Garante - Relazione 2013

Nel corso dell’anno, il Garante si è pronunciato in relazione a numerose istanze di verifica preliminare (art. 17 del Codice) presentate da alcune società, sia al fine di essere autorizzate a conservare le immagini registrate per tempi superiori alla settimana, sia in vista dell’impiego di sistemi cd. intelligenti. Con provvedimento del 7 febbraio 2013, n. 40 (doc. web n. 2305006), l’Autorità si è espressa in relazione ad un istanza di verifica preliminare presentata da una società che, operando nel settore dei trasporti e della logistica, si occupa di spedizioni nazionali ed internazionali, compresi i servizi doganali. La richiesta di autorizzazione per il prolungamento dei tempi di conservazione fino a 30 giorni delle immagini registrate presso il magazzino era stata giustificata non solo con l’esigenza di rafforzare il livello di tutela della merce stoccata, ma anche con quella di raggiungere uno standard di sicurezza più elevato, in linea con quanto previsto dal sistema di certificazione volontaria sulla qualità e sicurezza dei servizi legati al trasporto della merce, gestito dall’associazione internazionale “Transported asset protection association” (TAPA), standard di riferimento per gli operatori del settore. L’Autorità, nel rilevare l’obbligo della società – già titolare della qualifica di “agente regolamentato” e di quella di “operatore economico autorizzato” – ad osservare stringenti norme poste da regolamenti comunitari e, in via amministrativa, dall’Ente nazionale per l’aviazione civile (Enac), ha autorizzato la conservazione delle immagini per il periodo richiesto per consentire l’accertamento, da parte dell’autorità giudiziaria, di eventuali illeciti, rilevando, al contempo, che lo status di “operatore economico autorizzato” impone alla società che lo abbia conseguito di comunicare alla dogana eventuali sospetti di reato relativi alle spedizioni trattate e di tenere a disposizione della stessa Autorità le spedizioni su cui si ritenga di dover effettuare dei controlli. Analoga autorizzazione (provv. 6 giugno 2013, n. 278, doc. web n. 2544109) è stata rilasciata in sede di verifica preliminare ad una società che svolge attività di smistamento, distribuzione, consegna e ritiro pacchi e corrispondenza per conto di società di trasporto allo scopo di conservare per 30 giorni le immagini registrate presso il magazzino; ciò, non solo perché spesso non sarebbe stato possibile risalire con tempestività all’identificazione di un pacco mancante o recante qualche anomalia, ma anche in ragione dell’esigenza di rispondere alle istanze provenienti dagli stessi vettori che, imponendo “una tempistica specifica per la consegna della merce”, avrebbero reso indispensabile “implementare stringenti misure di sicurezza lungo tutta la filiera al fine di garantire la celerità del servizio” e l’integrità delle spedizioni. Con il provvedimento del 7 marzo 2013, n. 104 (doc. web n. 2340448), l’Autorità si è pronunciata su una richiesta di verifica preliminare (art. 17 del Codice) di un’azienda produttrice di carta moneta per la realizzazione di banconote, al fine di poter conservare per dodici mesi le immagini acquisite attraverso il sistema di videosorveglianza attualmente in uso. La richiesta è stata fondata sul fatto che la Banca Centrale Europea (BCE), titolare esclusivo del potere di autorizzare l’emissione di banconote in euro all’interno della Comunità, ha imposto ai produttori di banconote euro “accreditati” di conservare, per almeno dodici mesi, le immagini registrate dai sistemi di sorveglianza installati presso i siti produttivi; pertanto, quale “fabbricante” di carta moneta, la società ha dichiarato di essere soggetta alla procedura di “accreditamento di sicurezza” (richiesta dalla BCE) ed al rispetto delle “norme di sicurezza minima per la produzione, l’elaborazione, la custodia e il trasporto delle banconote, delle loro componenti, nonché dei relativi altri materiali e informazioni che necessitano di protezione”. L’Autorità, nel rilevare che la società richiedente, in quanto produttrice di carta per la realizzazione di banconote, è soggetta sia alla disciplina posta dalla decisione del 15 maggio 2008, sia a tutte le ulteriori regole periodicamente emanate dalla BCE – tra le quali quelle di sicurezza minime appositamente emanate nei confronti delle aziende in possesso di accreditamento di sicurezza per la produzione di banconote (cd. Security rules and procedures for manufacturers of euro secure items, in vigore dal 2 giugno 2008) che, tra l’altro, impongono che le immagini registrate dagli impianti di videosorveglianza installati presso i siti produttivi vengano conservate “per almeno 12 mesi” (v. art. 10, comma 4) – ha deciso di accogliere la richiesta di allungamento dei tempi di conservazione delle immagini, ritenendola conforme al principi di non eccedenza e di proporzionalità stabiliti dall’art. 11, comma 1, lett. d ) ed e), del Codice. Il Garante si è espresso su un’istanza di verifica preliminare (art. 17 del Codice) presentata da una società che opera nel settore dei servizi per l’industria petrolifera onshore e offshore, in vista dell’installazione di un sistema di videosorveglianza cd. intelligente (perché provvisto di un software di “analisi della scena”) volto a migliorare il livello di sicurezza del patrimonio aziendale e dei lavoratori presso le proprie sedi. Effettuata un’attenta ricognizione del quadro normativo (d.lgs. 11 aprile 2011, n. 61, attuativo della direttiva 2008/114/CE, che ha individuato nelle infrastrutture del settore energetico una potenziale criticità, anche di rilievo comunitario; decreto del Ministero dell’interno 1° dicembre 2010, n. 269, Allegato D, sez. III, punto 3.b.1, che definisce “obiettivi sensibili” le aziende pubbliche o private del settore energetico) e amministrativo (nota del Prefetto di Milano prot. n. 12b2/09007582 N.C. Div. Gab., all. C) del 15 giugno 2013, che ha rilevato, a fronte di un incremento qualitativo e quantitativo degli eventi pericolosi avvenuti nelle sedi della società, la necessità di dotare il sito produttivo di adeguati sistemi di protezione, comprensivi anche di impianti di videosorveglianza intelligente), ha ritenuto che le infrastrutture delle compagnie operanti nel settore energetico possano costituire concreti obiettivi per azioni di sabotaggio e di terrorismo, ammettendo, quindi, l’attivazione presso i siti della società – e a supporto dei dispositivi di ripresa già esistenti – del sistema di video-analisi oggetto dell’istanza, ritenuto in linea con i principi posti dagli artt. 3 e 11 del Codice (provv. 18 aprile 2013, n. 202, doc. web n. 2475774). Inoltre, con il provvedimento n. 230 dell’8 maggio 2013 (doc. web n. 2433401), l’Autorità ha affrontato la questione della liceità del trattamento delle immagini dei minori iscritti presso un asilo nido che aveva installato un sistema di videosorveglianza dotato di webcam, in grado di consentire ai genitori di controllare i propri figli durante il periodo di permanenza al nido. L’Autorità, condividendo i principi già affermati dal Gruppo Art. 29 ha ritenuto che l’acquisizione, anche a mezzo webcam, di immagini relative a soggetti in età minore e la loro visione, via web, da parte di terzi muniti di specifiche credenziali di autenticazione, costituiscano operazioni di trattamento di dati personali alle quali deve essere rivolta particolare attenzione. Nel merito, l’Autorità ha ritenuto che le esigenze perseguite dall’asilo nido con l’installazione del sistema (sicurezza delle persone e del patrimonio aziendale; necessità di soddisfare le esigenze rappresentate dai genitori) non fossero sufficienti a ritenere l’installazione della webcam necessaria e proporzionata, sottolineando, al contempo, come detto sistema potesse porre in serio pericolo gli interessati, non sussistendo alcuna certezza del fatto che la visione dei genitori fosse limitata ai propri figli e, comunque, che restasse circoscritta ai soli soggetti muniti di credenziali d’accesso al sistema. Pertanto, l’Autorità ha dichiarato illecito il trattamento delle immagini dei minori iscritti presso l’asilo nido, effettuato mediante webcam posizionata all’interno dell’area didattica, perché in violazione dei principi di necessità e proporzionalità (artt. 3 e 11, comma 1, lett. a) e d), del Codice). Successivamente, con provvedimento del 24 ottobre 2013, n. 467 (doc. web n. 2792798), l’Autorità si è pronunciata su un’istanza di verifica preliminare presentata da una società che opera nel segmento della progettazione e della realizzazione di card a banda magnetica e smartcard (con microchip contact e contactless), per il mercato bancario e per i settori retail, ID, trasporti e telefonia, curando, in alcuni casi, anche la “personalizzazione” dei supporti. La richiesta di autorizzazione per il prolungamento dei tempi di conservazione fino a 90 giorni delle immagini registrate presso l’azienda è stata giustificata – oltre che con le esigenze di tutela della proprietà aziendale, delle persone e dei dati dei clienti – con la necessità di rispettare i parametri fissati dai circuiti internazionali MasterCard International e Visa International, che impongono alle società certificate presso di loro l’osservanza di un più elevato standard di sicurezza durante l’intero processo di lavorazione. L’Autorità ha accolto la richiesta – con riferimento alle sole immagini attinenti le aree esterne ai locali, quelle di ingresso e di uscita e le zone ritenute “sensibili” (caveau, magazzino, aree di produzione, di ricevimento e di spedizione), e purché la loro utilizzazione avvenisse nel rispetto delle procedure delineate dall’art. 4, l. n. 300/1970 nonché all’esclusivo fine dell’accertamento di eventuali illeciti e dell’individuazione, da parte dell’autorità giudiziaria, dei possibili responsabili –, tenendo conto non solo dell’ubicazione del sito, degli episodi criminosi già verificatisi e dell’estrema delicatezza dell’attività produttiva, comportante l’esigenza di proteggere i dati personali di enormi masse di clienti, ma anche della circostanza che le stesse organizzazioni sindacali si erano espresse favorevolmente, anche in vista dell’indispensabile adeguamento della società alle richieste provenienti dagli stessi enti certificatori. L’Autorità, infine, si è espressa su una richiesta di verifica preliminare presentata da una società proprietaria di numerose sale da gioco in cui si svolge “attività di raccolta di gioco” a mezzo di apparecchiature videoterminali (VLT) e, contestualmente, di raccolta di denaro per conto dello Stato e/o del Concessionario della rete telematica dell’Amministrazione Autonoma dei Monopoli di Stato (AAMS), allo scopo di conservare per 15 giorni le immagini acquisite attraverso il sistema di videosorveglianza in uso, per salvaguardare il patrimonio aziendale da possibili atti illeciti facilitando l’accertamento di eventuali illeciti commessi da parte delle autorità competenti. Appurato che la società non avrebbe potuto effettuare il controllo delle monete con cadenze inferiori a 10/15 giorni e, al contempo, che l’esame delle registrazioni per ragioni tecniche ed organizzative non avrebbe potuto concludersi nell’arco di soli sette giorni, l’Autorità ha accolto la richiesta, in quanto conforme ai principi di necessità, proporzionalità, finalità e correttezza posti dagli artt. 3 e 11 del Codice, precisando che l’accesso alle immagini sarebbe potuto avvenire soltanto in caso di diretta rilevazione di illeciti – con l’osservanza di prestabilite modalità procedurali indicate nei provvedimenti autorizzatori rilasciati ai sensi dell’art. 4, comma 2, l. n. 300/1970 dalle Direzioni territoriali del lavoro competenti – o di richiesta proveniente dalle Forze dell’ordine o dall’autorità giudiziaria (provv. 18 dicembre 2013, n. 587, doc. web n. 2914191).