VIDEOSORVEGLIANZA Aggiornato 12/2008

Transcript

1 Aggiornato 12/2008 IMPIANTO VIDEOSORVEGLIANZA: NOTE SULLA NORMATIVA L installazione di sistemi di videosorveglianza non sono di libero uso, in quanto sono soggetti alla normativa sulla Privacy. Eventuali omissioni o carenti applicazioni della normativa vigente, vengono sanzionati sia in via amministrativa che penale. Considerando la gravità delle sanzioni, risulta importante che, prima di realizzare la videosorveglianza, il responsabile aziendale si attivi alla conoscenza della normativa e predisponga quanto necessario per una corretta installazione ed esercizio dell impianto di videosorveglianza. Di seguito sono riportati i punti principali facendo riferimento alla normativa del Provvedimento Generale del 29 aprile 2004: La raccolta e l'uso delle immagini sono consentiti solo se fondati sui presupposti di liceità : cioè, per i soggetti pubblici, quando siano necessari allo svolgimento di funzioni istituzionali e, per i privati, quando siano necessari per adempiere ad obblighi di legge o effettuate per tutelare un legittimo interesse. Prima di installare un impianto di videosorveglianza occorre valutare se la sua utilizzazione sia realmente proporzionata agli scopi perseguiti o se non sia invece superflua. Gli impianti devono cioè essere attivati solo quando altre misure (sistemi d'allarme, altri controlli fisici o logistici, misure di protezione agli ingressi ecc.) siano realmente insufficienti o inattuabili. I cittadini che transitano nelle aree sorvegliate devono essere informati della rilevazione dei dati. L'informativa (della quale il Garante ha anche messo a disposizione un modello semplificato: un cartello con un simboli ad indicare l'area videosorvegliata) deve essere chiaramente visibile ed indicare chi effettua la rilevazione delle immagini e per quali scopi. In caso di registrazione, il periodo di conservazione delle immagini deve essere limitato: a poche ore o al massimo 24 ore, fatte salve speciali esigenze di ulteriore conservazione in relazione a indagini. Per attività particolarmente rischiose (es. banche) è ammesso un tempo più ampio, che non può superare comunque la settimana. Chi installa telecamere deve perseguire finalità determinate e di propria pertinenza. Si è, ad esempio, constatato che, da parte di amministrazioni comunali, vengono indicate indebitamente, come scopo della sorveglianza, finalità di sicurezza pubblica, prevenzione accertamento dei reati che competono invece solo ad organi giudiziari o a forze armate o di polizia. Quando si intende installare sistemi di videosorveglianza che prevedono un intreccio delle immagini con altri particolari (es. dati biometrici, voce) o in caso di digitalizzazione delle immagini o di sorveglianza che valuti percorsi e lineamenti (es. riconoscimento facciale) è obbligatorio sottoporre tali sistemi alla verifica preliminare del Garante. Va valutata, inoltre, da parte di chi installa telecamere una serie di aspetti: se sia realmente necessario raccogliere immagini dettagliate; la dislocazione e la tipologia delle apparecchiature (fisse o mobili). Va limitata rigorosamente la creazione di banche dati quando è sufficiente installare un sistema a circuito chiuso di sola visione delle immagini senza la loro registrazione (monitoraggio del traffico, controllo del flusso ad uno sportello ecc.). Non risulta comunque giustificata un'attività di rilevazione a fini promozionali, turistici o pubblicitari, attraverso web-cam che rendano identificabili i soggetti ripresi. L installazione deve essere effettuata da Azienda provvista di Idoneità Tecnico Professionali documentate.

2 VIOLAZIONE PRIVACY - RESPONSABILITA' CIVILE E PENALE Art. 169 del Testo Unico Privacy: Omessa adozione di misure necessarie alla sicurezza dei dati Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 è punito con l'arresto sino a due anni o con l'ammenda da diecimila euro a cinquantamila euro. 1. All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non sup. a 6 mesi. 2. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo dell'ammenda stabilita per la contravvenzione. L'adempimento e il pagamento estinguono il reato. L'organo che impartisce la prescrizione e il pubblico ministero provvedono nei modi di cui agli articoli 21, 22, 23 e 24 del decreto legislativo 19 dicembre 1994, n. 758, e successive modificazioni, in quanto applicabili. Aspetti di responsabilità civile Art c.c. Il TESTO UNICO PRIVACY qualifica il trattamento dei dati come attività pericolosa, art c.c. E ' prevista pertanto una inversione dell'onere della prova nell'azione risarcitoria ex articolo 2043 c.c.: l'operatore è tenuto a fornire la prova di avere applicato le misure tecniche di sicurezza più idonee a garantire la sicurezza dei dati detenuti. A livello pratico questo significa che l azienda, il professionista, la PA ecc., per evitare ogni responsabilità deve dimostrare di aver adottato "tutte le misure idonee ad evitare il danno", e quindi di aver messo in essere tutte le misure di sicurezza al meglio possibile (la miglior tecnologia disponibile). Il che non è affatto facile da dimostrare... Art c.c. In generale poi a carico dell'azienda risulta comunque la responsabilità ex art c.c., ovvero la responsabilità prevista in capo a padroni e committenti. L art difatti recita: "padroni e committenti sono responsabili per i danni arrecati dal fatto illecito dei loro domestici e commessi nell'esercizio delle incombenze cui sono adibiti". Legge n. 547/1993 Crimini informatici commessi da dipendenti ed addebitabili all azienda (Vedi aggiornamenti Allegato 3) La legge 547/93 ha introdotto nel nostro ordinamento vari "crimini informatici", ovvero l attentato a impianti informatici di pubblica utilità, falsificazione di documenti informatici, accesso abusivo ad un sistema informatico o telematico, detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici, diffusione di programmi diretti a danneggiare o interrompere un sistema informatico, violazione di corrispondenza telematica, intercettazione di , danneggiamento di sistemi informatici o telematici (...). Il datore di lavoro rischia di essere ritenuto in concorso con il dipendente a lui subordinato che ha commesso il crimine informatico, per non aver posto in essere tutte le misure di prevenzione e controllo idonee a garantire la sicurezza del trattamento dei dati. La mancata adozione di tutte le misure idonee a ridurre al minimo i rischi viene considerata difatti un agevolazione alla commissione del crimine. Pagina 2

3 Privacy: adempimenti e sanzioni Obblighi a cui sono tenuti i soggetti che effettuano il trattamento dei dati e le sanzioni in cui incorrono gli inadempienti Principali adempimenti previsti dal D. Legislativo 196/2003 cui sono tenuti i soggetti che effettuano il trattamento di dati personali. Adempimento Articolo Approfondimento L'informativa Art. 13 L'informativa della privacy Il consenso Art. 23 Privacy: il consenso L'adozione delle misure di sicurezza dei dati Art. 31 La sicurezza dei dati digitali La notifica al Garante Art. 37 Privacy: La notifica al Garante Le Sanzioni Il decreto legislativo 196/2003 dedica alle sanzioni il Titolo III della Parte III distinguendo tra: - Violazioni amministrative, di cui al Capo I articoli dal 161 al 166 (gli ultimi due articoli riguardano più che le sanzioni il procedimento di applicazione art 166 e art 165 la pubblicazione del provvedimento del Garante) - Illeciti penali di cui al Capo II art. dal 167 al 172 Sanzioni amministrative Le sanzioni amministrative applicabili sono di tipo pecuniario, tuttavia in aggiunta alla sanzione pecuniaria è facoltà del Garante prevedere come sanzione accessoria, la pubblicazione in uno o più giornali, indicati nel provvedimento di applicazione, dell'ordinanza ingiunzione del Garante. Tale sanzione accessoria è obbligatoria nel caso la violazione riguardi l'omessa o incompleta notificazione. Schema delle sanzioni amministrative attraverso una tabella riassuntiva: Articolo Tipologia di violazione Sanzione amministrativa Sanzione accessoria (pubblicazione dell'ingiunzione) 161 a) Omessa o inidonea informativa all'interessato Da 3.000,00 A ,00 Aumentabile fino al triplo, quando viste le condizioni economiche del contravventore risulti inefficace b) Omessa o inidonea informativa all'interessato - Dati sensibili - Giudiziari - Trattamenti che presentano rischi specifici Da 5.000,00 a ,00 Aumentabile fino al triplo, quando viste le condizioni economiche del contravventore risulti inefficace 162, c.1 Cessione illecita di dati Da 5.000,00 a ,00 162, c.2 Violazione relativa ai dati personali idonei a rilevare lo stato di salute Da 500,00 a 3.000, Omessa o incompleta notificazione Da ,00 a ,00 Il Garante ha l'obbligo di prevedere la sanzione accessoria della pubblicazione 164 Omessa informazione o esibizione al Garante dei documenti richiesti Da 4.000,00 a ,00 Pagina 3

4 Sanzioni penali Le violazione del Codice della Privacy che configurano un reato sono regolate negli articoli dal 167 al 172. Per quanto riguarda le ipotesi di trattamento illecito, previste nell'articolo 167, l'applicazione delle sanzioni penali richiede il comportamento doloso da parte dell'autore, ossia la consapevolezza e la volontà di trarre profitto o recare danno attraverso quel determinato comportamento. Punibili anche solo per colpa, non è quindi richiesto il comportamento doloso, sono invece le violazioni riguardanti l'omissione dell'adozione delle misure minime di sicurezza. Schema delle sanzioni penali, tabella riassuntiva: Articolo Tipologia di illecito Condizioni per la punibilità Pena detentiva Eventuale ammenda 167, c.1 Trattamento illecito di dati da parte di: soggetti pubblici soggetti privati e enti economici gestori di comunicazione elettronica A) Il comportamento è punibile se da questo deriva nocumento alla persona o al patrimonio del soggetto a cui si riferiscono i dati B) Il comportamento illecito deve consistere nella comunicazione o nella diffusione dei dati A) Reclusione da 6 a 18 mesi B) Reclusione da 6 a 24 mesi 167, c.2 Trattamento illecito di dati: con rischi specifici sensibili o giudiziari idonei a rilevare lo stato di salute Violazione del divieto di: comunicazione o diffusione applicazione delle garanzie richieste per i dati sensibili trasferimento all estero Il comportamento è punibile se da questo deriva nocumento alla persona o al patrimonio del soggetto a cui si riferiscono i dati Reclusione da 1 a 3 anni 168 Falsità nelle dichiarazioni e notificazioni al Garante Reclusione da 6 mesi a 3 anni 169 Omessa adozione delle misure minime di sicurezza Arresto fino a 2 anni Sanzione pecuniaria da ,00 a , Inosservanza dei provvedimenti del Garante relativi a : mancata autorizzazione per il trattamento di dati sensibili, dati genetici, dati dei donatori di midollo osseo.> Reclusione da 3 mesi a 2 anni Blocco o divieto di trattamenti illeciti o non corretti che possono recare pregiudizio ai soggetti interessati, emanati nel corso di un procedimento di reclamo, o a fronte di un ricorso 171 Violazione da parte dei datori di lavoro del divieto di : Effettuare indagini su opinioni politiche, religiose,sindacali,ecc. Controllo attraverso l uso di impianti audiovisivi, o altre apparecchiature art.4 Legge n.300/1970 Arresto da 15 giorni a 1 anno Si applica la sanzione prevista art.38 della Legge 300/1970 Da 154,94 a 1544,37 Il giudice può aumentare fino al quintuplo Pagina 4

5 NUOVA NORMATIVA SUL TRATTAMENTO DEI DATI (SANZIONI) Il 27 febbraio 2008 il Parlamento ha ratificato la Convenzione del Consiglio d Europa sulla criminalità informatica. La Convenzione riordina il quadro giuridico italiano per quanto riguarda i crimini informatici modificando alcuni articoli del Codice Penale e del Codice in materia di protezione dei dati personali. La novità è rappresentata dall estensione (art. 6) della responsabilità amministrativa delle aziende per una ampia serie di reati informatici. In particolare, nel 2001 con il D. Lgs. 231/01 è stata introdotta nell ordinamento italiano la responsabilità amministrativa delle aziende: per una serie di reati indicati dal legislatore l azienda risponde in sede civile e penale per il comportamento dei suoi dipendenti. Con la ratifica della Convenzione del Consiglio d Europa sulla criminalità informatica anche i crimini informatici vengono inclusi tra quelli previsti dal D. Lgs. 231/01 e pertanto le aziende devono darsi regole, misure di sicurezza e controlli per impedire che tali reati vengano commessi al proprio interno. Nella tabella i reati informatici di cui le aziende possono essere chiamate a rispondere: DELITTI INFORMATICI Sanzione pecuniaria (quota da 258 a ) Sanzione interdittiva Accesso abusivo ad un sistema informatico o telematico di cui all'articolo 615-ter del Codice penale (Dlgs 231/2001, articolo 24-bis) Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche di cui all'articolo 617-quater del Codice penale (Dlgs 231/2001, articolo 24-bis) Installazione di apparecchiature atte ad intercettare, impedire od interrompere comunicazioni informatiche o telematiche di cui all'articolo 617-quinquies del Codice penale (Dlgs 231/2001, articolo 24-bis) Danneggiamento di sistemi informatici o telematici di cui all'articolo 635-bis del Codice penale (Dlgs 231/2001, articolo 24-bis) Danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità di cui all'articolo 635-ter del Codice penale (Dlgs 231/2001, articolo 24-bis) Danneggiamento di sistemi informatici o telematici dì cui all'articolo 635-quater del Codice penale (Dlgs 231/2001, articolo 24-bis) Danneggiamento di sistemi informatici o telematici di pubblica utilità di cui all'articolo 635-quinquies del Codice penale (Dlgs 231/2001, articolo 24-bis3) Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici di cui all'articolo 615-quater del Codice penale (Dlgs 231/2001, articolo 24-bis) Diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico di cui all'articolo 615-quinquies del Codice penale (Dlgs 231/2001, articolo 24-bis) Frode informatica del soggetto che presta servizi di certificazione di firma elettronica di cui all'articolo 640-quinques del Codice penale (Dlgs 231/2001, articolo 24-bis) Da 100 a 300 quote Da 100 a 400 quote Documenti informatici di cui all'articolo 491-bis del Codice penale (Dlgs 231/2001, articolo 24-bis) Da 100 a 400 quote Pagina 5