Salve,
partiamo da una premessa fondamentale, ovvero che il trattamento che la sua cliente intende realizzare deve essere preceduto da una valutazione di impatto per il sol fatto che esso ha ad oggetto lavoratori dipendenti. Questo in ragione del chiarimento interpretativo reso dal Garante Italiano circa i trattamenti da sottoporre a DPIA e pubblicato nella gazzetta Ufficiale 268/18 ove al punto 5 troviamo i “Trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e di geolocalizzazione”(doc. web 9058979)
Peraltro una conservazione così lunga delle immagini, che con la vecchia disciplina doveva essere sottoposta ad una verifica preliminare (art. 17 CDP), dovrebbe, comunque, essere oggetto di una valutazione di impatto anche ove i dati trattati non riguardassero i lavoratori stante i rischi connessi a periodi così lunghi di conservazione delle immagini.
Venendo al suo quesito mi sento di condividere l’operato dell’ispettorato nel rimandare la questione alla normativa su l trattamento dei dati.
Il compito dell’ispettorato è quello di accertare che l’impianto di videosorveglianza, per come realizzato, rispetti quel bilanciamento tra gli interessi dell’imprenditore a garantire la tutela de patrimoni aziendale e quelli dei lavoratori a mantenere la propria dignità e a non subire indebite costrizioni.
La questione dei tempi di conservazione coinvolge problemi diversi da quest’operazione di bilanciamento e che attengono in particolare alle misure di sicurezza da adottate al fine di gestire al meglio eventuali incidenti di violazione (data breach).
Su questo tema l’ispettorato non ha le competenze tecniche necessarie a poter prendere una posizione.
Per tale ragione, ove gli esiti della valutazione di impatto dovessero essere negativi, la sua cliente non potrà che ricorrere alla consultazione preventiva dell’autorità Garante come previsto dall’art. 35 GDPR.
Saluti.
