I sistemi di videosorveglianza devono rispettare i principi di privacy by design e privacy by default
I sistemi di videosorveglianza sia che perseguano finalità di “security” che di mera “tutela del patrimonio” devono essere progettati tenendo conto, sotto il profilo della protezione dei dati personali dei principi della c.d. privacy by design e by default.
Con l’espressione data protection by design , disciplinata dal paragrafo 1 dell’articolo 25 del RGPD 679/2016, si intende l’obbligo in capo al Titolare, tenuto conto dello stato dell’arte e dei costi di attuazione, nonché della natura e delle finalità del trattamento, di mettere in atto misure tecniche e organizzative adeguate, per integrare nel trattamento le necessarie garanzie volte a tutelare i diritti degli interessati.
Ne segue che in virtù di questi principi le forze di polizia, ad esempio, che intendono utilizzare un sistema di videosorveglianza per finalità di sicurezza urbana o di sicurezza pubblica così come un azienda o un ente pubblico che intende tutelare il proprio patrimonio dovranno predisporre e implementare idonee misure organizzative e tecniche che consentano di tutelare fin dal primo momento in cui il dato (l’immagine) viene raccolto i diritti e le libertà fondamentali degli interessati.
Il livello di adeguatezze delle misure di sicurezza da implementare sarà influenzato oltre che dalla categoria di interessati oggetto del sistema di videosorveglianza anche dalla tecnologia adottata.
Sotto questo profilo, ricordiamo che il Provv. Generale in tema di videosorveglianza 08.04.2010 prevedeva che i seguenti sistemi di videosorveglianza fossero sottoposti a verifica preliminare:
- sistemi di videosorveglianza abbinati a dati biometrici;
- sistemi dotati di software, che consentono il riconoscimento delle persone;
- sistemi c.d. intelligenti, che cioè non si limitano a riprendere e registrare le immagini, ma sono in grado di rilevare automaticamente comportamenti o eventi anomali, segnalarli ed eventualmente registrarli;
- sistemi integrati di videosorveglianza;
- allungamento dei tempi di conservazione delle immagini oltre il previsto termine massimo di sette giorni.
Come noto, con la piena attuazione del Regolamento UE 2016/679 a partire dal 25 maggio 2018 l'intervento delle autorità di controllo avviene principalmente "ex post", ossia si colloca successivamente alle determinazioni assunte autonomamente dal titolare; ciò spiega l'abolizione di alcuni istituti previsti dalla direttiva del 1995 e dal Codice italiano, come la notifica preventiva dei trattamenti all'autorità di controllo e la verifica preliminare( si veda art. 17 abrogato del Codice Privacy), sostituiti da obblighi di tenuta di un registro dei trattamenti da parte del titolare/responsabile e di effettuazione di valutazioni di impatto ai sensi dell’articolo 35 Reg. UE 2016/679 in piena autonomia.
A queste “tecnologie” oggi vanno aggiunte particolari applicazioni di videonalisi basate sull’intelligenza artificiale quali il riconoscimento facciale fondato su algoritmi di “face recognition” adottati nel mondo della security, o di “face detection” applicati in ambito marketing, oppure la tecnologia c.d. “appearance search” che sfrutta un algoritmo in grado di effettuare le ricerche di persone o veicoli per verosimiglianza tra loro consentendo un’estrapolazione mirata del registrato tra decine di telecamere. Esso, consente inoltre di affinare la ricerca tra visi che si somigliano potendo ricercare una specifica persona tra numerose telecamere in base al colore dei capelli, età, colore dei vestiti ecc.
Come accennato in questi casi sarà necessario condurre una valutazione di impatto privacy (Data Protection Impact Assessment – DPIA).
Una DPIA consiste in una procedura finalizzata a descrivere il trattamento, valutarne necessità e proporzionalità, e facilitare la gestione dei rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento dei loro dati personali (attraverso la valutazione di tali rischi e la definizione delle misure idonee ad affrontarli).
Attraverso la DPIA che esprime chiaramente la responsabilizzazione (accountability) dei titolari nei confronti dei trattamenti da questi effettuati sarà possibile costruire un sistema di gestione privacy che adotti in ossequio ai canoni della privacy by design adeguate misure di sicurezza che dovranno confluire, preferibilmente, all’interno di un regolamento sulla videosorveglianza che definisca in maniera precisa e dettagliata chi è autorizzato ad accedere alle immagini, le modalità di conservazione, di trasmissione, di cancellazione, ecc. e le misure logiche di sicurezza sotto il profilo della riservatezza, disponibilità e integrità dei dati.
Alla luce delle brevi considerazioni svolte la data protection by design significa il rispetto dei principi di data protection attraverso la loro protezione fin dalla fase di progettazione di un trattamento di dati personali.
L’applicazione di automatismi idonei a rispettare i principi della data protection, ci aiutano a comprendere anche il concetto della data protection by default, che è definito dal paragrafo 2 dell’articolo 25 del RGPD 679/2016 .
Si tratta di un concetto molto importante quando si ha a che fare con trattamenti automatizzati, come avviene, ad esempio, con i sistemi di videosorveglianza, perché sta a significare che la protezione di un trattamento di dati personali è garantita da impostazioni predefinite (di “default”).
Si pensi al riguardo alla configurazione dei tempi di conservazione delle immagini dei sistemi di registrazione (DVR, NVR). La configurazione, a titolo esemplificativo, di un apparato per la durata di sette giorni per finalità di sicurezza urbana, salvo richieste specifiche da parte delle forze di polizia a competenza generale, consentirà alla polizia locale di rispettare by default quanto previsto dal paragrafo 3.4.3 del provv. Generale in tema di videsorveglianza del 08.04.2010 secondo il quale: “ i Comuni, e nelle sole ipotesi in cui l'attività di videosorveglianza sia finalizzata alla tutela della sicurezza urbana, il termine massimo di durata della conservazione dei dati sia limitato "ai sette giorni successivi alla rilevazione delle informazioni e delle immagini raccolte mediante l'uso di sistemi di videosorveglianza, fatte salve speciali esigenze di ulteriore conservazione".
Un altro importante esempio di costruzione di un modello di gestione privacy conforme alla privacy by design, riguarda l’applicazione dei patti per la sicurezza di cui al D.L. 20.02.2017, n.14 (conv. L. 18.04.2017, n.48). In questo caso nel configurare i sistemi di videosorveglianza da utilizzare in comune tra le diverse forze di polizie si dovranno tenere in considerazione quanto previsto dalle Linee Generali sulla sicurezza integrata del 24 Gennaio 2018 (in attuazione dell’articolo 2, D.L n.14/2017, con. L. n. 48/2017) secondo le quali: “[OMISSIS] Occorre tenere presente che i sistemi di videosorveglianza attivati dalle Forze di polizia rispondono alle finalità di prevenzione generale dei reati e di salvaguardia della sicurezza pubblica. Essi, pertanto, sono utilizzabili per finalità di contrasto a fenomeni delittuosi o di prevenzione delle possibili turbative dell’ordine e della sicurezza pubblica di esclusiva competenza statale che esorbitano l’ambito della sicurezza urbana, come definita dall’art. 4 del D.L. n. 14 del 2017.
Tenuto conto di ciò, l’utilizzazione in comune dei sistemi dovrà avvenire in ossequio al principio del rispetto delle rispettive competenze, in più momenti ribadito dal decreto legge e a quelli di «pertinenza e non eccedenza» dei trattamenti dei dati personali rispetto ai compiti istituzionali assegnati, sanciti dal ricordato «Codice della Privacy».
In sede di applicazione pratica l’utilizzazione in comune degli apparati di videosorveglianza e, quindi, delle immagini riprese avverrà in maniera selettiva, garantendo alla Polizia Locale di disporre degli apparati delle Forze di polizia dislocati nelle aree urbane dove si presentano i fenomeni rilevanti per la sicurezza urbana o che comunque appaiono di interesse per l’assolvimento degli specifici compiti istituzionali demandate alle stesse polizie locali.
Con la stessa logica, saranno individuati gli apparati di videosorveglianza attivati dagli Enti locali, rilevanti per le attività di tutela dell’ordine e della sicurezza pubblica riservate alle Forze di Polizia.” (Linee generali, 24 gennaio 2018 pag.9).
In conclusione, la finalità della data protection by design è quella di rendere i trattamenti compliance alla disciplina sulla protezione dei dati personali, mentre la finalità della data protection by default attiene alla protezione del trattamento automatizzato da accessi non consentiti e per finalità diverse, attraverso la configurazione di impostazioni che di “default” consentono il rispetto della disciplina sulla protezione dei dati personali.
Entrambi questi concetti sono destinati a giocare un ruolo fondamentale in termini di responsabilità giuridica per il Titolare in quanto nel Regolamento (art. 24) il Titolare è tenuto ad assumere tutte le misure, tecniche e organizzative, necessarie per consentire di “dimostrare” che i trattamenti da lui posti in essere sono conformi alla normativa.
