Videocamere di sorveglianza privata: tra sicurezza privata e tutela della privacy

L’uso delle videocamere di sorveglianza privata e il bilanciamento tra sicurezza privata e la tutela della privacy nella ricostruzione del Garante per il trattamento dei dati personali nel contesto del provvedimento n. 477/2023

di Michele Di Salvo

Il 12 ottobre 2023 il Garante per la protezione dei dati personali è intervenuto con un provvedimento dirimente in chiave interpretativa dell’uso/abuso delle videocamere private per la sorveglianza privata.

Il provvedimento oggetto di commento evidenzia bene – attraverso l’esame dell’istruttoria e del caso di specie – alcuni elementi di fatto e di diritto che chiariscono i limiti della normativa ed al contempo quelli dell’agire privato, nell’interesse (in questo caso considerato di maggior rilievo) della privacy degli “altri cittadini”.

In concreto il provvedimento non tratta invero della più ampia problematica del trattamento dei dati “trattenuti” ed elaborati in cluod dai sistemi di sorveglianza privata. Certo, non era questa la sede e nemmeno il caso in trattazione, tuttavia un richiamo in tal senso (e quindi più ampio) probabilmente avrebbe giovato in senso di completezza, se non al provvedimento in sé, al quadro normativo di riferimento.

Nel provvedimento n. 477 del 12/10/2023, con il quale ha formalmente ammonito una signora rea di avere posizionato una telecamera idonea a riprendere un parco giochi e una piazza davanti alla sua abitazione, il principio applicato dal Garante per la protezione dei dati personali è duplice: sì alle telecamere private agli ingressi delle abitazioni, ma senza ripresa di aree pubbliche e senza presa diretta audio.

Chiarendo che se si filmano zone pubbliche e si captano le conversazioni dei passanti si passa da un uso domestico a una vera e propria videosorveglianza, assoggettata alle norme del GDPR (Regolamento UE 2016/679).

Per effetto del provvedimento tutti i condomini dotati di telecamere devono verificare che cosa è colto dall’apparecchio e adeguarsi alle prescrizioni del Garante. In concreto quindi gran parte delle telecamere private rischiano di essere fuorilegge.

La signora ha riferito di volersi difendere da generiche minacce ricevute e non ancora denunciate, ma ciò non è bastato a ritenere legittimo il trattamento delle immagini.

In questo senso il garante rinnova per altra via e su altra materia, allo stesso principio che avevamo evidenziato in commento alla sentenza del Consiglio di Stato a proposito del provvedimento di diniego per il rilascio di porto d’armi: la minaccia e il rischio non possono essere riferiti in senso generico, ma devono essere documentati, provati e circoscritti.

Più in generale – come nel caso del porto d’armi – si tratta di una concessione “in deroga” rispetto alla norma generale (in questo caso di non sorvegliare e non trattenere dati sensibili): la deroga ad una norma di interesse pubblico generale e superiore (la sicurezza dei cittadini, come la privacy dei cittadini) solo nel caso di una minaccia/rischio concreto e provato, nel qual caso l’interesse alla sicurezza privata può trovare una motivazione solida di superamento dell’interesse altrui generale. In caso di rischio solo genericamente temuto, la deroga non è sufficientemente fondata.

Nel citato provvedimento il Garante, con riguardo delle telecamere domestiche, afferma che è possibile installare sistemi di ripresa video, senza dover adempiere agli obblighi previsti dalle norme sulla privacy, purché l’angolo di visuale delle telecamere sia limitato alle sole zone di propria pertinenza, anche eventualmente attraverso l’attivazione di una funzione di oscuramento delle parti eccedenti, e senza captazione delle conversazioni.

Il Garante aggiunge che, soltanto in presenza di situazioni di rischio effettivo, anche il privato può, sulla base di un legittimo interesse, estendere la ripresa delle videocamere anche ad aree che esulano dalla propria esclusiva pertinenza, purché ciò sia adeguatamente motivato e suffragato da idonea documentazione (ad esempio denunce, minacce, furti).

Nel caso della signora questi presupposti mancavano e il Garante ha accertato la violazione, anche se, per fortuna della stessa, ha ritenuto l’illecito “minore”, senza irrogare una sanzione pecuniaria.

Quando, invece, ci sono i presupposti per allargare le riprese (rischi effettivi e concreti pericoli), il privato diventa titolare del trattamento ed è tenuto al rispetto del Gdpr.

Sul punto andrebbe chiarito se si è tenuti, come parrebbe, a posizionare i cartelli delle informative privacy, a redigere il documento di bilanciamento di interessi, a scrivere l’analisi dei rischi, e così via. In ogni caso, per evitare le possibili sanzioni, è bene che privati e condomini verifichino l’angolo delle riprese, facendo attenzione a rimanere nei limiti dell’uso per scopi esclusivamente personali.

Provvedimento del 12 ottobre 2023

Registro dei provvedimenti
n. 477 del 12 ottobre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la segnalazione del 6 luglio 2021 della Stazione dei Carabinieri di XX;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’attività istruttoria.

Con la nota del 6 luglio 2021, la Stazione dei Carabinieri di XX segnalava a questa Autorità l’installazione, sul muro esterno di proprietà della sig.ra XX, di una telecamera che, dagli accertamenti compiuti e dai rilievi fotografici, risultava idonea a riprendere l’area pubblica antistante dove si trovano un parco giochi e una piazza.

Con la richiesta di informazioni del 4 novembre 2022, formulata ai sensi dell’art. 157 del d.lgs. n. 196 del 2003, recante il Codice in materia di protezione dei dati personali, l’Ufficio avviava l’istruttoria preliminare, invitando a riferire in ordine a quanto segnalato e contestualmente delegava il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di finanza a effettuare le opportune verifiche.

Nel corso dell’accertamento, eseguito il 2 marzo 2023, gli agenti rilevavano che l’impianto di videosorveglianza risulta composto da una prima telecamera brandeggiabile, con possibilità di movimento a 360°, posizionata sulla porta di accesso dell’abitazione, orientabile mediante l’applicazione installata sullo smartphone; tale dispositivo, oltre a riprendere le immagini, consente anche di “registrare audio nelle immediatezze e di intervenire parlando attraverso il microfono” e da una seconda telecamera, non attiva, posizionata immediatamente dopo un vialetto di accesso che collega l’entrata con uno spazio interno all’edificio.

In relazione all’angolo di visuale di ripresa delle telecamere la parte dichiarava che “l’impianto che riprende le immagini esterne… è composto da due telecamere…Una, posizionata proprio sopra la porta di accesso dell’abitazione, riprende la porzione di spazio antistante l’ingresso e le zone immediatamente attigue. La mia proprietà, o meglio le mura perimetrali, confinano con un piccolo parco giochi antistante che non è mia intenzione riprendere. L’altra, ripeto collegata ma non attiva, direzionata, potenzialmente atta a riprendere lo spazio del vialetto che collega il cancello di accesso alla mia abitazione allo spazio interno dell’edificio”.

La parte rappresentava inoltre che “la telecamera che è posizionata immediatamente sopra la porta di accesso , per le sue caratteristiche, potrebbe inquadrare anche parte del parco giochi. Ma non è mio interesse farlo. Non ho nessuna intenzione di direzionare la mia telecamere oltre gli spazi di mia proprietà/disponibilità. Fatti salvi tutti quegli accadimenti di danneggiamento o minacce esplicite nei miei confronti, che ho dichiarato prima nelle finalità perseguite, per i quali mi riservo attraverso le immagini di sporgere denuncia”.

La parte, infine, dichiarava che “a riprova di ciò fornisco video/audio (all.n.10) salvato sul mio telefono e non più presente sull’applicazione, dove si evince come queste persone mi minaccino. Mi son tenuta questi video/audio perché è mia intenzione confrontarmi con il mio avvocato e sporgere una denuncia…”

2. L’avvio del procedimento.

Con la comunicazione del 17 aprile 2023, l’Ufficio notificava alla parte l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice.

Ciò in quanto, sulla base delle verifiche compiute e delle dichiarazioni rese, risultava infatti accertato che l’impianto di videosorveglianza, per le sue caratteristiche tecniche, è idoneo alla ripresa di aree che non sono di diretta pertinenza, trattandosi di spazi pubblici (parco), e, pertanto, il correlato trattamento di dati personali risultava effettuato in assenza di un valido presupposto di liceità – anche in relazione alle registrazioni di “audio” riconducibili a conversazioni avvenute su area pubblica – in violazione degli art. 5, par.1, lett. a), c) e 6, par. 1, del Regolamento e in assenza dell’informativa prevista dall’art. 13 del Regolamento

La parte, informata dall’Ufficio della possibilità di produrre scritti difensivi o documenti in relazione al procedimento a suo carico, ha fatto pervenire una nota indicante le misure adottate per rendere conforme il suddetto trattamento al Regolamento.

Nello specifico, in data 15 giugno 2023 è stata trasmessa all’Ufficio una comunicazione dalla quale risultava che “la Sig.ra … ha provveduto a sostituire la telecamera relativa all’impianto di videosorveglianza collocato nell’abitazione a XX, XX, con il modello a telecamera fissa puntato verso l’ingresso…”.

3. L’esito dell’istruttoria.

All’esito dell’esame delle dichiarazioni rese dalla parte nel corso del procedimento, premesso che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice, risulta accertato che la sig.ra XX ha effettuato un trattamento di dati personali non conforme alla disciplina rilevante in materia di protezione dei dati personali contenuta nel RGPD.

Il trattamento dei dati posto in essere mediante un impianto di videosorveglianza se effettuato da persone fisiche per finalità personali e domestiche è da ricondurre nelle cause di esclusione dell’applicazione della normativa in materia di protezione dati di cui all’art. 2 par. 2 del Regolamento UE 2016/679. A tal proposito, il considerando n. 18 del Regolamento specifica che si considera “attività a carattere esclusivamente personale o domestico” quella effettuata senza che si realizzi una connessione con un’attività commerciale o professionale.

L’utilizzo di sistemi di videosorveglianza da parte di persone fisiche nelle aree di diretto interesse (quali quelle inerenti al proprio domicilio e le sue pertinenze) è quindi da ritenersi, in linea di massima, escluso dall’ambito di applicazione materiale delle disposizioni in materia di protezione dati, perché rientrante tra i trattamenti effettuati per l’esercizio di attività a carattere esclusivamente personale e domestico.

Ciò a condizione che l’ambito di comunicazione dei dati non ecceda la sfera familiare del titolare e le immagini non siano oggetto di comunicazioni a terzi o di diffusione e il trattamento non si estenda oltre gli ambiti di stretta pertinenza del titolare riprendendo immagini in aree comuni (anche di tipo condominiale quali scale, androni, parcheggi), luoghi aperti al pubblico (vie o piazze), o aree di pertinenza di terzi (giardini, terrazzi, porte o finestre di pertinenza di terzi).

Ne discende quindi che è possibile installare sistemi di ripresa video, senza dover adempiere agli obblighi previsti dalle norme in materia di protezione dei dati personali, purché l’angolo di visuale delle telecamere sia limitato alle sole zone di propria pertinenza, anche eventualmente attraverso l’attivazione di una funzione di oscuramento delle parti eccedenti.

Soltanto in presenza di situazioni di rischio effettivo, il titolare del trattamento può, sulla base di un legittimo interesse, estendere la ripresa delle videocamere anche ad aree che esulano dalla propria esclusiva pertinenza, purché ciò sia adeguatamente motivato e suffragato da idonea documentazione (es. denunce, minacce, furti).

In tali casi, il titolare del trattamento è tenuto tuttavia al rispetto delle disposizioni in materia di protezione dati personali, rinvenibili nelle Linee guida n. 3/2019, sul trattamento dei dati personali attraverso dispositivi video, adottate dal Comitato europeo per la protezione dei dati e nel Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 (reperibile sul sito dell’Autorità www.gpdp.it, doc. web 1712680).

Nel caso in esame, l’istruttoria ha rilevato che la ripresa delle aree ultronee, rispetto a quelle di pertinenza, è avvenuta in assenza di idonei presupposti di liceità, considerato che il titolare del trattamento non ha dimostrato la sussistenza di un legittimo interesse riferito a una situazione di rischio effettivo che avrebbe giustificato tale trattamento.

Quanto sopra vale anche per la captazione di conversazioni avvenute in spazi pubblici attraverso dispositivi audio.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, del Regolamento.

Alla luce delle considerazioni sopra riportate, si rileva quindi che, almeno fino agli interventi correttivi di cui alla comunicazione del 15 giugno 2023, il trattamento di dati personali posto in essere risulta illecito poiché effettuato in maniera non conforme ai principi di “liceità” e di “minimizzazione” dei dati, in violazione dell’art. 5, par. 1, lett. a) e c) e dell’art. 6, par. 1 del Regolamento, in considerazione del fatto che la telecamera per le sue caratteristiche, risultava idonea a inquadrare anche parte del parco giochi antistante l’abitazione della sig.ra XX (cfr. Verbale accertamenti ispettivi).

Si tiene conto del fatto che le dichiarazioni contenute negli scritti difensivi sono da ritenersi meritevoli di considerazione ai fini della valutazione della condotta e che la stessa ha esaurito i suoi effetti, avendo il titolare del trattamento provveduto a sostituire la telecamera precedentemente installata con una fissa puntata verso l’ingresso; in relazione a quanto precede, il caso può essere qualificato come “violazione minore”, ai sensi dell’art. 83, par. 2 e del Considerando 148 del Regolamento.

Si ritiene, pertanto, sufficiente ammonire il titolare del trattamento ai sensi dell’art. 58, par. 2, lett. b), del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

a) dichiara, ai sensi degli artt. 57, par. 1, lett. a) e 83 del Regolamento, l’illiceità del trattamento effettuato dalla sig.ra XX (c.f. XX), residente in XX, nei termini di cui in motivazione, per la violazione dell’art.5, par. 1, lett. a) e c) e dell’art. 6, par. 1 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce il medesimo titolare del trattamento per la violazione dell’art. 5, par. 1, lett. a) e c) e dell’art. 6, par. 1 del Regolamento;

DISPONE

l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del RGPD con il presente provvedimento, come previsto dall’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 ottobre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei