalla perdita dei dati Dall accesso non autorizzato alle immagini da parte di terzi che ne vengono così a conoscenza Dall effettuazione di un trattamento al di fuori dei casi stabiliti dalla legge o con modalità che questa non consente. Misure minime comuni CONFIGURAZIONE DI DIVERSI LIVELLI DI VISUALIZZAZIONE PERIODO DI CONSERVAZIONE: devono essere predisposte misure tecniche od organizzative per la cancellazione, anche in forma automatica, delle registrazioni allo scadere del termine previsto. INTERVENTI DI MANUTENZIONE: i soggetti preposti alle predette operazioni possono accedere alle immagini solo se ciò si renda indispensabile al fine di effettuare eventuali verifiche tecniche ed in presenza dei soggetti dotati di credenziali di autenticazione abilitanti alla visione delle immagini. UTILIZZO APPARATI DIGITALI CONNESSI A RETI INFORMATICHE: gli apparati medesimi devono essere protetti contro i rischi di accesso abusivo di cui all art. 615 ter del Codice Penale. CONNESSIONI WIRELESS: protezione con applicazione di tecniche crittografiche che ne garantiscano la riservatezza. 7

8 Amministratore di Sistema IN GENERALE: Figure professionali finalizzate alla gestione e manutenzione di un impianto di elaborazione o di sue componenti (Considerazioni preliminari al documento) MA ANCHE: Amministratori di basi di dati Amministratori di reti e di sicurezza Amministratori di sistemi software complessi Attività ulteriori Le attività svolte dall amministratore di sistema possono comportare elevate criticità rispetto alla protezione dei dati, anche quando queste informazioni non sono in chiaro. Si pensi: Back/up Recovery Organizzazione flussi di rete Gestione supporti di salvataggio Manutenzione hardware RILEVA IL RAPPORTO FIDUCIARIO CON IL TITOLARE 8

9 Caratteristiche soggettive Le attribuzioni delle funzioni di amministratore di sistema deve avvenire previa valutazione dell esperienza, della capacità e affidabilità del soggetto designato (Titolare). Il soggetto nominato deve offrire garanzie circa il trattamento dei dati e dei profili relativi alla sicurezza (Amministratore di Sistema). C è un esplicito richiamo alla nomina del responsabile (contenuti sostanziali). Formalizzazione nomina L atto di nomina deve avvenire per iscritto e deve includere analiticamente gli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato. I nomi degli amministratori di sistema con le relative funzioni assegnate, devono essere inseriti nel DPS, per chi ha l obbligo oppure in un documento interno aggiornato da esibire in caso di richiesta anche da parte del garante. Se le operazioni riguardano anche dati personali dei lavoratori, è portata a conoscenza degli stessi l identità degli amministratori e dei servizi informatici cui sono preposti (inserimento in informativa). 9

10 Verifica periodica attività Almeno una volta l anno, il titolare del trattamento deve verificare l operato degli amministratori di sistema in modo da controllare la sua rispondenza alle misure: ORGANIZZATIVE TECNICHE SICUREZZA Registrazione accessi L amministratore di sistema deve adottare sistemi di registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici. Le registrazioni devono avere le caratteristiche di completezza, inalterbilità e possibilità di verifica della loro integrità. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell evento che le ha generate. Devono essere conservate per un periodo non inferiore a 6 mesi. 10

11 Durata della conservazione delle immagini La conservazione massimo 24 ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura di uffici o esercizi. Solo in alcuni casi, per peculiari esigenze tecniche (mezzi di trasporto) o per a particolare rischiosità dell attività svolta dal titolare del trattamento (ad esempio, per alcuni luoghi come le banche può risultare giustificata l esigenza d identificare gli autori di un sopralluogo nei giorni precedenti una rapina), si ammette termine ampio non comunque superiore a 7 gg. Per i comuni e nelle sole ipotesi in cui l attività di videosorveglianza sia finalizzata alla tutela della sicurezza urbana, alla luce delle recenti disposizioni il termine massimo di durata della conservazione dei dati è limitato ai 7 giorni successivi alla rilevazione delle informazioni e delle immagini raccolte mediante l uso di sistemi di videosorveglianza, fatte salve speciali esigenze di ulteriore conservazione. Casistiche analizzate dal provvedimento RAPPORTI DI LAVORO OSPEDALI E LUOGHI DI CURA ISTITUTI SCOLASTICI SICUREZZA NEL TRASPORTO PUBBLICO UTILIZZO WEB-CAM PER SCOPI PROMOZIONALI E TUISTICI SICUREZZA URBANA DEPOSITO RIFIUTI RILEVAZIONI INFRAZIONI CODICE DELLA STRADA TRATTAMENTO IMMAGINI PER FINI ESCLUSIVAMENTE PERSONALI 11

12 Sanzioni e responsabilità penali CONSEGUENZE IN CASO DI MANCATO RISPETTO DELLA NORMATIVA PRIVACY Sanzioni amministrative Responsabilità di tipo penale Art. 161: omessa o inidonea informativa all interessato VERSIONE ORIGINARIA: La violazione delle disposizioni di cui all art. 13 è punita con la sanzione amministrativa del pagamento di una somma da a o, nei casi di dati sensibili o giudiziari o di trattamenti che presentano rischi specifici ai sensi dell art. 17 o, comunque, di maggiore rilevanza del pregiudizio per uno o più interessati, da a La somma può essere aumentata sino al triplo quando risulta inefficace in ragione delle condizioni economiche del contravventore. MODIFICA SANZIONI: Le parole da a sono sostituite con da a

13 Art. 169: omissione misure di sicurezza Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall art. 33 è punito n l arresto sino a 2 anni o con l ammenda da a Art. 15: danni cagionati per effetto del trattamento Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell art del Codice Civile. Il danno non patrimoniale è risarcibile anche in caso di violazione dell art. 11 (relativo alle modalità di trattamento: principi da rispettare). 13

14 Quadruplicazione delle sanzioni Le sanzioni possono essere aumentate fino al quadruplo quando possono risultare inefficaci in ragione delle condizioni economiche del contravventore. 14