Un’azienda di produzione di componenti elettronici (c.d. fotomaschere), utilizzati sia nel settore dell’automotive, delle telecomunicazioni e dell’informatica e sia nel settore dei circuiti elettronici utilizzati nel progetto passaporti elettronici USA e Cina, presentava al Garante per la protezione dei dati personali un’istanza di verifica preliminare ex art. 17 del Codice della Privacy al fine di conservare per la durata di novanta giorni le immagini registrate attraverso il sistema di videosorveglianza utilizzato presso il proprio stabilimento.
La richiesta di autorizzazione in oggetto era stata motivata sia dall’esigenza di rafforzare il livello di tutela del patrimonio aziendale (informazioni, strutture e materiali) da accessi non autorizzati e danneggiamenti sia dall’esigenza di raggiungere standard di sicurezza più elevati al fine di ottenere la qualifica di fornitore di una società tedesca di semiconduttori, leader mondiale nel settore della sicurezza che collaborava a livello governativo con USA e Cina.
La società tedesca si era adeguata ai criteri dettatati dagli standard di sicurezza Idalle ISO/177799 e ISO/15408 del settore informatico ed elettronico che richiedono che l’elevato grado di sicurezza sia garantito non solo presso i siti produttivi dell’impresa ma anche presso l’intera catena dei fornitori dell’impresa stessa. Il grado di sicurezza delle misure tecniche previste dagli standard richiede l’attestazione anche da parte dei fornitori dell’impresa accreditata dell’installazione di adeguati sistemi di videosorveglianza ed di una conservazione delle immagini per un periodo di novanta giorni.
L’impresa aveva precedentemente attivato la procedura autorizzatoria di fronte alla Direzione Provinciale del Lavoro prevista dall’art. 4, secondo comma della legge 3000 /1970 “Statuto dei Lavoratori”: l’impianto di videosorveglianza con registrazioni a fini di tutela del patrimonio aziendale e di sicurezza sul lavoro era stato autorizzato; la conservazione delle immagini non poteva superare la durata di due giorni, trascorsi i quali le immagini venivano cancellate in modo automatico salvo eventuali periodi legati a festività o chiusura dell’esercizio o in ragione di specifiche richieste investigative dell’autorità giudiziaria.
L’impresa aveva debitamente segnalato la presenza delle telecamere, prima del raggio di azione dei dispositivi, attraverso specifici cartelli.
Il Garante ha ritenuto la richiesta dell’impresa di verifica preliminare ex art.17 del Codice della Privacy conforme ai principi di necessità, proporzionalità, finalità, correttezza, pertinenza e non eccedenza (sanciti dagli artt 3 e11 del Codice della Privacy e richiamati dal provvedimento generale del Garante in materia di videosorveglianza del 8 aprile 2010.
In riferimento alla conservazione delle immagini, il provvedimento generale del 8 aprile 2010 prevede l'allungamento dei tempi di conservazione dei dati oltre il periodo di sette giorni, solo in casi eccezionali, adeguatamente motivati e documentati "con riferimento ad una specifica esigenza di sicurezza perseguita, in relazione a concrete situazioni di rischio riguardanti eventi realmente incombenti e per il periodo di tempo in cui venga confermata tale eccezionale necessità”.
Il Garante ha ritenuto giustificati il ricorso agli impianti di videosorveglianza e la richiesta di allungamento del periodo di conservazione in considerazione del particolare settore di attività e dalla necessità dell’impresa di aderire agli standard richiesti dalle specifiche tecniche ISO 15408 e ISO 17799 nel settore informatico ed elettronico ed in considerazione della ubicazione isolata dello stabilimento (che emergeva dalla mappa prodotta dalla società).
Il Garante, alla luce delle osservazioni sovra riportate e delle risultanze dell’istruttoria, esaminate le relazioni tecniche sulle caratteristiche dell’impianto (assenza di sistemi integrati consultabili da remoto; assenza di sistemi di videosorveglianza c.d. intelligenti) ha pertanto accolto la richiesta preliminare presentata dall’impresa di allungamento delle immagini e ha ammesso la conservazione per un periodo massimo di novanta giorni, esclusivamente delle immagini relative ad eventi generatori di allarme quali: incidenti, porte di uscita emergenza aperte, porte e finestre forzate, allarme sensori sui vetri ecc.. Le sopra citate immagini potranno essere utilizzate al fine esclusivo di accertare i sopra citati eventi portatori di allarme e di individuare, da parte dell’autorità giudiziaria competente, gli eventuali responsabili.
Il Garante ha inoltre richiamato nel provvedimento l’obbligo dell’impresa di osservare le modalità tecniche indicate nel provvedimento di autorizzazione della Direzione provinciale del lavoro con relativo divieto di comunicazioni a terzi (fatte salve le esigenze dell’autorità giudiziaria).
Il provvedimento è di interesse in quanto approfondisce la tematica della protezione dei dati/privacy e della conservazione delle immagini in un settore di enorme sviluppo: gli standard di sicurezza internazionale ed europeo che costituiscono, anche per il Garante, un punto di riferimento ineludibile, in occasione delle forniture di opere o della prestazione di servizi ad alto contenuto tecnologico.
Copyright © - Riproduzione riservata