Per completezza sul versante della privacy in materia di videosorveglianza, va segnalato, in primo luogo, il Regolamento generale sulla protezione dei dati - in inglese General Data Protection Regulation (di seguito indicato con l'acronimo GDPR) - n. 679/2016, operativo a partire dal 25 maggio 2018, oltre che il d.lgs. n. 196/2003 recante il “Codice in materia di protezione dei dati personali”, recentemente novellato dal d.lgs. n. 101/2018, contenente, appunto, “Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del GDPR” (di seguito Codice).
In secondo luogo, si segnala che il tema della videosorveglianza e del GDPR è stato trattato dalle recenti pronunce della Corte di Giustizia UE e dalle Guidelines 3/2019 on processing of personal data through video devices adottatedall'European Data Protection Board (di seguito EDPB) in data 10 luglio 2019 (e in Italia in data 29 gennaio 2020): tali linee guida superano i provvedimenti adottati dell'Autorità Garante per la protezione dei dati personali precedenti.
Sotto il primo profilo, il GDPR disciplina in modo organico a livello europeo la protezione dei dati personali, sostituendosi nel nostro Paese al Codice della privacy (d.lgs. n. 196/2003), allo scopo di garantire il diritto di disporre dei propri dati personali.
Anche il mondo condominiale è interessato alla novità: infatti, sono gli amministratori che devono adeguarsi al fine di garantire ai condomini che le diverse informazioni contenute negli archivi condominiali siano protette e opportunamente trattate, precisando che l'immagine di una persona fisica, sia essa solamente videoripresa in tempo reale, senza alcuna conservazione, oppure anche videoregistrata, con una sua temporanea conservazione, costituisce pacificamente un dato personale (art. 4 Reg. UE n. 2016/679).
Pertanto, l'attività di video-riprendere o di video-registrare (con o senza sonoro), in luoghi dove compaiano persone fisiche identificabili - e cioè con una sufficiente risoluzione dell'immagine che consenta di andare oltre una semplice macchia od ombra - comporta un trattamento di dati personali (art. 4 Reg. UE n. 2016/679).
Secondo gli esperti in materia, l'amministratore, in quanto soggetto che tratta i dati per conto del “proprio” condominio, può rivestire la qualità di responsabile del trattamento (art. 4, lett. 8, 28 e cons. 81 Reg. UE n. 2016/679), in caso di mancata nomina, invece, riveste la figura di titolare autonomo del trattamento. Quanto detto, pertanto, si applica in via generale anche alla peculiare fattispecie del trattamento dati nell'ipotesi di installazione di un sistema di videosorveglianza condominiale.
La particolarità di tale trattamento, però, implica l'adozione di specifiche misure di sicurezza tecniche e di cautele che impongono una conoscenza specialistica e un know how quasi sicuramente non possedute dall'amministratore; di conseguenza, la delibera di installazione di un sistema di videosorveglianza condominiale dovrebbe prevedere la nomina di responsabile del trattamento ad hoc (“esterno”), adeguatamente qualificato.
Secondo alcuni autori, l'amministratore di condominio, seppure rivestisse il ruolo di responsabile “generale” del trattamento dei dati, in quanto così precedentemente nominato dall'assemblea dei condomini, non potrebbe essere considerato responsabile del trattamento dei dati della videosorveglianza, in quanto di fatto, non avendo la possibilità materiale e tecnica di trattarli, non li tratta; nulla vieta, comunque, come ipotesi residuale, che l'amministratore conservi il ruolo di responsabile del trattamento anche in àmbito di videosorveglianza e che a lui si affianchi un sub-responsabile.
In questa evenienza, qualora l'amministratore sia già in possesso dell'autorizzazione generale, una volta che il condominio abbia deliberato l'adozione del sistema, scelto la ditta e approvatone il preventivo, affidatole l'appalto per l'installazione, costui potrà autonomamente nominare il soggetto sub-responsabile della videosorveglianza senza che la delibera debba precisare altro.
Sotto il secondo profilo, mette punto rimarcare che il 29 gennaio 2020 sono state divulgate le Linee guida europee che forniscono indicazioni scrupolose sull'impiego dei sistemi privati ed aziendali di telecontrollo a norma del GDPR e che possono trovare applicazione indiretta anche per la progettazione degli impianti finalizzati al controllo della sicurezza pubblica.
Innanzitutto, le linee guida stabiliscono le regole da rispettare quando i sistemi di videosorveglianza vengono utilizzati per il perseguimento di scopi di monitoraggio che devono essere documentati per iscritto e devono essere specificati per ogni telecamera di sorveglianza in uso.
a) Liceità della videosorveglianza: la videosorveglianza è lecita quando è impiegata per perseguire un interesse legittimo legale, economico e non materiale, che sia reale e attuale, a meno che gli interessi, i diritti e le libertà del soggetto interessato dal trattamento non siano prevalenti (ad esempio, l'esigenza di tutelare la proprietà privata da eventuali furti);
b) Videosorveglianza come extrema ratio: quando si vuole ricorrere ad un sistema di videosorveglianza, occorre verificare che sia idoneo, adeguato e necessario a perseguire gli obiettivi prestabiliti, per cui, nel caso in cui esistano sistemi alternativi e parimenti efficaci, è opportuno valutarli;
c) Bilanciamento degli interessi: gli interessi legittimi di chi decide di utilizzare il sistema di videosorveglianza non possono travalicare gli interessi e le libertà fondamentali dei soggetti ripresi;
d) Interesse pubblico ed esercizio di pubblici poteri: i dati personali possono essere trattati mediante la videosorveglianza se necessario per l'espletamento di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri;
e) Consenso dell'interessato: quando è necessario sottoporre a videosorveglianza determinate aree è obbligatorio acquisire il consenso informato, preciso e puntuale di ogni soggetto sottoposto a controllo, salvi casi eccezionali;
f) Divulgazione dei filmati a terzi: la comunicazione individuale, la pubblicazione online o la messa a disposizione in altro modo di un filmato ad un terzo, comprese le forze dell'ordine, è un processo indipendente, che richiede una giustificazione separata per il soggetto controllore, sicché, in questi casi, il trattamento dei dati non seguirà le regole del GDPR, ma normative specifiche sulle forze dell'ordine;
g) Diritti dell'interessato: il GDPR prevede diritti specifici per i soggetti ripresi da sistemi di videosorveglianza, nel senso di conferma dell'esistenza o meno dei suoi dati personali, accesso e informazioni sui propri dati, cancellazione dei dati se questi vengono monitorati oltre il tempo previsto o quando il trattamento è illecito;
h) Trasparenza e informazione: il soggetto che intende ricorrere ai sistemi di videosorveglianza è tenuto a rispettare precisi obblighi informativi e di trasparenza nel rispetto degli interessati, tra cui un cartello di avvertimento con le relative informazioni;
i) Conservazione e cancellazione: i dati devono essere conservati per il tempo strettamente necessario alle finalità perseguite, conseguendone che, se vengono conservati per più di 72 ore, occorre fornire adeguata motivazione al riguardo.
Viene, altresì, contemplata un'esenzione per le famiglie, atteso che il trattamento di dati personali da parte di una persona fisica nell'àmbito di un'attività puramente personale o domestica, che può comprendere anche un'attività online, non rientra nel campo di applicazione del GDPR.
La c.d. esenzione domestica, nel contesto della videosorveglianza, deve essere interpretata in modo restrittivo; quindi, come considerato dalla citata Corte di Giustizia Europea, il c.d. nucleo familiare esenzione deve “essere interpretato come relativa solo alle attività che si svolgono nell'àmbito della vita privata o familiare delle persone, il che evidentemente non è il caso del trattamento di dati personali che consiste nella pubblicazione su internet affinché tali dati siano resi accessibili a un numero indefinito di persone.
Inoltre, se un sistema di videosorveglianza, nella misura in cui comporta la registrazione e la conservazione costante di dati personali e copre, “anche parzialmente, uno spazio pubblico ed è quindi diretto verso l'esterno dell'ambiente privato della persona che tratta i dati in tal modo, non può essere considerato come un'attività puramente ‘personale o domestica' ai sensi dell'art. 3, n. 2), della direttiva 95/46”.
Per quanto riguarda i dispositivi video azionati all'interno dei locali di un privato, possono rientrare nell'esenzione domestica, e ciò dipenderà da diversi fattori, che dovranno essere tutti presi in considerazione per giungere ad una conclusione; oltre agli elementi sopra citati, identificati dalle sentenze della Corte di giustizia europea, l'utente della videosorveglianza a casa deve valutare se ha un qualche tipo di rapporto personale con l'interessato, se la portata o la frequenza della sorveglianza suggeriscono un qualche tipo di attività professionale da parte sua, e il potenziale impatto negativo della sorveglianza sui soggetti interessati; la presenza di uno solo dei suddetti elementi non suggerisce necessariamente che il trattamento non rientri nell'ambito di applicazione dell'esenzione per nucleo familiare, e per tale determinazione è necessaria una valutazione complessiva.