Normativa e Sanzioni:
Normative
- Accountability (art. 5.2 GDPR)
Il Titolare dei dati è responsabile delle scelte effettuate in termini di finalità e modalità e quindi delle misure di sicurezza adottate.
Informativa
Pre-informativa: la segnaletica contenente l’indicazione del titolare, delle finalità, alcune informazioni preliminari e il richiamo ai diritti dell’interessato (art.3.1 Provv. 2010 e linee guida 3/2019 dell’EDPB) deve:
· essere collocata prima del raggio d’azione delle telecamere
· chiaramente visibile in ogni condizione ambientale
· indicare se le immagini sono solo visionate o registrate
Informativa completa (art.13 GDPR)
· Deve contenere le indicazioni di: Titolare, DPO (ove nominato), Finalità, Base giuridica, Destinatari, eventuale trasferimento all’estero, Periodo di conservazione, Diritti dell’interessato
- Misure di sicurezza (art. 32 GDPR)
Bisogna mettere in atto precauzioni idonee per garantire la sicurezza:
· La gestione delle credenziali di autenticazione, come nome utente e password personali, è importante per garantire il controllo degli accessi. È necessario scegliere password complesse e cambiarle regolarmente, oltre a controllare attentamente la sicurezza degli strumenti di accesso
· Tecniche e organizzative modalità per la cancellazione automatica delle immagini
· Cautele per interventi derivanti da esigenze di manutenzione
· Tutela contro i pericoli derivanti dall'accesso abusivo
· Sistemi Antivirus e Firewall
· Trasmissione attraverso una rete pubblica viene eseguita utilizzando metodi crittografici.
· Tecniche di crittografia possono essere utilizzate anche per proteggere le immagini da connessioni wireless.
· Backup periodici
· Misure di sicurezza per terminali mobili
- Data Breach (art. 33-34 GDPR)
Notifica al Garante entro 72 ore della scoperta dell’avvenuta violazione di dati personali:
· categorie e numero approssimativo di interessati;
· categorie e numero approssimativo di registrazioni dei dati personali;
· dati di contatto del titolare del trattamento;
· descrizione delle probabili conseguenze del Data Breach;
· descrizione delle misure adottate o di cui si propone l’adozione per porre rimedio.
Soggetti autorizzati al trattamento
Incaricare e formare:
· soggetti abilitati a visionare le immagini
· soggetto che possono effettuare ulteriori operazioni (registrare, cancellare, zoomare)
Richiedere garanzie sufficienti al Responsabile tramite un addendum del contratto;
Verificare il possesso delle garanzie del Responsabile.
- Registro dei trattamenti (art. 30 GDPR)
Il titolare del trattamento dei dati deve creare un apposito registro privacy, ossia il Registro dei trattamenti riguardante le attività di trattamento dei dati effettuate sotto la propria supervisione (nel caso di specie: videosorveglianza), che deve includere:
· l'indicazione del responsabile per la visualizzazione delle immagini, ovvero del personale all'interno dell'azienda che è incaricato di visualizzare le riprese e/o ha accesso alla postazione di controllo
· alla luce dell'Art. 28 GDPR, se presente, deve essere indicato il responsabile del trattamento, ovvero la società di servizi che guarda le registrazioni o ha accesso ad esse
· le finalità
· le procedure di sicurezza implementate sia dal punto di vista tecnico che da quello organizzativo
· i tempi di conservazione dei filmati
- Valutazione d’impatto (artt. 35-36 GDPR)
La valutazione di impatto è una valutazione autonoma che il responsabile del trattamento esegue per analizzare la necessità, la proporzionalità e i rischi per i diritti e le libertà dell’interessato (persona fisica) in riferimento ad un determinato trattamento.
L’allegato 1 al provvedimento n. 467 11.08.2018 del Garante recante l’elenco delle tipologie di trattamento da sottoporre a valutazione d’impatto cita (al punto n.5) i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici (anche con riguardo ai sistemi di videosorveglianza e geolocalizzazione) dai quali derivi la possibilità di effettuare un controllo a distanza dei dipendenti”.
La valutazione contiene almeno:
· una descrizione dettagliata dei trattamenti previsti e degli obiettivi del trattamento, che comprende anche, se pertinente, gli interessi legittimi del responsabile del trattamento.
· una valutazione sull'adeguatezza e sulla giusta proporzione dei trattamenti in relazione alle loro finalità.
· un'analisi dei potenziali pericoli per i diritti e le libertà delle persone coinvolte
· le precauzioni adottate per gestire i pericoli, comprendenti le misure di sicurezza, le garanzie e i sistemi per tutelare i dati personali e di mostrare la conformità al regolamento attuale, considerando i diritti e gli interessi legittimi degli interessati e altri soggetti coinvolti.
Sanzioni (GDPR –D.Lgs. 101/2018 – Statuto dei Lavoratori)
Le sanzioni sono previste dall’art. 38 dello Statuto dei Lavoratori per la violazione delle disposizioni in merito agli impianti audiovisivi e altri strumenti di controllo, prevede un’ammenda da € 154,00 a € 1.549,00 o l’arresto da 15 giorni ad un anno, salvo che il fatto non costituisca più grave reato.
A ciò potrebbero aggiungersi le sanzioni amministrative previste dal GDPR in merito al trattamento dei dati, nonché le sanzioni penali introdotte dal “nuovo” Codice Privacy (D. Lgs. 101/2018).
Il GDPR prevede:
· sanzioni fino a 10.000.000 di euro o fino al 2% del fatturato mondiale annuo (dell’esercizio precedente) per le violazioni degli obblighi di cui agli artt. 8, 11, da 25 a 39, 42 e 43; e 41, paragrafo 4 GDPR
· sanzioni fino a 20.000.000 di euro – o fino al 4% del fatturato mondiale annuo per le violazioni dei principi di base del trattamento (art. 5,6, 7 e 9 GDPR); violazione dei diritti degli interessati (art. 12-22 GDPR; per trasferimenti di dati (art. da 44 a 49 GDPR); per la violazione norma del capo IX GDPR; nonché per l’inosservanza di un ordine dell’autorità di controllo, ad esempio, Garante privacy (art. 58 GDPR).