Sistemi di videosorveglianza nel mirino del Garante privacy

di Elisa Chizzola

Rischi della videosorveglianza: è sempre più difficile restare anonimi

I sistemi di videosorveglianza rappresentano strumenti di sicurezza e di controllo sempre più diffusi.
I dispositivi video si inseriscono prepotentemente nella vita delle persone, caratterizzando sia contesti pubblici che privati, e sono in grado di influenzare fortemente i comportamenti dei cittadini sottoposti all’occhio dell’obbiettivo.
Questo inarrestabile processo richiede necessariamente una gestione dei sistemi di rilevazione delle immagini conforme alle norme dell’ordinamento giuridico: si può oggi parlare di una vera e propria “video-governance”, contesto non solo complesso e critico ma anche normativamente “stratificato”. 
Infatti, l’utilizzo e la gestione di sistemi di videosorveglianza richiede il rispetto, oltre che della disciplina in materia di trattamento e protezione dei dati personali, anche delle altre normative applicabili: ad esempio, le vigenti norme dell’ordinamento civile e penale in materia di interferenze illecite nella vita privata (tra cui art. 615-bis, Codice penale), o in materia di controllo a distanza dei lavoratori (art. 4, Statuto dei lavoratori).
Non solo. L’utilizzo sempre più massiccio, dal punto di vista quantitativo, di strumenti video vede, parallelamente, un inarrestabile processo di sofisticazione degli strumenti utilizzati grazie all’evoluzione delle tecnologie, situazione che aumenta in modo esponenziale tutte le criticità e le complessità legate ad una gestione compliance del fenomeno.
La videosorveglianza è diventata un sistema ad alte prestazioni grazie alla crescente applicazione di tecnologie di analisi dei video “intelligenti”, che rinviano al concetto di “sorveglianza intelligente” effettuata con telecamere dotate di tecniche di artificial intelligence anche attraverso il riconoscimento facciale con tecniche biometriche.
Se è vero, infatti, che la videosorveglianza, sotto il profilo della materia della protezione dei dati personali, rappresenta un tema che potremmo definire “tradizionale”, occorre sottolineare come esso sia un ambito sempre in “evoluzione”: oltre alle tecnologie di AI, si diffondono droni, bodycam, e altre sofisticate strumentazioni. È chiaro come ormai la videosorveglianza, anche senza “scomodare” le tecniche di AI, vada ben oltre la ripresa di un luogo fisico che entra nel raggio d’azione della telecamera.
È evidente come tali strumentazioni si rivelano molto intrusive e aumentano vertiginosamente, lato data protection, i rischi legati ai diritti e alle libertà delle persone riprese. Se infatti il diritto alla riservatezza, come noto, storicamente nasce dall’inviolabile “diritto ad essere lasciati soli” (right to be alone) che porta con sé il correlato “diritto all’anonimato”, è evidente come le “memorie” della videosorveglianza mettano seriamente in pericolo tali diritti. Restare anonimi e preservare la propria privacy rappresentano esigenze sempre più difficili da soddisfare per l’individuo.
Siamo consapevoli che tutto ciò non si può arrestare, anzi, è inevitabile che tale fenomeno caratterizzerà sempre più intensamente le nostre vite.
Se ciò è inconfutabile, tuttavia, il rischio per i diritti e le libertà delle persone fisiche può essere mitigato da una gestione sempre più “governata” dei sistemi di videosorveglianza esistenti ed in procinto di essere installati; tale governance deve necessariamente basarsi sulla conoscenza approfondita di tutte le normative coinvolte.
Tali normative fanno riferimento a discipline tutte molto specialistiche che si intrecciano, come spesso accade, e in questo caso sono caratterizzate da competenze che derivano dalla conoscenza della normativa civilistica e penale in tema, dell’ambito gius-lavoristico collegato, nonché naturalmente della conoscenza e applicazione delle norme e principi privacy.
Ecco che allora è essenziale seguire e conoscere gli adempimenti che società, enti ed imprese devono mettere in atto al fine di installare e utilizzare correttamente le tecnologie in questione.

La videosorveglianza nel piano ispettivo del Garante privacy nel primo semestre 2022

È quanto mai importante riprendere ed analizzare gli adempimenti privacy legati ai sistemi di videosorveglianza in questo momento, considerando che il Garante per la protezione dei dati personali ha stabilito che per il primo semestre 2022 l’attività ispettiva si focalizzerà anche su tale settore. Quindi in questo periodo il Garante privacy “punta il faro” anche sul trattamento di dati personali nell’ambito della videosorveglianza attraverso le attività ispettive curate dallo stesso Ufficio dell’Autorità di controllo italiana, affiancato dalla Guardia di finanza con il suo Nucleo speciale tutela privacy e frodi tecnologiche.
Tale esigenza di concentrare i controlli in tale ambito deriva dal fatto che nell’ultimo periodo l’Autorità di controllo è stata subissata di reclami e segnalazioni riguardanti, oltre che al settore del telemarketing, anche potenziali trattamenti di dati illeciti nell’ambito della gestione dei dispositivi video. Infatti, ultimamente i settori più “caldi”, oggetto di reclami e segnalazioni da parte degli interessati, sono tre: il telemarketing, la videosorveglianza, oltre che il mancato soddisfacimento dei diritti in capo agli interessati. In particolare, le segnalazioni e i reclami in tema di videosorveglianza vengono inviati all’Autorità di controllo da cittadini, da condomini, da clienti-consumatori, ma anche da dipendenti e relative organizzazioni sindacali aziendali. I rappresentanti dei lavoratori spesso lamentano che le telecamere costituiscano più strumenti di controllo dei lavoratori piuttosto che misure a difesa della proprietà e sicurezza aziendale. È chiaro quindi che la grande attenzione che negli ultimi mesi è stata data dai cittadini al tema della videosorveglianza ha portato il Garante a voler approfondire tale ambito programmando controlli mirati per il primo semestre del 2022.

Evoluzione normativa in tema di videosorveglianza

Occorre fare innanzitutto il punto sulla normativa applicabile al contesto della videosorveglianza che, rispetto all’ambito della protezione dei dati personali, rinvia in primis al GDPR e al Codice privacy, ma che comprende anche i provvedimenti emanati  – nel 2000, nel 2004 e nel 2010 e, più recentemente nel 2020 in forma di FAQ – dall’Autorità di controllo italiana, capace di esprimere importanti criteri interpretativi delle norme in argomento, per poi arrivare alla Linee guida adottate il 29 gennaio 2020 dall’European data protection board (n. 3/2019).
Sinteticamente, ripercorrendo l’evoluzione normativa e provvedimentale citata, in assenza di una specifica normativa, con il Provvedimento del 29 novembre 2000, il Garante privacy italiano ha deciso di fissare un “decalogo” di regole, costituito da indicazioni sintetiche ma interessanti, per aiutare i soggetti a rendere conforme alle norme sulla privacy l’installazione di telecamere in luoghi pubblici e privati.
Successivamente, con il Provvedimento generale del 29 aprile 2004 è stato introdotto l’obbligo di sottoporre alla verifica preliminare del Garante i trattamenti che prevedono l’intreccio delle immagini con dati biometrici e voce o in caso di digitalizzazione delle immagini.
Il provvedimento generale dell’8 aprile 2010, invece, ha imposto il rispetto di garanzie ancor più stringenti per l’introduzione di sistemi integrati di videosorveglianza. In particolare, tale provvedimento aveva previsto l’obbligo di sottoporre alla preventiva autorizzazione del Garante i sistemi che presentavano rischi per i diritti e le libertà fondamentali delle persone, come i sistemi tecnologicamente avanzati o “intelligenti”.
Il meccanismo della preventiva autorizzazione del Garante a seguito di una verifica preliminare (cd. “prior checking”) era previsto dall’ormai abrogato art. 17, Codice privacy.
L’applicazione delle norme e dei principi contenuti nel GDPR, vincolanti per tutti gli Stati membri dell’Ue a partire dal 25 maggio 2018, ha avuto un’importanza fondamentale anche sul versante della corretta gestione della videosorveglianza: la nuova volontà del Legislatore europeo segna il passaggio, tra le altre cose, dalla verifica preliminare dell’Autorità (ex art. 17 Codice privacy, oggi abrogato) al principio di accountability.
Si sottolinea che il provvedimento del 2010 risulta ancora valido nella misura in cui le disposizioni e i criteri interpretativi in esso contenuti non risultano superati dal GDPR e dalle Linee guida n. 3/2019 dell’EDPB.
Infatti, a questo proposito, il 29 gennaio 2020 l’European Data Protection Board ha adottato le Linee guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, che comprendono anche la cd. videosorveglianza. Le Linee guida forniscono importanti indicazioni circa l’approccio basato sul rischio nei trattamenti che includono la videosorveglianza, con una particolare attenzione rivolta alle nuove tecnologie.
Inoltre, il Garante per la protezione dei dati personali il 5 dicembre 2020 ha messo a punto delle interessanti Faq sulle questioni concernenti il trattamento dei dati personali nell’ambito dell’installazione di impianti di videosorveglianza da parte di soggetti pubblici e privati. Tali chiarimenti si sono resi necessari in ragione delle nuove previsioni introdotte dal GDPR, alla luce delle quali va valutata la validità dell’ultimo provvedimento del Garante in materia sopra citato, che risale al 2010 e che evidentemente contiene prescrizioni in parte superate. Le Faq tengono conto anche delle citate Linee guida dell’EDPB e contengono un modello di informativa semplificata redatto proprio sulla base dell’esempio proposto dall’EDPB.
Da ultimo, si sottolinea che recentemente, nel corso del mese di gennaio 2022, il Garante privacy, data l’effettiva e sentita esigenza di sicurezza personale dei cittadini che ricorrono sempre più spesso a telecamere “private”, ha diffuso una pratica e chiara scheda informativa che fissa sinteticamente le condizioni da seguire nel caso in cui le persone fisiche siano interessate ad attivare sistemi di videosorveglianza a tutela della sicurezza di persone o beni, nell’ambito di attività di carattere personale o domestico.
Peraltro, è in fase di definizione presso il Garante un nuovo provvedimento in tema di videosorveglianza che aggiorna il provvedimento citato del 2010 in quanto l’Autorità di controllo sente ormai l’esigenza di allineare le disposizioni della fonte provvedimentale alle Linee guida del Board e, in generale, ai tutti i principi del GDPR, eliminando in questo modo potenziali sovrapposizioni tra fonti e rischi di errata interpretazione.

Definizione di videosorveglianza e dati personali oggetto del trattamento

Il RGPD non contiene una definizione dei sistemi di videosorveglianza, tuttavia una descrizione tecnica è disponibile, ad esempio, nella norma EN 62676-1-1:2014.
È l’EDPB con le Linee guida citate n. 3/2019 che prova a definire, dal punto di vista terminologico, un sistema di videosorveglianza (VVS), concependolo come sistema costituito da “dispositivi analogici e digitali nonché da software per acquisire immagini, gestirle e mostrarle a un operatore”. Il Board abbraccia una definizione “tecnica” descrivendo gli elementi che devono comporre tale sistema, categorizzabili con riferimento:

• ad un ambiente video: l’attività del sistema comprende, in generale, l’acquisizione di immagini, l’interconnessione e la gestione delle immagini;
• alle funzioni logiche di gestione del sistema, le quali implicano la gestione dei dati, delle attività e delle interfacce/connessioni con altri sistemi;
• alla sicurezza di un sistema, la quale consiste nella riservatezza, nell’integrità e nella disponibilità del sistema e dei dati, contesto che comprende la sicurezza fisica di tutti i componenti del sistema e il controllo dell’accesso al VVS, nonché la prevenzione della perdita o della manipolazione dei dati.

Sotto il profilo della tipologia dei dati personali che possono entrare nel raggio d’azione della telecamera, si evidenzia che la sorveglianza sistematica e automatizzata di uno spazio specifico con mezzi ottici o audiovisivi comporta la raccolta e la conservazione di informazioni grafiche o audiovisive su tutte le persone fisiche che entrano nello spazio monitorato, identificabili in base al loro aspetto o ad altri elementi specifici. L’identità di tali persone può essere stabilita sulla base delle informazioni così raccolte. Questo tipo di sorveglianza consente, inoltre, un ulteriore trattamento dei dati personali per quanto riguarda la presenza e il comportamento delle persone nello spazio considerato. È sulle possibili “correlazioni” di dati che si insinuano la maggior parte dei rischi per la riservatezza degli individui, senza dimenticare che il rischio potenziale di un uso improprio di tali dati aumenta in rapporto alla dimensione dello spazio monitorato e al numero di persone che lo frequentano.
Non solo. Come detto, i sistemi di videosorveglianza raccolgono enormi quantità di dati personali che possono rivelare dati di natura altamente personale e persino categorie particolari di dati ai sensi dell’art. 9 GDPR. Infatti, dati apparentemente non significativi, all’origine raccolti tramite video, possono essere utilizzati per ricavare altre informazioni e raggiungere uno scopo diverso da quello iniziale (ad esempio, per mappare le abitudini di un individuo). Naturalmente se le riprese video sono trattate allo scopo di ricavare categorie particolari di dati si applica l’art. 9, pertanto tale finalità va innanzitutto dichiarata nell’informativa e richiede una delle deroghe al divieto generale di trattamento di tali categorie di dati previste dalla norma citata. A questo proposito, le FAQ del Garante privacy del 2020 evidenziano come il trattamento di categorie particolari di dati personali attuato attraverso sistemi video richieda una vigilanza rafforzata e continua, ad esempio attuata con elevati livelli di sicurezza e attraverso una DPIA.

Sistemi di videosorveglianza: principi generali e adempimenti

Naturalmente per installare impianti di videosorveglianza correttamente, in conformità alla normativa data protection, occorre innanzitutto rispettare i principi cardine previsti dal GDPR, vale a dire in primis il principio di privacy by design e by default, i principi generali applicabili al trattamento dei dati personali ex art. 5 DGPR (principio di liceità, correttezza e trasparenza, principio di limitazione della finalità, principio di minimizzazione dei dati – si veda infra il paragrafo dedicato – principio di esattezza, principio di limitazione della conservazione, principio di integrità e riservatezza), compreso il principio di accountability.
Più nello specifico, per quanto riguarda gli step da seguire per l’installazione di sistemi di videosorveglianza compliance privacy, si elencano di seguito gli adempimenti necessari:

• individuazione della finalità del trattamento e della relativa base giuridica ex art. 6 GDPR;
• previsione del periodo di conservazione dei dati personali;
• predisposizione delle misure di sicurezza tecniche ed organizzative;
• previsione del processo di gestione dei diritti dell’interessato;
• predisposizione delle informative privacy (composta da cartello ed informativa completa), che deve contenere sinteticamente le decisioni relative ai 4 punti sopra citati;
• regolamento tecnico per l’utilizzo del sistema di videosorveglianza e controllo datoriale nel rispetto dell’art. 4, Statuto dei lavoratori, nel caso di inserimento del sistema in ambito lavorativo (art. 114 Codice privacy);
• predisposizione della DPIA ex art. 35 GDPR, nel caso di rischio elevato per i diritti e le libertà degli interessati (ed eventuale consultazione preventiva del Garante privacy ex art. 36 GDPR);
• istruzione agli autorizzati al trattamento dei dati personali/immagini raccolte derivanti dagli impianti di videosorveglianza;
• eventuale nomina dei responsabili per il trattamento dei dati personali ex art. 28 GDPR, nel caso in cui l’attività di videosorveglianza venga gestita da un soggetto terzo per conto del titolare del trattamento.

Finalità del trattamento e base giuridica

La videosorveglianza può servire per molti scopi che sinteticamente rinviano a finalità di sicurezza di persone o beni, nonché di controllo di persone o beni.
In particolare, le finalità che possiamo definire “tipiche” perseguite dal titolare del trattamento in occasione dell’installazione della relativa strumentazione fanno riferimento all’esigenza di:

• protezione della vita e dell’integrità fisica degli individui;
• protezione della proprietà (mobiliare o immobiliare);
• rilevazione, prevenzione e controllo delle possibili infrazioni, in ambito civilistico e amministrativo;
• rilevazione, prevenzione e controllo in relazione alla commissione di reati;
• acquisizione di elementi di prova in vista di procedimenti giudiziari e stragiudiziali;
• identificazione biometrica di soggetti sospetti.

Ogni finalità del monitoraggio, che deve essere specifica per ogni telecamera di sorveglianza in uso, va documentata per iscritto ai sensi dell’art. 5, par. 2, GDPR (principio di accountability), nonché va comunicata all’interessato ex art. 13 GDPR.
Si ricorda, che l’art. 5, par. 1, lett. b), GDPR stigmatizza il principio di limitazione delle finalità, secondo il quale i dati personali devono essere raccolti per finalità “determinate, specifiche e legittime”, pertanto la semplice menzione di uno scopo di “sicurezza” o “per la vostra sicurezza” con riguardo alla videosorveglianza non è sufficientemente specifica. Tali locuzioni peraltro contrastano con il principio secondo il quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (principio di liceità, correttezza e trasparenza ex art. 5, par. 1, lett. a), GDPR).
Il ragionamento giuridico legato all’individuazione della finalità, in ambito data protection, è strettamente collegato alla scelta della corretta base giuridica ex art. 6 GDPR che supporta la liceità del trattamento stesso. Nella pratica, nel contesto della videosorveglianza, le condizioni di liceità più suscettibili di essere utilizzate sono il legittimo interesse (art. 6, par. 1, lett. f), la necessità di eseguire un compito di interesse pubblico o connesso all’esercizio di pubblici poteri (art. 6, par. 1, lett. e), e, in casi marginali, il consenso (art. 6, par. 1, lett. a).
In relazione, in particolare, alla base giuridica del legittimo interesse, tale condizione di liceità si configura legittima se la videosorveglianza è necessaria per conseguire la finalità di soddisfare un legittimo interesse (che può avere natura giuridica, economica o immateriale) perseguito da un titolare del trattamento o da un terzo, a meno che su tale interesse non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato. Il legittimo interesse, inoltre, deve esistere ed essere attuale e non quindi fittizio od ipotetico.

Principio di minimizzazione con criterio cardine

Come anticipato, la corretta installazione di sistemi di videosorveglianza deve avvenire nel rispetto dei principi generali previsti dal GDPR, innanzitutto conformemente al principio di minimizzazione dei dati personali ex art. 5, par. 1, lett. c), GDPR, secondo il quale i dati personali devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati.
Tale principio cardine in materia di privacy, nell’ambito della videosorveglianza si traduce nell’obbligo per il titolare del trattamento di valutare criticamente, prima di installare il sistema, se questa misura sia in primo luogo idonea a raggiungere l’obiettivo desiderato e, in secondo luogo, se sia adeguata e necessaria per i suoi scopi.
La logica è quella della misura di extrema ratio: il titolare del trattamento deve optare per la videosorveglianza esclusivamente se la finalità non si possa ragionevolmente raggiungere con altri mezzi meno invasivi per i diritti e le libertà fondamentali degli interessati.
Per esplicitare meglio il concetto, l’EDPB esemplifica considerando il caso di un titolare che abbia l’esigenza di prevenire reati legati al patrimonio: invece di installare un sistema di videosorveglianza potrebbe scegliere di adottare misure di sicurezza alternative, come la recinzione della proprietà, una migliore illuminazione, l’installazione di serrature di sicurezza, finestre e porte a prova di manomissione o l’applicazione di rivestimento anti-graffiti o lamine alle pareti (oltre che valutare, nelle realtà più complesse, l’opzione dell’utilizzo di personale di sicurezza e di custodi). Tali misure, infatti, possono essere efficaci quanto i sistemi di videosorveglianza contro furti e vandalismi e, dato che sono meno invasive rispetto alla videosorveglianza, rispettano a pieno il principio di minimizzazione in esame.
È chiaro che l’applicazione del principio di minimizzazione richiede un’attività di bilanciamento degli interessi in gioco: il contemperamento va fatto tenendo presente, da una parte, i legittimi interessi e le finalità del titolare del trattamento e, dall’altro, i diritti e le libertà fondamentali delle persone fisiche. Tale ragionamento giuridico deve essere effettuato specificatamente, caso per caso.
In questo contesto, criterio decisivo è rappresentato dalla “misura” della potenziale invasività della videosorveglianza rispetto ai diritti ed alle libertà dell’individuo. Il “calcolo” di tale “misura” dipende da diversi fattori: dal tipo di informazioni raccolte (contenuto delle informazioni), dalla portata (densità delle informazioni, estensione territoriale e geografica), dal numero di interessati coinvolti – come numero specifico o come percentuale della popolazione interessata – dalla situazione specifica, dagli interessi effettivi del gruppo di interessati, dalla disponibilità di strumenti mezzi alternativi nonché dalla natura e dalla portata della valutazione dei dati. Quindi importanti elementi di bilanciamento si rivelano essere le dimensioni della zona e il numero di interessati sotto sorveglianza.
Oltre a ciò, sempre in virtù del principio di minimizzazione, occorre interrogarsi sulla necessità del trattamento anche sotto il profilo delle modalità di conservazione delle immagini. In alcuni casi potrebbe essere necessario utilizzare soluzioni tipo scatola nera, nelle quali il filmato viene registrato, conservato e automaticamente cancellato dopo un determinato periodo di tempo, con la possibilità di accedervi solo in caso in cui si verifichino eventi problematici. Invece, in altre situazioni, potrebbe non essere necessario registrare il materiale video, essendo magari sufficiente il monitoraggio in tempo reale, senza registrazione. L’opzione per tale seconda soluzione, se si ritiene non indispensabile la registrazione delle immagini, rispetta a pieno il principio di minimizzazione nei termini sopra descritti. Naturalmente la scelta tra le due soluzioni dipende dallo scopo perseguito.

Informative di primo livello (cartello) e di secondo livello (informativa privacy completa)

Un altro adempimento che richiede un focus particolare è quello legato all’obbligo di trasparenza in capo al titolare del trattamento: l’attività di videosorveglianza solitamente è segnalata all’interessato, attraverso un approccio scalare/granulare, con un’informativa di primo livello (cd. cartello) e con un’informativa di secondo livello, vala a dire completa di tutti gli elementi ex art. 13 GDPR.
L’informativa semplificata fornita attraverso il consueto cartello (si ricorda che le FAQ del Garante privacy hanno fornito un fac-simile di cartello, in linea con il modello fornito dalle Linee guida dell’EDPB citate) deve contenere, tra le altre informazioni, le indicazioni sul titolare del trattamento e sulla finalità perseguita.
Il cartello va collocato prima di entrare nella zona sorvegliata, in quanto l’interessato deve poter capire in anticipo, prima di accedervi, quale zona sia coperta da una telecamera: in questo modo, se lo ritiene, può consapevolmente scegliere di evitare la sorveglianza oppure può decidere di adeguare il proprio comportamento alla presenza del sistema video.
Non è necessario che il cartello riporti la precisa ubicazione della telecamera, purché non vi siano dubbi su quali zone sono soggette a sorveglianza e sia chiarito in modo inequivocabile il contesto della sorveglianza.
L’informativa semplificata deve rinviare all’informativa completa contenente tutti gli elementi obbligatori ex art. 13 GDPR, indicando chiaramente le modalità per accedere al testo esteso: ad esempio, è possibile rinviare al sito Internet del titolare del trattamento, oppure alle bacheche aziendali, oppure – sfruttando la tecnologia esistente – il cartello potrebbe riportare un QR Code (codice QR) che rimanda direttamente al testo dell’informativa estesa e completa.

Periodo di conservazione delle immagini registrate

La questione dei tempi di conservazione delle immagini registrate dai sistemi di videosorveglianza rappresenta un tema molto delicato e complesso, che implica attente e motivate valutazioni in capo al titolare del trattamento.
Come anticipato, per strutturare un sistema di videosorveglianza compliance privacy è necessario rispettare, tra gli altri, anche il principio di limitazione della conservazione (art. 5, par. 1, lett. e), GDPR), in virtù del quale le immagini non possono essere conservate più a lungo di quanto necessario per le finalità per le quali sono acquisite.
In base al principio di accountability, spetta al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.
Le FAQ del Garante per la protezione dei dati personali fanno proprio questo ragionamento, al netto di specifiche norme di legge che prevedono espressamente determinati tempi di conservazione dei dati. Ad esempio, l’art. 6, co. 8, D.L. 11/2009, nell’ambito dell’utilizzo da parte dei Comuni di sistemi di videosorveglianza in luoghi pubblici o aperti al pubblico per la tutela della sicurezza urbana, dispone che “la conservazione dei dati, delle informazioni e delle immagini raccolte mediante l’uso di sistemi di videosorveglianza è limitata ai sette giorni successivi alla rilevazione, fatte salve speciali esigenze di ulteriore conservazione”.
In via generale, le FAQ citate, allineandosi ai ragionamenti dell’EDPB, sottolineano che spesso gli scopi della videosorveglianza sono la sicurezza e la protezione del patrimonio. Se questo è lo scopo, solitamente è possibile individuare eventuali danni entro uno o due giorni. Pertanto, tenendo conto dei principi di minimizzazione dei dati e di limitazione della conservazione, i dati personali dovrebbero essere – nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici) – cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione.
Per orientale i titolari, il Garante privacy descrive una fattispecie concreta: occorre considerare che normalmente un piccolo esercizio commerciale si accorgerebbe di eventuali atti vandalici il giorno stesso in cui si verificano; pertanto in questo caso un periodo di conservazione di 24 ore si dimostra, in linea generale, sufficiente. Tuttavia, la chiusura nei fine settimana o in periodi festivi più lunghi potrebbe giustificare un periodo di conservazione più prolungato.
Infine, a chiosa del tema, si sottolinea che in particolari casi potrebbe essere necessario prolungare i tempi di conservazione delle immagini inizialmente fissati dal titolare o previsti dalla legge: ad esempio, nel caso in cui tale prolungamento si renda necessario a dare seguito ad una specifica richiesta dell’autorità giudiziaria o della polizia giudiziaria in relazione ad un’attività investigativa in corso.