Videosorveglianza, GDPR e privacy. CNA

L’installazione di telecamere d videosorveglianza sul posto di lavoro è uno dei temi più delicati in ambito Privacy. Presuppone il bilanciamento di due interessi contrapposti: la tutela dei beni, dei dati aziendali, dei dipendenti e quella della privacy del personale, che potrebbe essere ripreso durante l’orario di lavoro.
Il numero di installazioni per la videosorveglianza nelle imprese è in crescita, ma per attivare questo metodo di controllo è necessario il rispetto dell’art. 4 dello Statuto dei lavoratori (L. 300/1970) in materia di controllo a distanza dei lavoratori dipendenti e della disciplina in materia di protezione dei dati personali, considerando che l’installazione comporta un trattamento di dati.

Vediamo in dettaglio la normativa da rispettare e gli adempimenti richiesti per installare un impianto di videosorveglianza in azienda.

La normativa di riferimento sulla videosorveglianza e la privacy: Statuto dei lavoratori e GDPR
L’autorizzazione Ispettorato del Lavoro
Provvedimento 8 Aprile 2010 e Le linee guida dell’EDPB
Le FAQ del Garante privacy italiano e l’obbligo di DPIA

Normativa di riferimento sulla videosorveglianza e privacy in azienda: Statuto dei lavoratori e GDPR

L’attività di videosorveglianza in azienda e la raccolta dei dati deve avvenire nel rispetto di questa normativa:

DIRITTO DEL LAVORO: Articolo 4 dello Statuto dei lavoratori (Legge n. 300/1970);
NORMATIVA SULLA PRIVACY: GDPR 2016/679, Codice Privacy e Linee Guida 3-2019 ED PB.

La normativa sui controlli a distanza
L’articolo 4 dello Statuto dei lavoratori disciplina la materia dei controlli a distanza che specifica:
Si pone il divieto di controllo a distanza dell’attività lavorativa del dipendente, che va rispettato anche laddove si decida di installare un impianto di videosorveglianza.
L’impianto può riprendere i dipendenti durante l’attività lavorativa (anche semplicemente riprendendo il loro ingresso e/o la loro uscita dal posto di lavoro):

esclusivamente per esigenze organizzative e produttive, sicurezza del lavoro, tutela del patrimonio aziendale;
previa stipulazione di un accordo con le rappresentanze sindacali aziendali o unitarie (RSA o RSU) o, in caso di loro assenza o di mancato raggiungimento dell’accordo, richiedere l’autorizzazione all’installazione all’Ispettorato Nazionale del Lavoro.

Importante: il legale rappresentante della ditta deve far richiesta ed ottenere l’autorizzazione all’Ispettorato Nazionale o Territoriale del lavoro prima di poter installare gli impianti audiovisivi in azienda.

La normativa, quindi cerca di conciliare due esigenze contrapposte: il legittimo interesse del datore di lavoro e la tutela dei diritti dei lavoratori.
Infatti, i controlli del datore di lavoro, in assenza di un perimetro ben definito, potrebbero avvenire in molteplici situazioni in modo illecito, come per esempio per la valutazione delle prestazioni lavorative.

La raccolta delle immagini è un trattamento dei dati personali di cui il lavoratore è l’interessato, il Datore di lavoro è il Titolare del trattamento e il fornitore dei servizi che prende visione delle registrazioni è il Responsabile del trattamento.

Secondo gli artt. 4-5-6 del GDPR, il trattamento dei dati, eseguito con il sistema di videosorveglianza, deve avvenire in modo tale da rispettare:

i principi di minimizzazione, di stretta necessità e proporzionalità, di pertinenza e non eccedenza (in quanto saranno oggetto di trattamento solo i dati strettamente necessari al perseguimento delle finalità poste alla base del trattamento);
i principi di correttezza e aggiornamento (in quanto i dati saranno raccolti direttamente e in tempo reale);
i principi di trasparenza (in quanto gli interessati verranno informati tramite specifiche informative privacy) e di limitazione (sia del trattamento che della conservazione dei dati).

DEVI INSTALLARE UN IMPIANTO DI VIDEOSORVEGLIANZA IN AZIENDA? TI SERVE AIUTO SULLA NORMATIVA E SULLA PRIVACY?

Per la videosorveglianza serve l’autorizzazione Ispettorato del Lavoro

La circolare n. 5 del 19 febbraio 2018 dell’Ispettorato Nazionale del Lavoro indica le norme riguardanti l’installazione e l’uso di impianti audiovisivi e altri strumenti di controllo, ai sensi dell’art. 4 della legge n. 300/1970.

La richiesta di autorizzazione all’Ispettorato Nazionale o Territoriale del lavoro va presentata dal legale rappresentante/titolare dell’azienda:

SOLO se sono presenti lavoratori dipendenti o figure professionali simili;
NON sono stati eletti rappresentanti sindacali aziendali (RSA) o rappresentanti sindacali unitari (RSU);
pur essendo presenti in ditta RSA o RSU, è stato sottoscritto un verbale di MANCATO ACCORDO in relazione all’utilizzo dell’impianto di videosorveglianza.

Le ragioni che giustificano l’impianto di videosorveglianza per l’Ispettorato del Lavoro

Nella relazione che accompagna l’istanza devono essere esplicitate, in maniera dettagliata, le motivazioni per le quali si chiede l’autorizzazione all’installazione dell’impianto di videosorveglianza. Le ragioni giustificatrici sono:

esigenze organizzative e produttive, come l’impiego di macchinari e impianti che necessitano di continuo monitoraggio o di manutenzione urgente;
esigenze di sicurezza sul lavoro, come lo svolgimento di attività per loro natura sono pericolose oppure per l’impiego di materiali nocivi o perché i lavoratori operano in luoghi isolati;
tutela del patrimonio aziendale: rispetto a possibili furti, danneggiamenti o atti di vandalismo, presenza in azienda di beni di elevato valore intrinseco.

L’installazione e/o la messa in esercizio di impianti audiovisivi e di altri strumenti di controllo prima dell’autorizzazione comporta delle sanzioni: ammenda da euro 154 a euro 1.549 o l’arresto da 15 giorni a un anno. Nei casi più gravi le pene dell’arresto e dell’ammenda sono applicate congiuntamente.
Inoltre, devono essere descritte in maniera dettagliata la modalità di funzionamento del sistema di videosorveglianza, di conservazione dei dati e loro gestione.

DEVI COMPILARE LA DOMANDA PER L’ISPETTORATO DEL LAVORO?

Le nuove linee guida dell’EDPB per la videosorveglianza in azienda e il provvedimento 8 aprile 2010

Le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” del Comitato Europeo per la Protezione dei Dati (European Data Protection Board – EDPB) e il “Provvedimento 8 Aprile 2010” del Garante per la Protezione Dati personali forniscono indicazioni sul trattamento di dati personali attraverso dispositivi video, inclusa la videosorveglianza.
Gli adempimenti da rispettare, per installare un impianto di videosorveglianza in azienda, sono i seguenti:

OBBLIGO DI INFORMAZIONE prima dell’installazione e dell’utilizzo delle telecamere è necessario che siano specificate in modo dettagliato e per iscritto le finalità del trattamento e la sua base giuridica.

Agli obblighi di trasparenza ed informazione, l’azienda conviene attraverso:

INFORMATIVA DI PRIMO LIVELLO: una informazione di primo livello (cartello di avvertimento con rinvio alle informazioni di secondo livello) è posizionata a una distanza ragionevole dai luoghi monitorati, visibile in ogni condizione di illuminazione ambientale, in modo tale che l’interessato possa riconoscere facilmente le circostanze della sorveglianza prima di entrare nell’area monitorata.

Le Linee Guida stabiliscono che il nuovo cartello di avviso di videosorveglianza contenga più informazioni di quelle contenute nel modello precedente. In particolare, il cartello include: finalità del trattamento, estremi identificativi del titolare, diritti degli interessati, dati di contatto del DPO, il riferimento al legittimo interesse del titolare o di terze parti, il codice QR e il rinvio all’informativa di “secondo livello”;

INFORMATIVA DI SECONDO LIVELLO: l’informativa completa, così detta “di dettaglio” deve essere messa a disposizione dell’interessato in un luogo chiaramente visibile e accessibile e può essere richiesta al titolare del trattamento. Deve comprendere l’elenco dei diritti del soggetto interessato e delle modalità per farli valere.

Nello specifico, ai dipendenti che potrebbero essere inquadrati dal sistema di videosorveglianza, deve essere fornita una idonea e specifica informativa sul trattamento dei dati.

Solamente i soggetti espressamente autorizzati possono accedere alle immagini delle telecamere per dare attuazione ai propri compiti (quali ad esempio il personale incaricato della reception) utilizzando specifiche credenziali.

CONSERVAZIONE LIMITATA dei dati, che tendenzialmente sarà di 24 ore successive alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione in relazione a festività o chiusura degli uffici/esercizi, specifica richiesta delle autorità giudiziaria o forze dell’ordine.
SICUREZZA DEI DATI raccolti al fine di tutelarne l’integrità. I dati raccolti mediante sistemi di videosorveglianza devono essere protetti con idonee misure di sicurezza tecniche ed organizzative atte a tutelare l’integrità dei dati: ridurre al minimo i rischi di distruzione, di perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità per le quali sono stati raccolti, anche in relazione alla eventuale fase di trasmissione delle immagini.

In Italia vige il divieto di installare impianti audiovisivi anche in caso di telecamere finte installate a scopo dissuasivo (Ministero del Lavoro nota 1° giugno 2016).

Le FAQ del Garante privacy italiano e l’obbligo di DPIA

Il 5 dicembre 2020, l’Autorità garante ha pubblicato delle FAQ che costituiscono indicazioni di carattere generale in materia di videosorveglianza. Le FAQ del Garante intervengono a chiarire le disposizioni del Regolamento Europeo n materia di trattamento dei dati personali nel progettare e implementare impianti di videosorveglianza.

Telecamere di videosorveglianza, principi di accountability e minimizzazione

Il primo principio base è l’accountability (responsabilizzazione) che investe il titolare del trattamento (l’impresa che vuole installare l’impianto di videosorveglianza) della responsabilità di compiere le scelte sulle finalità e sui mezzi del trattamento e di documentare e motivare quelle scelte: il titolare valuta la liceità e la proporzionalità del trattamento, tenuto conto del contesto e delle finalità dello stesso, nonché del rischio per i diritti e le libertà delle persone fisiche e i tempi di conservazione dei dati.

Da sottolineare il fatto che la videosorveglianza non è da considerarsi una necessità quando siano disponibili altri mezzi per raggiungere la finalità indicata dal titolare; l’installazione dell’impianto dovrebbe reputarsi lecita solo qualora rappresenti una risposta ad una esigenza necessaria, effettiva, concreta, non altrimenti soddisfabile.

Di rilevante importanza l’obbligo in capo al Titolare della redazione di una valutazione di impatto sulla protezione dei dati ossia un documento di valutazione preventiva dei rischi derivanti dal trattamento dei dati che si intende effettuare e delle concrete misure tecnico-organizzative atte a ridurli o ad annullarli del tutto (art. 35 del GDPR 679/2016).

La DPIA è obbligatoria nel caso di monitoraggio sistematico di una zona accessibile al pubblico e di trattamento di dati di soggetti vulnerabili, come possono essere i lavoratori.

Il secondo principio è di minimizzazione, per cui il titolare deve scegliere le modalità di ripresa, di dislocazione e gestire le varie fasi del trattamento; inoltre i dati trattati devono essere pertinenti e non eccedenti rispetto alle finalità seguite.

LA CONSULENZA CNA PER GLI ADEMPIMENTI SUGLI IMPIANTI DI VIDEOSORVEGLIANZA

L’ufficio Privacy di CNA offre alle aziende associate il servizio di assistenza nella redazione dell’istanza di autorizzazione all’Ispettorato del Lavoro comprensiva della relazione da allegare alla stessa.

Inoltre, vi ricordiamo che sono soggette al Regolamento Europeo sulla Privacy (GDPR 679/2016) tutte le aziende che raccolgono e trattano dati personali.

CNA ti permette di adeguare la tua azienda al GDPR, gestendo gli adempimenti obbligatori per il trattamento dei dati personali, con la predisposizione di tutti i documenti necessari richiesti dalla norma, come informative, lettere di designazione, nomine dei Responsabili al trattamento, Registri dei trattamenti, DPIA videosorveglianza, etc.).