TVCC nelle stazioni di rifornimento: quali adempimenti privacy?

di Roberta Rapicavoli - Avvocato esperto in Information Technology e privacy eDocente Ethos Academy

Il titolare di un distributore di carburante che decide di installare per ragioni di sicurezza un sistema di videosorveglianza deve considerare, fin dalla fase di pianificazione e progettazione, i profili legati al trattamento dei dati e osservare gli specifici adempimenti previsti dalla normativa privacy (il riferimento è al Regolamento UE 2016/679 – di seguito anche “Regolamento” – e al D. Lgs. 196/03, così come modificato dal D. lgs. 101/18). Ma perché l’installazione di un sistema di videosorveglianza comporta degli obblighi in materia di privacy?

L’immagine che ritrae la persona o la targa del veicolo che accede alle aree della stazione di rifornimento sottoposta a videosorveglianza è un dato personale e, in quanto tale, può essere acquisita, conservata e utilizzata solo nel rispetto della normativa di settore. 

Quali sono le regole da osservare?

Le principali regole da osservare per installare e utilizzare un sistema di videosorveglianza in una stazione di rifornimento, senza violare la normativa privacy vigente, si possono così sintetizzare.

1. Effettuare una valutazione di impatto sulla protezione dei dati (in base all’art. 35 del Regolamento), in considerazione del fatto che con il sistema di videosorveglianza da installare in una stazione di rifornimento si riprendono zone accessibili al pubblico ove può transitare un numero elevato di soggetti e aree in cui i dipendenti svolgono la loro attività. 

2. Scegliere le modalità di ripresa e/o registrazione delle telecamere e il loro posizionamento, in modo che siano inquadrate le sole aree di pertinenza nei limiti di quanto necessario per le finalità perseguite, prestando attenzione a che le telecamere non inquadrino bagni, spogliatoi o altre zone ricreative riservate ai dipendenti.

3. Nel caso di lavoratori che possono essere ripresi dal sistema da installare, attivarsi per raggiungere apposito accordo con i sindacati o, in assenza, per ottenere l’autorizzazione dall’ispettorato del lavoro, ai sensi dell’art. 4 dello Statuto dei lavoratori, la cui inosservanza comporta, tra l’altro, anche la violazione del principio di liceità previsto dall’art. 5 del Regolamento.

4. Collocare prima del raggio di azione della telecamera un cartello con cui si segnali la presenza del sistema di videosorveglianza e si riportino il nome del titolare, la finalità e le modalità con cui l’interessato possa conoscere tutte le ulteriori informazioni sul trattamento dei dati previste dalla normativa.

5. Mettere a disposizione delle persone che accedono alle aree videosorvegliate della stazione di rifornimento un’informativa completa, contenente tutte gli elementi stabiliti dall’art. 13 del Regolamento.

6. Individuare le persone autorizzate a visionare e accedere alle immagini e fornire le istruzioni relative alle operazioni di trattamento consentite.

7. Sottoscrivere apposito accordo sul trattamento dei dati con i soggetti esterni cui sono delegate eventuali attività che comportano la gestione delle immagini per conto del titolare (società di vigilanza o professionisti che si occupano della manutenzione dei sistemi).

8. Proteggere i dati raccolti mediante i sistemi di videosorveglianza con misure di sicurezza adeguate ai rischi, prestando attenzione, tra le altre, alla cifratura dei dati, alla gestione di password per l’accesso e al sistema di cancellazione delle immagini registrate allo scadere del termine previsto.

9. Limitare la conservazione delle immagini a poche ore o, al massimo, alle 24 ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione, in relazione a festività o chiusura o casi in cui si debba aderire ad una specifica richiesta investigativa dell’autorità giudiziaria o di polizia giudiziaria. Si precisa che la particolare rischiosità dell’attività svolta dal titolare o le peculiari esigenze tecniche possono giustificare però un tempo più ampio di conservazione dei dati, che non può superare comunque la settimana, a meno che non venga effettuata una specifica valutazione di impatto.

10. Verificare i sistemi e le procedure che consentono di rilevare eventuali violazioni di sicurezza che comportano – accidentalmente o in modo illecito – la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati, tenendo presente l’obbligo di notificare la violazione subita al Garante privacy entro 72 ore, a meno che sia improbabile che la stessa comporti un rischio per i diritti e le libertà delle persone fisiche.