Titolare e responsabile del trattamento contratto telecamere di sicurezza
Buongiorno, mi sono già rivolto a voi per altre consulenze, ottenendo risposte chiare e risolutive. Questo mio nuovo quesito riguarda gli obblighi di legge previsti nel GDPR, relativamente alla videosorveglianza.
Un esercente un'attività commerciale che sottoscrive un contratto di teleallarme e pronto intervento autopattuglie con un istituto di vigilanza, il quale (al fine di ottimizzare il suo servizio) fornisce in comodato d'uso un sistema di sicurezza che comprende anche il sistema di videosorveglianza, può essere esonerato dagli obblighi previsti per i titolari del trattamento?
RISPOSTA
Dipende dalle caratteristiche del trattamento dei dati correlato all'uso delle telecamere di sorveglianza.
A mio parere, se le telecamere riprendono anche i dipendenti dell'attività commerciale, la titolarità del trattamento deve essere riconosciuta in capo alla ditta/società esercente attività di commercio, la quale avrebbe concretamente stabilito "le finalità e le modalità di esecuzione" del servizio di vigilanza affidato alla società in relazione alle "esigenze di tutela della sicurezza propria e dei beni siti presso l´immobile di sua proprietà".
La ditta/società esercente attività di commercio dovrà pertanto, in ossequio al GDPR,
a) designare l'istituto di vigilanza, responsabile del trattamento, provvedendo altresì ad impartire le istruzioni previste dall'art. 29, comma 5 del GDPR (Regolamento generale per la protezione dei dati personali 2016/679 General Data Protection Regulation o GDPR) è , con particolare riferimento all'indicazione dei termini di conservazione delle immagini; il responsabile esterno del trattamento agisce sotto l'autorità e le indicazioni del titolare del trattamento e non può trattare tali dati, se non è istruito in tal senso dal titolare del trattamento.
b) designare per iscritto gli incaricati del trattamento, ai sensi degli artt. 30 e seguenti del Codice, ossia i dipendenti che possono prendere visione delle immagini;
c) fornire ai dipendenti un'informativa completa di tutti gli elementi indicati dall´art. 13 del Codice;
d) attivare le procedure previste dal richiamato art. 4, comma 2, legge n. 300/1970, fatti salvi nel frattempo i diritti dei lavoratori, con particolare riferimento, nel caso di specie, alla presentazione della necessaria richiesta di autorizzazione al competente Ufficio periferico del Ministero del lavoro;
I dipendenti dovranno prestare apposite "dichiarazioni di consenso" in relazione al trattamento effettuato mediante il sistema di videosorveglianza.
A mio parere, le tue argomentazioni potrebbero essere sostenibili, da un punto di vista giuridico, nell'ipotesi di telecamere attivate esclusivamente negli orari di chiusura dell'esercizio commerciale. In questo caso, sarebbe la società di vigilanza a determinare le finalità e i mezzi del trattamento di dati personali.
Se le telecamere riprendono anche i dipendenti, gli adempimenti nei confronti dei lavoratori, nonché la richiesta di autorizzazione al competente Ufficio periferico del Ministero del lavoro, rendono il commerciante titolare del trattamento e la ditta di vigilanza, responsabile esterno del trattamento dati, a seguito di formale incarico contenuto nel contratto di vigilanza e pronto intervento.
Il titolare del trattamento è definito dal GDPR come la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Quindi, nel caso sia l'istituto di vigilanza a determinare i mezzi e le finalità del trattamento, di fatto il titolare del trattamento è l'istituto e non il cliente, soprattutto se il cliente (essendo interessato esclusivamente ai servizi di vigilanza) si limita ad acconsentire all'installazione delle telecamere.
Cordiali saluti.
RISPOSTA
Sono d'accordissimo con la tua tesi, a condizione che le telecamere non riprendano l'attività dei lavoratori, pertanto siano attive soltanto negli orari di chiusura dell'esercizio commerciale.
Diversamente, dovendo il commerciante, tra gli altri adempimenti, fornire ai dipendenti un´informativa completa di tutti gli elementi indicati dall'art. 13 del Codice, non potrebbe che essere titolare del trattamento dati.
A disposizione per chiarimenti.
Cordiali saluti.
