1. La videosorveglianza comunale con schede SD
Il Garante per la protezione dei dati personali ha sanzionato un Comune per aver impiegato videocamere di sorveglianza dotate di schede SD non adeguatamente protette da misure di sicurezza.
Non è la prima volta che il Garante privacy manifesta preoccupazione riguardo all’uso di schede SD, spesso integrate nelle videocamere utilizzate dai Comuni. Molte di queste videocamere furono acquistate dalle amministrazioni pubbliche con i primi finanziamenti dedicati alla sicurezza urbana. In altri casi, l’impiego di schede SD è invece una scelta obbligata e giustificata dalla mancanza di collegamenti LAN o di infrastrutture tecnologiche più avanzate.
Tuttavia, tali circostanze non esonerano i Comuni dall’obbligo di conformarsi ai principi di integrità e di riservatezza, sanciti dall’art. 5 (Principi applicabili al trattamento di dati personali), par. 1, lett. f), del Regolamento (UE) 2016/679 in materia di protezione dei dati personali (GDPR).
Art. 5, par. 1, lett. f), Regolamento (UE) 2016/679
“1] I dati personali sono: […] f) trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»).“
2. L’obbligo di adottare misure di sicurezza efficaci
Quando un Comune decide di ricorrere a un sistema di videosorveglianza per perseguire finalità legate ai propri compiti istituzionali, lo stesso è tenuto a garantire che le immagini registrate su schede SD siano protette da adeguate misure di sicurezza. Queste misure devono essere idonee a prevenire possibili violazioni della riservatezza delle persone riprese, violazioni che possono essere causate da:
- accessi da parte di persone non autorizzate;
- perdita involontaria o la distruzione accidentale delle immagini registrate;
- danno ai diritti, alla dignità e alla riservatezza delle persone riprese.
In conformità all’art. 32 (Sicurezza del trattamento), del Regolamento (UE) 2016/679, le misure di sicurezza che il Comune è tenuto ad adottare devono risultare, oltre che “adeguate” al livello di rischio, anche “efficaci” nel prevenire eventuali violazioni della riservatezza delle persone riprese.
L’efficacia delle misure di sicurezza adottate dal Comune può essere valutata dal Garante privacy indipendentemente dal verificarsi di una violazione della riservatezza delle informazioni personali, essendo il Comune tenuto a dimostrare in qualsiasi momento e contesto di aver operato in conformità con il Regolamento (UE) 2016/679 e il Codice della privacy.
Art. 32, Regolamento (UE) 2016/679
“1] Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 2] Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. 3] L’adesione a un codice di condotta approvato di cui all’articolo 40 o a un meccanismo di certificazione approvato di cui all’articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo. 4] Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.”
3. L’istruttoria condotta dal Garante privacy
Nel corso dell’istruttoria avviata a seguito della segnalazione di un cittadino, che lamentava principalmente l’assenza dei cartelli informativi previsti dall’art. 13 del Regolamento (UE) 2016/679 [leggi l’approfondimento], il Comune confermava al Garante per la protezione dei dati personali di aver installato un sistema di videosorveglianza presso i cassonetti per la raccolta differenziata dei rifiuti domestici.
Le operazioni di conferimento dei rifiuti da parte dei cittadini erano dunque monitorate da tre videocamere e le registrazioni venivano archiviate su schede SD integrate all’interno dei dispositivi di ripresa (memoria locale).
Tuttavia, le schede SD risultavano astrattamente rimovibili da chiunque e, sopratutto, non erano protette da sistemi di crittografia; l’unica misura di sicurezza evidenziata dal Comune consisteva nella difficile accessibilità al vano della videocamera che conteneva la scheda SD, oltre a un sistema di allerta per segnalare eventuali tentativi di manomissione.
4. L’inefficacia delle misure di sicurezza
Nonostante il Comune avesse implementato misure minime di sicurezza per proteggere le immagini registrate sulle schede SD delle videocamere, tali misure sono state ritenute dal Garante privacy inefficaci nel prevenire e impedire eventuali violazioni della riservatezza delle persone riprese.
La circostanza che la scheda SD fosse collocata in un vano della scocca di difficile accesso non è stata considerata una misura sufficiente a eliminare il rischio di accessi non autorizzati. Chiunque, infatti, una volta estratta la scheda SD dalla videocamera, avrebbe potuto visionare i filmati registrati, violando così il diritto alla riservatezza delle persone riprese.
L’Autorità per la protezione dei dati personali è giunta alla stessa conclusione riguardo al sistema di allerta, che si limitava a bloccare la scheda SD in caso di manomissione, senza però impedire l’accesso alle immagini già memorizzate sul dispositivo non protetto da password.
5. In conclusione
Nel corso dell’attività di consulenza svolta dallo studio legale in materia di videosorveglianza comunale, abbiamo più volte raccomandato la dismissione delle schede SD e, ove possibile, delle videocamere obsolete.
In base di quanto stabilito dal Garante, l’utilizzo di schede SD, infatti, deve essere considerato un’ipotesi eccezionale, consentita esclusivamente quando non sono disponibili altre soluzioni tecnologiche e sempre condizionata all’adozione di sistemi di crittografia per prevenire accessi non autorizzati. Di conseguenza, i Comuni hanno l’obbligo di adeguare i propri sistemi di videosorveglianza, anche se acquistati prima dell’entrata in vigore del Regolamento (UE) 2016/679.
Le valutazioni di impatto sulla protezione dei dati personali costituiscono la sede appropriata per giustificare l’uso di schede SD e per illustrare le misure di sicurezza adottate a tutela della riservatezza delle persone riprese dalle videocamere.
I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.