Grande distribuzione, videosorveglianza e privacy

19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 80
TVCC E PRIVACY
antifurtotvcc giugno 2009
Grande distribuzione,
videosorveglianza
e privacy
Adalberto Biasiotti
Pubblichiamo una sintesi dell'intervento dell’ingegner Biasiotti tenutosi al convegno
TVCC 2009, organizzato dalla rivista Antifurto, lo scorso 26 maggio a Roma
S
L’informativa tempestiva
ono ormai passati più di dieci anni
dall’entrata in vigore della Legge e
675/96 purtroppo non posso che
continuare a stupirmi del fatto che
gli adempimenti di legge, nel complesso relativamente semplici, continuano ad
essere non applicati od applicati non correttamente dai titolari del trattamento, che realtà dovrebbero affrontare con elevato livello
di professionalità questo delicato aspetto della loro attività commerciale.
Nel corso degli anni, ho potuto rilevare delle
incongruità, talvolta clamorose, dai responsabili della privacy, che in più di un caso hanno
creato le premesse per l'applicazione di sanzioni, che forse non sono molto elevate, almeno in relazione al potere economico dei
soggetti sanzionati, ma che testimoniano comunque una diffusa e scarsa sensibilità a temi che meriterebbero invece una grande attenzione. Ripescando nella memoria e nell'elenco delle sanzioni applicate dall'autorità
Garante, voglio ripercorrere insieme ai lettori questo percorso, pieno di “errori” e “dolori”, che mi auguro possa servire ad evitarne la
ripetizione in futuro.
Uno degli errori, nei quali più facilmente la
grande distribuzione cade, è legato alla non
corretta applicazione della legge, che vuole
che il trattamento di dati personali di un interessato debba essere preceduto dall’offerta
di un'adeguata informativa e raccolta di un
adeguato consenso.
Nel caso degli impianti di videosorveglianza
installati nei centri della grande distribuzione,
l'informativa è costituita da un messaggio, anche in forma semplificata, come l'autorità Garante ha sottolineato, che deve informare il visitatore cliente, prima dell'ingresso nel campo ripreso dalle telecamere, del fatto che la
sua immagine sta per essere catturata, e di
conseguenza i suoi dati personali stanno per
essere catturati.
Non si richiede la raccolta di un consenso
scritto, in quanto è sufficiente che l'interessato, non desiderando essere ripreso, si allontani, prima di entrare nel campo ripreso. A
fronte di questa banale prescrizione, del tutto comprensibile ed in piena linea con un’indicazione della Direttiva europea sulla priva-
80
19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 82
TVCC E PRIVACY
antifurtotvcc giugno 2009
cy, la grande distribuzione ha commesso numerosi peccati, che brevemente ricordo.
Ad esempio, una grande catena di supermercati ha commesso un peccato sanzionato, in
quanto l’informativa offerta non era tempestiva.
Nella fattispecie, l'ingresso al supermercato
era controllato da una doppia porta a movimento automatico, in funzione della protezione climatica tra l'interno e l'esterno. La
prima telecamera del sistema di videosorveglianza era posta nell'interspazio fra le due
porte mentre il cartello di informativa era posto sulla seconda porta!
Veniva così violata la prescrizione di legge, in
quanto l'informativa veniva offerta solo dopo
che l'interessato era stato già ripreso.
Il Garante è intervenuto e la situazione è stata messa a posto, spostando il cartello di informativa sulla prima porta, anziché sulla seconda.
Un secondo esempio è addirittura sconcertante per la sua banalità. Durante un’ispezione da parte del Nucleo privacy della Guardia
di Finanza, gli ispettori hanno rilevato addirittura l’omissione del cartello di informativa.
Dopo aver contestato l'infrazione al direttore
del supermercato, è stata applicata la consueta sanzione.
Quando la notizia giunse alla Direzione generale di questo supermercato, i tuoni e fulmini non mancarono, perché da tempo il Responsabile della privacy aveva inviato i cartelli informativi ai direttori di tutti i supermercati, con opportune istruzioni. Questo supermercato ha avuto due sfortune:
- la prima è di trovarsi nel raggio d'azione di
uno dei componenti del collegio dell'autorità Garante, che faceva la spesa in questo supermercato,
- la seconda è stata che, essendo in atto una
promozione per la vendita di alcuni prodotti, il direttore aveva ritenuto più importante privilegiare l'affissione dei cartelli riguardanti la promozione commerciale,
piuttosto che i cartelli dell’informativa sulla privacy!
Il terzo esempio riguarda il mancato rispetto
di un'altra puntuale disposizione del Codice
della privacy. L’informativa deve essere tempestiva, e deve anche essere sufficientemente
completa, per far capire all'interessato quali
sono le ragioni per la cattura dei suoi dati personali, quali sono i limiti, quali sono i soggetti cui i dati vengono comunicati ed infine quale è il soggetto cui rivolgersi, per esercitare
l'ormai famoso diritto di accesso. Questa è la
vera e corretta informativa. Poiché l’informativa è piuttosto articolata, difficilmente può
conciliarsi con il sintetico messaggio di informativa, riguardante l'esistenza dell'impianto
di videosorveglianza, che deve essere posto all'ingresso della zona ripresa.
L'autorità Garante si è resa conto di questo
fatto ed ha concesso che l'informativa possa
essere offerta a due livelli:
- ad un primo livello, l'informativa premia l’immediatezza della notizia, rispetto alla completezza,
- al secondo livello, l'informativa deve essere
completa.
Questa prescrizione dell'autorità Garante viene rispettata in modo semplicissimo, affiggendo cartelli informativi di videosorveglianza intorno all’area ripresa, e successivamente
offrendo una più completa informativa, ad
esempio presso le casse, presso il punto informazioni ed assistenza dei visitatori e via dicendo.
Anche in questo caso, c'è voluta una sanzione
82
19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 83
TVCC E PRIVACY
antifurtotvcc giugno 2009
applicata su verbale degli Ispettori dell'Autorità Garante, perché un titolare della grande
distribuzione aveva offerto l'informativa sintetica, ma non era stato in grado di offrire
l'informativa completa.
La stampa di un’informativa, affissa nei pressi del punto di assistenza ai clienti, ha permesso di risolvere, a posteriori, l’anomalia.
geva che non era possibile installare impianti
di videosorveglianza che riprendevano, anche
occasionalmente, aree di transito dei lavoratori, confermando in ciò una sentenza della
cassazione.
Poiché in Italia sono installati centinaia di impianti di videosorveglianza, che riprendono
aree di occasionale transito dei lavoratori, ho
immediatamente approfondito la faccenda ed
a questo tema dedico la seconda parte del mio
intervento.
Come i lettori ben sanno, un possibile contrasto fra i dettati della legge, comunemente
chiamato statuto dei lavoratori, ed il Decreto
Legislativo, chiamato Codice della privacy, ha
fatto versare fiumi di inchiostro ed ha fatto organizzare dozzine di convegni.
Il Provvedimento giustamente osserva che, in
obbedienza alle indicazioni dello statuto dei
lavoratori, non è consentito installare sistemi,
Statuto dei lavoratori e privacy
Ma l'evento che ha attirato di più la mia attenzione, negli ultimi tempi e mi ha indotto
a impostare il tema di questo intervento, è legato alla notizia apparsa sulla lettera di informazione, che il Responsabile della comunicazione dell'Autorità Garante invia ad un
elenco selezionato di indirizzi, per lo più giornalisti.
Nella lettera informativa del Garante si leg-
83
19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 84
TVCC E PRIVACY
antifurtotvcc giugno 2009
anche di videosorveglianza, che permettano
di tenere sotto controllo l'attività svolta dal lavoratore, in maniera diretta.
Secondo questo ragionamento, non è possibile installare telecamere che riprendono i
carrelli fra gli scaffali di un supermercato, in
quanto lungo questi scaffali si muovono i dipendenti, che provvedono al rifornimento degli scaffali. Non è ugualmente possibile riprendere i parcheggi, dove si trovano i punti
di raccolta dei carrelli, in quanto i dipendenti si muovono anche in queste aree.
Nella fattispecie, l'area che aveva attirato l'attenzione degli Ispettori riguardava l'area di
carico e scarico delle merci, che da sempre
rappresenta un’area critica della grande distribuzione, perché in quella fase talvolta si
verificano dei furti.
È evidente che un’interpretazione letterale
impedisce di installare un qualunque impianto di videosorveglianza in un'area qualunque del supermercato.
Ecco la ragione per la quale già allora lo statuto dei lavoratori aveva previsto le modalità,
con cui questa attività di videosorveglianza è
consentita.
La sanzione applicata dall'autorità Garante riguarda quindi non l'aver installato l'impianto
di videosorveglianza, che inquadrava aree, dove occasionalmente si muovevano dei lavoratori, ma l'aver fatto questa istallazione, senza
rispettare i dettati dello statuto dei lavoratori.
Lo statuto dei lavoratori prevede che l’installazione di questi impianti debba essere previamente concordata con le rappresentanze
sindacali e la prescrizione mi sembra assolutamente legittima. Lo statuto prevede che, dove non venga raggiunto un accordo con i rappresentanti sindacali, che agiscono in questo
caso come portavoce degli interessati, cioè dei
lavoratori, si possa ricorrere ad un ente di seconda istanza, l'Ispettorato provinciale per il
lavoro, al quale le due parti faranno presenti
le loro motivazioni e che potrà esprimere un
parere in merito.
Ancora una volta, il Provvedimento del Garante, che ha portato addirittura all'immediato blocco del trattamento, vale a dire il
blocco dell'impianto di videosorveglianza, ed
all’applicazione di sanzioni, non riguardava
tanto il fatto che l'impianto di videosorveglianza riprendesse aree occasionalmente interessate all’attività lavorativa, ma il fatto che
tale installazione fosse stata portata a termine,
non rispettando l'iter previsto dalle due leggi
menzionate. Chi scrive ha avuto occasione numerose volte, in passato, di offrire assistenza
ai titolari del trattamento, che dovevano proprio affrontare questo iter; fra i vari esempi,
mi permetto di ricordare un caso, riguardan-
Videosorveglianza:
no al controllo dei lavoratori
Non è lecito installare telecamere che possano controllare i lavoratori, anche in aree
e locali dove si trovino saltuariamente. L’uso
delle telecamere sui luoghi di lavoro deve
rispettare in maniera rigorosa gli obblighi
previsti dallo Statuto dei lavoratori, richiamati anche dal Codice della privacy.
Il principio è stato ribadito dal Garante al
termine di un’operazione di controllo sull’utilizzo di apparati di videosorveglianza da
parte di una cooperativa.
L’Autorità ha disposto il blocco del trattamento effettuato mediante alcune videocamere poste in aree suscettibili di transito da
parte dei lavoratori, come quelle di carico e
scarico delle merci, i box informazioni e la
zona circostante. Il sistema di videosorveglianza può, infatti, configurarsi come forma di controllo a distanza dell’attività lavorativa anche nel caso in cui i luoghi di lavoro siano frequentati anche solo temporaneamente dal personale.
A tale proposito, il Garante ha ricordato
quanto a suo tempo stabilito dalla Cassazione, la quale aveva confermato che il divieto
di controllo a distanza dell’attività lavorativa “non è escluso dal fatto che il controllo sia
destinato ad essere discontinuo perché
esercitato in locali dove i lavoratori possono
trovarsi solo saltuariamente”.
84
19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 86
TVCC E PRIVACY
antifurtotvcc giugno 2009
te un grande ente espositivo. Questo ente
espositivo voleva installare un impianto di videosorveglianza, per tutelare la sicurezza degli spazi espositivi, dei visitatori e dei dipendenti. A fronte di un'iniziale resistenza delle
rappresentanze sindacali, il titolare del trattamento provvide a richiedere un parere motivato al Comandante provinciale dei Vigili del
fuoco, in merito alla necessità di installare impianti di videosorveglianza, che tenessero sotto controllo la libertà dei percorsi che avrebbero dovuto seguire i Vigili del fuoco, in caso
di emergenza il titolare del trattamento provvide a richiedere un parere al questore, in merito al fatto che la sicurezza, anche anticrimine, dei visitatori e dipendenti poteva essere incisivamente tutelata da un impianto di videosorveglianza. Quando questa proposta, debitamente motivata, venne portata all'attenzione dell'ispettorato provinciale del lavoro, il
parere positivo non si fece attendere.
Mi auguro che questi semplici esempi, tratti
dalla mia esperienza professionale e dall’attenta attività di vigilanza, svolta dall'autorità
Garante per il tramite del Nucleo privacy della Guardia di finanza, possano aiutare i lettori a migliorare il livello di sicurezza degli insediamenti a loro affidati, nel pieno rispetto
delle vigenti disposizioni di legge.
Ricordo, con l'occasione, che dal primo gennaio 2009 le sanzioni applicabili per le violazioni in tema di privacy sono raddoppiate e
quindi una motivazione economica, affiancata ad una ben più alta motivazione di puntuale rispetto della legge, dovrebbe spingere
ancor di più i titolari del trattamento ad un
corretto comportamento.
[doc. web n. 1601522]
[v. Newsletter]
Prescrizioni per la videosorveglianza in un supermercato - 26 febbraio 2009
IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI
In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice
presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale reggente;
VISTO il Codice in materia di protezione dei dati personali (d.lg. n. 196/2003);
VISTO il provvedimento generale del Garante del 29
aprile 2004, in http://www.garanteprivacy.it, doc. web
n. 1003482, in materia di trattamento di dati personali effettuati tramite sistemi di videosorveglianza;
ESAMINATA la documentazione in atti;
VISTE le risultanze degli accertamenti ispettivi svolti in
loco dal "Nucleo speciale funzione pubblica e privacy"
della Guardia di finanza su delega di questa Autorità
in data 25 settembre 2008;
VISTO quanto emerso dalla predette risultanze, secondo
cui il sistema di videosorveglianza presente presso Unicoop
Firenze S.c.r.l. (composto complessivamente di 16 telecamere) risulta installato per finalità "di supporto delle forze dell'ordine in caso di eventi criminosi e di servizio per
la clientela che accede e lascia i parcheggi sotterranei
[…]", nonché di tutela del patrimonio aziendale "relativamente alla zona di scarico delle merci e [di] sicurezza
dei luoghi e del personale presso il box informazioni ove
vengono custoditi i valori" (cfr. verbale di operazioni compiute del 25 settembre 2008, in atti, p. 2).
PRESO ATTO di quanto dichiarato dalla società ai
sensi e per gli effetti di cui all'art. 168 del Codice in
86
19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 88
TVCC E PRIVACY
antifurtotvcc giugno 2009
box informazioni, nelle more dell'eventuale espletamento delle procedure all'uopo previste dall'art. 4 della legge 20 maggio 1970, n. 300;
ordine all'ubicazione delle telecamere, alcune delle quali localizzate "presso gli accessi alle aree di scarico merci" (con ripresa delle stesse), altre collocate "all'interno
del box informazioni e nelle immediate vicinanze" (con
ripresa di tutto il box e degli attigui locali adibiti a prestito sociale) (cfr. verbale di operazioni compiute del 25
settembre 2008, cit., pp. 2 e 3);
RILEVATO che, in caso di inosservanza del provvedimento di blocco, si renderà applicabile la sanzione di
cui all'art. 170 del Codice;
VISTO inoltre quanto dichiarato dalla società in relazione alle immagini riprodotte sui tre monitor presenti
all'interno del box informazioni (oltre a quello presente presso il caveau), che "sono visionabili dal personale Coop che opera presso il [medesimo] box informazioni e si reca presso il caveau" (cfr. verbale di operazioni
compiute del 25 settembre 2008, cit., p. 3);
PRESO ATTO altresì di quanto precisato in ordine alla mancata attuazione delle disposizioni di cui all'art.
4 della legge 20 maggio 1970, n. 300 (c.d. Statuto dei
lavoratori), in considerazione del fatto che il "sistema
di videosorveglianza non riprende alcun luogo di lavoro, eccezion fatta per il box informazioni e di raccolta del risparmio" (cfr. verbale di operazioni compiute del
25 settembre 2008, cit., p. 4);
RILEVATO che, in base alle precisazioni fornite dalla
società, "tali dipendenti non sono investiti da alcuna
lettera di incarico specifica, in materia di videosorveglianza", ancorché regolarmente designati incaricati in
relazione ad altri diversi trattamenti di dati personali
svolti presso il punto vendita (cfr. verbale di operazioni compiute del 25 settembre 2008, cit., p. 4);
RILEVATO che, in base alle dichiarazioni rese dalla società, alcune delle telecamere installate risultano dislocate in aree (box informazioni; caveau; zona di scarico merci) suscettibili di transito da parte dei lavoratori, con conseguente possibilità di ripresa della loro attività in dette aree (al riguardo, peraltro, cfr. anche
Cass. 6 marzo 1986, n. 1490 secondo cui il divieto di
controllo a distanza dell'attività lavorativa non è escluso dal fatto che il controllo sia destinato ad essere discontinuo perché esercitato in locali dove i lavoratori
possono trovarsi solo saltuariamente);
RILEVATO inoltre che, in base alle dichiarazioni rese,
le immagini riprese vengono memorizzate su apposito disco rigido e "conservate per tre giorni", decorsi i quali
le stesse sono cancellate mediante sovrascrittura (cfr.
verbale di operazioni compiute del 25 settembre 2008,
cit., p. 3);
RILEVATO che, in base alle medesime dichiarazioni,
non risulta allo stato essere stata rispettata la normativa di settore prevista per i controlli a distanza dell'attività dei lavoratori, presupposto indefettibile per la
liceità e correttezza del trattamento di dati (artt. 11,
comma 1, lett. a), e 114 del Codice);
RITENUTO che il suddetto trattamento è illecito anche
alla luce dell'art. 11, comma 1, lett. e), del Codice, non
essendo state addotte dalla società esigenze particolari
atte a giustificare la conservazione delle immagini raccolte per tale arco temporale;
RILEVATO conseguentemente che il predetto trattamento di dati personali non risulta allo stato degli atti conforme alla disciplina in materia di protezione dei
dati personali;
RILEVATO altresì che le risultanze ispettive hanno evidenziato l'assenza di informative idonee a rendere edotti gli interessati in ordine al trattamento di dati personali svolto mediante il sistema di videosorveglianza;
CONSIDERATO che il Garante ha il compito di disporre il blocco del trattamento ai sensi degli artt. 143,
comma 1, lett. c) e 154, comma 1, lett. d), del Codice
in caso di trattamento di dati illecito o non corretto;
RITENUTO pertanto di dover prescrivere a Unicoop Firenze s.c.r.l., ai sensi degli artt. 143, comma 1, lett. b),
e 154, comma 1, lett. c), del Codice, al fine di rendere
il suddetto trattamento conforme alla disciplina in materia di protezione dei dati personali, l'adozione di opportune misure e accorgimenti a garanzia degli interessati (fatti salvi quelli eventualmente già adottati,
anche in conformità al provvedimento generale in ma-
RITENUTO pertanto di dover disporre, nei confronti
di Unicoop Firenze s.c.r.l., il blocco dell'ulteriore trattamento dei dati personali effettuato a mezzo videosorveglianza, nella zona di scarico delle merci e presso il
88
19 v055 tvcc09:Layout 1
29-05-2009
10:06
Pagina 89
TVCC E PRIVACY
antifurtotvcc giugno 2009
teria di videosorveglianza del 29 aprile 2004), e segnatamente:
delle procedure all'uopo previste dall'art. 4 della legge
n. 300/1970;
a. di designare quali incaricati del trattamento ai sensi dell'art. 30 del Codice, ove intenda lasciare immutata l'ubicazione dei monitor sui quali vengono proiettate le immagini riprese dal sistema di videosor veglianza, i dipendenti che operano presso il box informazioni e che accedono al caveau (limitatamente a tale trattamento), disponendo altresì nelle more il blocco
relativamente alla comunicazione a tali soggetti delle
immagini riprese;
2. ai sensi degli artt. 144, 143, comma 1, lett. b), e 154,
comma 1, lett. c) del Codice, prescrive a Unicoop Firenze
s.c.r.l., ai sensi degli artt. 143, comma 1, lett. b), e 154,
comma 1, lett. c), del Codice, l'adozione di opportune misure e accorgimenti a garanzia degli interessati (fatti salvi quelli eventualmente già adottati, anche in conformità al provvedimento generale in materia di videosorveglianza del 29 aprile 2004), e segnatamente:
a. di designare quali incaricati del trattamento ai sensi dell'art. 30 del Codice, ove intenda lasciare immutata l'ubicazione dei monitor sui quali vengono proiettate le immagini riprese dal sistema di videosor veglianza, i dipendenti che operano presso il box informazioni e che accedono al caveau (limitatamente a tale trattamento), disponendo altresì nelle more il blocco
relativamente alla comunicazione a tali soggetti delle
immagini riprese;
b. di commisurare il tempo di conservazione delle immagini alle effettive necessità della raccolta, nei termini previsti dal menzionato provvedimento generale;
c. di integrare i modelli recanti l'informativa "semplificata" con le informazioni indicate nel citato provvedimento generale (eventualmente avvalendosi anche del
"fac-simile" allegato allo stesso), nonché di integrare il
medesimo modello, per le aree diverse da quelle esterne,
con almeno un avviso circostanziato che riporti gli elementi di cui all'art. 13 del Codice;
b. di commisurare il tempo di conservazione delle immagini alle effettive necessità della raccolta, nei termini previsti dal citato provvedimento generale;
RISERVATA, con autonomo provvedimento, la verifica dei presupposti per l'eventuale contestazione della
violazione amministrativa concernente l'omessa e inidonea informativa (artt. 13, comma 4, e 161 del Codice);
c. di integrare i modelli recanti l'informativa "semplificata" con le informazioni indicate nel citato provvedimento generale (eventualmente avvalendosi anche del
"fac-simile" allegato allo stesso), nonché di integrare il
medesimo modello, per le aree diverse da quelle esterne,
con almeno un avviso circostanziato che riporti gli elementi di cui all'art. 13 del Codice.
RITENUTO di dover disporre la trasmissione degli atti
e di copia del presente provvedimento all'autorità giudiziaria per le valutazioni di competenza in ordine agli illeciti penali che riterrà eventualmente configurabili;
3. prescrive a Unicoop Firenze s.c.r.l. di dare documentato riscontro a questa Autorità, entro e non oltre il 23
marzo 2009, delle misure adottate per conformare i trattamenti effettuati alle prescrizioni del presente provvedimento, fornendo ogni informazione utile al riguardo.
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n.
1/2000;
Roma, 26 febbraio 2009
RELATORE il prof. Francesco Pizzetti;
IL PRESIDENTE
Pizzetti
TUTTO CIÒ PREMESSO, IL GARANTE
1. ai sensi degli artt. 144, 143, comma 1, lett. c), e
154, comma 1, lett. d) del Codice, dispone nei confronti
di Unicoop Firenze s.c.r.l. il blocco dell'ulteriore trattamento dei dati personali effettuato a mezzo videosorveglianza, nella zona di scarico delle merci e presso il box
informazioni, nelle more dell'eventuale espletamento
IL RELATORE
Pizzetti
IL SEGRETARIO GENERALE REGGENTE
De Paoli
89