Termini di conservazione delle immagini: una normativa che suscita molti dubbi

News 07/06/2012

di dott.ssa Anna Veltri - Studio Legale Frediani - coordinamento ABIRT

Una questione spinosa e non poco controversa quella relativa al prolungamento dei termini per la  conservazione delle immagini  che, nel giro di pochi anni, ha assistito a  radicali cambiamenti delle disposizioni in materia. Ma andiamo per gradi. Con il provvedimento di carattere generale datato 2010, l'Autorità Garante per la Protezione dei Dati Personali stabilisce precisi vincoli a cui attenersi rigidamente per utilizzare – nel rispetto della normativa vigente- gli impianti di videosorveglianza. In tale disposizione prioritario è l'obbligo di garantire che i dati raccolti siano "protetti con idonee e preventive misure di sicurezza, riducendo al minimo i rischi di distruzione, di perdita, anche accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità della raccolta, anche in relazione alla trasmissione delle immagini". Per tale ragione è stata data massima priorità alla necessità di adottare "specifiche misure tecniche ed organizzative" finalizzate a vigilare sull'attività svolta da coloro che hanno accesso alle immagini o controllano gli impianti di ripresa che, secondo la normativa, deve essere adeguatamente circoscritta e disciplinata. Accanto all'obbligo di informare il soggetto ripreso della presenza della telecamera ed al divieto di riprendere soggetti che non hanno attinenza con la finalità di trattamento effettuato, vi è anche l'obbligo di cancellare le immagini registrate una volta raggiunta la finalità, le quali, secondo quanto stabilito da tale provvedimento del 2010 possono essere conservate solo per un periodo strettamente necessario - e predeterminato - a raggiungere la finalità perseguita col trattamento dei dati. Il termine di conservazione varia da poche ore ad un massimo di ventiquattro ore, eccetto il caso di speciali esigenze di "proroga" dovuta a festività o chiusura di uffici o esercizi oppure per adempiere a una specifica richiesta investigativa dell'autorità giudiziaria, eventualità che rientra nella casistica eccezionale. Il provvedimento accorda a specifici soggetti, quali  comuni o banche, la possibilità di conservare le immagini fino a sette giorni, quando l'attività di videosorveglianza è finalizzata alla tutela di interessi meritevoli di una maggiore difesa, come la sicurezza pubblica. I termini di conservazione possono essere prolungati ad un  periodo superiore alla settimana nel caso in cui sia stata presentata specifica richiesta, la c.d. verifica preliminare, sancita dall'articolo 17 del Codice della Privacy, Decreto Legislativo n. 196 del 2003. Attraverso la suddetta verifica il Garante, in seguito alla valutazione degli elementi raccolti e della specifica esigenza di sicurezza presentata dal richiedente, in ottemperanza dei principi di pertinenza e non eccedenza e di proporzionalità stabiliti dal Codice Privacy, considera la possibilità di accordare al soggetto richiedente il prolungamento dei termini di conservazione delle immagini oltre rispetto al limite delle 24 ore previsto dalla normativa. Alla luce di quanto illustrato finora, emerge una notevole discrepanza con le recenti pronunce del Garante sull'argomento: ciò che stupisce è la tendenza dell'autorità a concedere il prolungamento dei termini per la conservazione delle immagini, che, venendo meno al termine delle 24 ore previsto dalla normativa, varia dai 90 giorni ai 24 mesi. Per rendersene conto basta dare un'occhiata ad alcuni provvedimenti non troppo lontani nel tempo. Il primo  provvedimento è datato 14 luglio 2011. In questo caso il Garante accorda ad una società operante nell'ambito della componentistica elettronica la possibilità di conservare per novanta giorni le immagini registrate attraverso l'impianto di videosorveglianza. Il Garante, considerando giustificata l'esigenza della società di uniformarsi ai criteri dettati da un protocollo di sicurezza più severo (standard di sicurezza delle ISO/177799 e ISO/15408 del settore informatico ed elettronico) concede l'allungamento del periodo di conservazione.
Completamente diverso, se non addirittura opposto, il provvedimento del 21 marzo 2012 emesso dal Garante, in cui viene negato il prolungamento dei termini di conservazione a 90 giorni ad un'azienda del settore grafico che produce "tessere magnetiche ed a microprocessore per applicazioni di sicurezza e sanitarie" - carte di credito, carte regionali dei servizi e, più in generale, carte di identificazione. Le esigenze dell'azienda di rafforzare il livello di sicurezza della società e delle persone impiegate nella stessa, e la necessità di adeguarsi ai parametri fissati dai circuiti internazionali MasterCard International e Visa International, presso i quali l'azienda sarebbe certificata per la produzione di carte di credito, non sono riconosciute valide dal Garante. Secondo l'Autorità infatti le regole prescritte dai manuali degli enti certificatori non sono tassative, ma in presenza di limitazioni legali interne possono essere oggetto di deroga, a patto che sia sottoposta al vaglio e all'approvazione scritta da parte delle stesse committenti.
Entrambi i provvedimenti pongono l'accento sull'analisi dell'applicazione della privacy in un settore di forte sviluppo come quello del settore informatico ed elettronico, soprattutto se lo si considera  in relazione al rapporto sussistente tra la figura del Garante e il valore legale attribuito in via indiretta agli standard di sicurezza europei ed internazionale, punto di riferimento fondamentale anche per lo stesso Garante, contrapposte, invece, alle regole prescritte da enti certificatori (quali MasterCard, Visa) considerate non tassative e quindi non prescrittive rispetto alla privacy.
Da notare, inoltre come nonostante entrambe le aziende giustifichino la richiesta di prolungamento dei termini di conservazione, proclamando la necessità di rientrare a far parte della casistica eccezionale, secondo cui l'allungamento dei tempi deve essere motivato in maniera adeguata "con riferimento ad una specifica esigenza di sicurezza perseguita, in relazione a concrete situazioni di rischio riguardanti eventi realmente incombenti e per il periodo di tempo in cui venga confermata tale eccezionale necessità", il Garante accoglie solo la prima delle richieste prese in esame, accompagnata da una documentazione comprovante il grave e concreto rischio connesso a episodi realmente accaduti alla stessa in passato. La seconda azienda invece non presenta alcun tipo di documentazione a corredo della propria richiesta, destinata a non trovare accoglimento dal momento che non prova il rischio reale e concreto che grava sulla società.
Tra i provvedimenti più rilevanti in materia di prolungamento di termini di conservazione, quello del 7 luglio 2011 merita un posto d'onore. Si tratta di una richiesta di allungamento dei tempi di conservazione delle immagini fino a 24 mesi (non 24 ore, bensì 24 mesi), avanzata da un'azienda metalmeccanica produttrice di componenti meccanici di elevata precisione. Attraverso la verifica preliminare ex articolo 17 del Codice Privacy, l'azienda giustifica la necessità di conservare le immagini per due anni, documentando come questi 24 mesi siano il termine necessario per scoprire eventuali sabotaggi dei prodotti,  verificatisi e denunciati in passato presso il richiedente. Il Garante, intervenendo nella questione, ha accordato all'azienda la conservazione di tutte le immagini registrate per 24 mesi, stabilendo che tali immagini potranno essere visionate esclusivamente per l'accertamento di possibili atti di sabotaggio, nel rispetto di rigide procedure concordate con le rappresentanze sindacali.

 

Tag: privacy, conservazione immagini, Garante, provvedimento,azienda