Informativa trattamento immagini servizio videosorveglianza

La Camera di Commercio di Padova intende fornire tutte le indicazioni previste dall'art. 13 del Regolamento (UE) 2016/679 (anche detto GDPR o Regolamento Generale per la Protezione dei Dati personali) in relazione all'attività di videosorveglianza attivata nei locali camerali. 

Art. 1 - Oggetto
Le immagini riguardanti persone fisiche, qualora rendano possibile l'identificazione del soggetto a cui si riferiscono, costituiscono dati personali. La videosorveglianza dà luogo pertanto al trattamento di dati personali e incide sul diritto alla riservatezza delle persone fisiche presenti - anche solo temporaneamente - nell'area oggetto di ripresa.
II presente Regolamento è volto a disciplinare le modalità del trattamento di dati personali effettuato mediante i sistemi di videosorveglianza della Camera di Commercio di Padova affinché lo stesso si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza, all'identità personale e alla tutela dei diritti dei lavoratori. 

Art. 2 - Norme di riferimento e principi generali
Per tutto quanto non dettagliatamente disciplinato dal presente Regolamento, si rinvia a quanto disposto dal:

• Regolamento UE Generale sulla Protezione dei Dati 2016/679 (di seguito RGPD) relativo "alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE";
• Direttiva UE 2016/680 relativa "alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio";
• Linee guida EDPB 3/2019 sul trattamento dei dati personali attraverso dispositivi video;
• Provvedimento del Garante per la Protezione dei Dati Personali in materia di Videosorveglianza dell'8 aprile 2010 (G.U. n. 99 del 29/04/2010);
• D.Lgs. 196/2003 così come modificato dal D.Lgs. 101/2018;
• L. 300/70 Statuto dei lavoratori.

Art. 3 - Definizioni
Ai fini del presente Regolamento si intende:

• per dato personale», qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica,fisiologica, genetica, psichica, economica, culturale o sociale;
• per «trattamento», qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;
• per «titolare del trattamento», la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali;
• per «responsabile del trattamento», la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;
• per «autorizzato al trattamento», la persona fisica che abbia accesso a dati personali e agisca sotto l'autorità del titolare o del responsabile del trattamento;
• per «interessato», la persona fisica cui si riferiscono i dati personali oggetto di trattamento;
• per «terzo», la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile;
• per "comunicazione'', il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
• per "diffusione", il dare conoscenza generalizzata dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione.

Art. 4 - Finalità e base giuridica
L’installazione di impianti di videosorveglianza da parte della CCIAA di Padova è finalizzata:

• al controllo di determinate aree che non possono essere efficacemente presidiate con i normali mezzi, al fine di garantire la sicurezza di utenti e dipendenti e come deterrente al verificarsi di episodi illeciti e/o delittuosi;
• a tutelare gli immobili di proprietà o in gestione dell‘Ente camerale e a prevenire eventuali atti di vandalismo o danneggiamento del patrimonio pubblico;
• a tutelare la sicurezza dei dipendenti e delle persone che accedono agli immobili della Camera di Commercio per usufruire dei servizi erogati o per l’utilizzo delle sale camerali.

Nel rispetto del divieto di cui all’art. 4 dello Statuto dei lavoratori, la videosorveglianza non può mai essere utilizzata per effettuare controlli a distanza sull’attività lavorativa dei dipendenti  dell’amministrazione camerale, di altre amministrazioni pubbliche o di altri datori di lavoro,
pubblici o privati, che a qualsiasi titolo svolgano anche occasionalmente la loro attività lavorativa
nell’area controllata dalle telecamere.
La Camera di Commercio garantisce che le immagini non siano in alcun modo impiegate come strumento di sorveglianza e monitoraggio a distanza del personale, degli utenti camerali e in genere degli interessati che transitano nelle aree videoriprese.
L’impianto di videosorveglianza non può essere utilizzato per finalità statistiche, nemmeno se consistenti nella raccolta aggregata dei dati.
Il fondamento di liceità sul quale poggia il trattamento dei dati personali nell'ambito definito dal presente Regolamento è quello individuato dall’art. 6 par. 1 lettera e), del RGPD ossia l’esecuzione di un compito di interesse pubblico o comunque connesso all'esercizio e allo svolgimento di funzioni istituzionali di cui è investita la Camera di Commercio.

Art. 5 - Proporzionalità e minimizzazione
L’attività di videosorveglianza deve raccogliere i dati strettamente necessari per il raggiungimento delle finalità perseguite e sopra definite nel rispetto dei principi di pertinenza e non eccedenza. La localizzazione delle telecamere, l’angolo di visuale e le modalità di ripresa vanno quindi stabilite in modo da garantire la minimizzazione dei dati oggetto di trattamento.
Deve inoltre essere evitata l’installazione di strumenti di videosorveglianza in aree o attività che non sono soggette a concreti pericoli, o per le quali non ricorra un'effettiva esigenza di deterrenza.
Gli strumenti di videoripresa possono, pertanto, essere installati presso gli immobili camerali:

1. esternamente, per la sorveglianza del perimetro esterno degli edifici e delle porte di accesso;
2. internamente per la sorveglianza delle aree interne di transito (in via meramente esemplificativa reception, vani ascensori e accessi ai piani) e di altri specifici ambienti/locali adibiti a eventi pubblici, convegni, corsi di formazione e/o in genere riunioni e incontri con accesso da parte di soggetti esterni.

Art. 6 - Titolare del trattamento
Il Titolare del trattamento dei dati è la Camera di Commercio, alla quale compete ogni decisione in ordine alle finalità e ai mezzi di trattamento dei dati personali, compresi gli strumenti utilizzati e le misure di sicurezza da adottare.
La responsabilità della gestione dell’impianto, il suo costante adeguamento alle norme di sicurezza in vigore e il costante controllo sull’uso delle immagini raccolte spetta al Segretario Generale.
Il Segretario Generale dovrà adottare tutte le misure di sicurezza di natura tecnica, procedurale e organizzativa per garantire la conformità delle operazioni di trattamento alla vigente normativa in materia di tutela dei dati personali e dei diritti dei lavoratori, nonché tutte le necessarie misure per impedire usi impropri di tali dati.
Il Segretario Generale vigila sull’utilizzo dei sistemi e sul trattamento delle immagini e dei dati in conformità agli scopi perseguiti dalla Camera di Commercio e alle altre disposizioni normative che disciplinano la materia e in particolare alle disposizioni impartite dall’Autorità Garante per la protezione dei dati personali.
Il Segretario Generale impartisce idonee istruzioni atte a evitare assunzioni o rilevamento di dati da parte delle persone autorizzate all’accesso per le operazioni di manutenzione degli impianti.

Art. 7 - Responsabili del Trattamento
Ove la Camera di Commercio rilevasse la necessità di affidare a soggetti esterni specifiche operazioni di trattamento dei dati personali nell’ambito del Sistema di videosorveglianza ricorrerà unicamente a soggetti che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate a garantire la tutela dei dati personali e provvederà a nominarli responsabili del trattamento ai sensi dell’art. 28 RGPD fornendo loro precise istruzioni.

Art. 8 - Autorizzati alla gestione dell’impianto di videosorveglianza
Ai sensi dell’art.2 quaterdecies del D.Lgs 196/2003 e s.m.i., la Camera di Commercio potrà individuare tra i propri dipendenti i soggetti autorizzati ad operare sugli impianti di videosorveglianza e a visionare le immagini. Gli stessi dovranno essere debitamente formati e istruiti e dovranno svolgere tutte le operazioni di trattamento attenendosi scrupolosamente alle prescrizioni e indicazioni impartite dal Titolare.

Art. 9 - Valutazione di impatto sulla protezione dei dati
In ossequio al disposto di cui all'art. 35, Paragrafo 3, lett. c), RGPD, e al provvedimento del Garante n. 467 del 11/10/2018 relativo all'elenco delle tipologie di trattamenti soggetti alla Valutazione di impatto e l’eventuale pubblicazione dell’elenco delle tipologie di trattamenti per le quali non è richiesta una valutazione di impatto, l'Ente svolge una valutazione di impatto per i diritti e le libertà degli interessati derivante dalle operazioni di trattamento di dati personali effettuate per il tramite del sistema di videosorveglianza. 

Art. 10 - Modalità di raccolta e registrazione dei dati personali
Il trattamento dei dati personali è effettuato a seguito dell’attivazione degli strumenti di videosorveglianza.
Le immagini delle aree oggetto di videosorveglianza saranno registrate e conservate come di seguito specificato.
Le registrazioni potranno essere effettuate anche 24 ore su 24 tutti i giorni della settimana secondo le modalità di volta in volta definite di concerto con le Rappresentanze Sindacali, in considerazione delle effettive esigenze emerse per il conseguimento delle finalità di cui all’art. 4 del presente Regolamento e nel rispetto del principio di minimizzazione del trattamento.
Le immagini potranno essere visualizzate in tempo reale, solo da personale presente in loco e nel caso in cui sussistano effettive ragioni legittimanti la visione, come ad esempio ragioni connesse alla regia tecnica dell’evento / convegno.
In ossequio alla Circolare INL 5/2018, l’accesso da postazione remota alle immagini “in tempo reale” deve essere preventivamente autorizzato per iscritto dal Segretario Generale, sentite le Rappresentanze Sindacali, solo in casi eccezionali debitamente motivati.
Le immagini raccolte mediante l'uso di sistemi di videosorveglianza saranno conservate dalla Camera di Commercio di Padova per 72 ore successive alla loro rilevazione (tempo determinato in considerazione di festività e chiusure di uffici) ampliabili fino a un massimo di 144 ore laddove gli impianti siano installati in immobili non presidiati quotidianamente da personale camerale e utilizzati solo occasionalmente per eventi / riunioni o altre specifiche esigenze del Titolare.
I sistemi di videosorveglianza devono essere programmati in modo da operare al momento prefissato la cancellazione automatica delle immagini, con modalità tali da rendere non riutilizzabili i dati cancellati.

Art. 11 - Accesso ai dati
L'accesso alle registrazioni, al di fuori di quanto strettamente necessario per le attività di manutenzione delle componenti hardware e software, è consentito solamente per il conseguimento delle finalità di cui all'art. 4 del presente Regolamento e in particolare:

• in caso siano stati rilevati o segnalati danni al patrimonio camerale;
• in caso di danni e/o episodi illeciti di qualsiasi tipo occorsi ai lavoratori o a terzi che hanno avuto accesso alle aree videosorvegliate;
• in caso di furti o altri fatti illeciti;
• in caso di richiesta dell’Autorità Giudiziaria o delle Forze di Polizia.

In tali ipotesi, l'accesso alle immagini è effettuato dal Segretario Generale o, previa autorizzazione di quest’ultimo:

• agli autorizzati al trattamento previamente individuati con le modalità di cui all’art. 8;
• alle Forze di Polizia (sulla base di richiesta scritta formulata dal rispettivo comando di appartenenza e acquisita dall'Ente) nonché per finalità di indagine dell'Autorità Giudiziaria (sulla base di formale richiesta proveniente dal Pubblico Ministero e acquisita dall'Ente).

Ove dovessero essere rilevate immagini di fatti identificativi di ipotesi di reato o di eventi rilevanti ai fini della sicurezza pubblica o della tutela ambientale e del patrimonio, il Segretario Generale provvederà a darne immediata comunicazione agli organi competenti.
In tali casi, il Segretario Generale coadiuvato dagli autorizzati alla visione delle immagini, procederà all’estrazione dei soli frammenti rilevanti e alla conservazione degli stessi con idonee modalità, anche secondo le eventuali indicazioni delle autorità competenti.
Al di fuori delle ipotesi sopra elencate le immagini non possono essere in alcun modo comunicate né tantomeno diffuse.
La mancata osservanza degli obblighi previsti al presente articolo comporterà l’applicazione di sanzioni disciplinari e, nei casi previsti dalla normativa vigente, di sanzioni amministrative oltre che all’avvio degli eventuali procedimenti penali. 

Art. 12 - Sicurezza dei dati
I dati personali oggetto di trattamento sono conservati ai sensi e per gli effetti del precedente art. 10.
I dati raccolti mediante il sistema di videosorveglianza dovranno essere protetti con idonee e preventive misure tecniche e organizzative in grado di garantire un livello di sicurezza adeguato al rischio.
A questo fine, sono adottate le seguenti specifiche misure tecniche e organizzative che consentano al Titolare di verificare l'attività espletata da parte di chi accede alle immagini e/o controlla i sistemi di ripresa:

• i soggetti autorizzati alle attività di trattamento dovranno essere in possesso di credenziali di autenticazione personali che permettano di effettuare, a seconda dei compiti attribuiti a ciascuno, unicamente le operazioni di competenza;
• l’accesso alle immagini registrate, sia da remoto che “in loco”, deve essere necessariamente tracciato anche tramite apposite funzionalità che consentano la conservazione dei “log di accesso” per un congruo periodo, non inferiore a sei mesi;
• per quanto riguarda il periodo di conservazione delle immagini, così come già indicato al precedente art. 10, dovranno essere predisposte misure tecniche per la cancellazione, in forma automatica, delle registrazioni, al rigoroso scadere del termine previsto;
• nel caso di interventi derivanti da esigenze di manutenzione, si renderà necessario adottare specifiche cautele; in particolare, i soggetti incaricati di procedere a dette operazioni potranno accedere alle immagini oggetto di ripresa solo se ciò si renda indispensabile al fine di effettuare le necessarie verifiche tecniche. Dette verifiche avverranno in presenza dei soggetti dotati di credenziali di autenticazione e abilitanti alla visione delle immagini.

Art. 13 - Informativa
Gli interessati devono essere sempre informati che stanno per accedere in una zona videosorvegliata.
La segnaletica deve essere collocata prima del raggio di azione della telecamera, anche nelle sue immediate vicinanze e non necessariamente a contatto con gli impianti; la stessa deve avere un formato e un posizionamento tale da essere chiaramente visibile in ogni condizione di illuminazione ambientale, anche quando il sistema di videosorveglianza sia eventualmente attivo in orario notturno. 

Art. 14 - Diritti dell’interessato
L’interessato potrà esercitare, purché ne ricorrano i presupposti di volta in volta previsti dalla normativa, i diritti di cui agli artt. 15 e ss del RGDP, ossia:

• ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai dati e a tutte le informazioni a questo relative;
• richiedere la cancellazione dei dati personali che lo riguardano;
• richiedere la limitazione del trattamento dei dati personali che lo riguardano;
• opporsi al trattamento dei dati personali che lo riguardano.

L'istanza per l'esercizio dei diritti dell'interessato è presentata al Titolare ovvero al Responsabile della Protezione dei dati dell'Ente (DPO).
In ogni caso, gli interessati hanno diritto di proporre reclamo o segnalazione all’Autorità Garante per la protezione dei dati personali secondo le modalità reperibili nel sito internet www.garanteprivacy.it in conformità al disposto dagli artt. 77 e ss, RGPD.