L’avere subito 17 rapine a mano armata dal 1982 ad oggi, non ha evitato ad una farmacia di Roma un Provvedimento prescrittivo del Garante della Privacy, con corrredo di previste sanzioni amministrative, per avere installato un sistema di videosorveglianza senza avere adempiuto a numerosi obblighi normativi.

Quello che interessa, però, è l’interconnessione di alcune delle telecamere della farmacia con un Istituto di Vigilanza, il quale può visionarle in caso di allarme. Si sarebbe dovuta ipotizzare, quindi, la conduzione di un “sistema integrato di videosorveglianza” che però non sembrerebbe essere stata affrontata. Approfonidiremo questo aspetto nella seconda parte dell’articolo.

Le carenze constatate

Come dicevamo, nonostante l’evidente, grave, rischio corso da quella farmacia (e non solo quella), in conseguena di una ispezione il “Nucleo Speciale Privacy” della Guardia di Finanza ha individuato diverse carenze.

La prima è quella di non avere informato adeguataente e per iscritto i dipendenti, circa i tempi di conservazione e sui soggetti o delle categorie di soggetti ai quali i dati possono essere comunicati.

Va però detto che tale contestazione non risulta essere stata bene motivata, né sanzionata. Tant’è, anche se non si comprende perchè sarebbe obbligatorio indicare il tempo di conservazione delle registrazioni, informazione che non è previsto debba essere fornita né dalla normativa vigente, né dal Provvedimento Generale sulla videosorveglianza. Questa, però, è una utile traccia per la formulazione delle future informative in tema di TVCC.

La seconda è che non sarebbero stati designati per iscritto gli incaricati del trattamento. Su questo, purtroppo, non ci piove, in quanto la normativa vigente è tassativa. Per il Garante questo costituisce una violazione delle misure di sicurezza sanzionata da 10.000,00 a 120.000,00 Euro, che si viene a sommare ad un eventuale reato che verrà contestato alle persone responsabili di tale inadempimento (immaginiamo, il farmacista).

La terza e più rilevante contestazione è che la farmacia avrebbe dovuto nominare l’Istituto di Vigilanza (categoria della quale abbiamo già accennato) quale Responsabile del trattamento dei dati, in quanto le immagini di due telecamere vengono visualizzate, in caso di allarme, direttamente dalla centrale operativa di quell’Istituto.

Correttamente, infatti, il Garante ha ritenuto che l’Istituto in parola andrebbe nominato “Responsabile del trattamento”, essendo la farmacia a prendere ogni decisione in ordine alle finalità e modalità del trattamento.

Anche in questo caso, sempre la farmacia, incorre nella medesima violazione amministrativa già indicata.

Infine, la quarta violazione riguarda la mancanza del solito accordo sindacale o dell’autorizzazione della Direzione Territoriale del Lavoro, per violazione dell’art. 4 dello Statuto dei Lavoratori, con le conseguenze penali del caso che si riassumono, in concreto, con una ammenda di circa 3-400 Euro (purtroppo ci sono interpretazioni differenti nella Pubblica Amministrazione sull’ammontare).

Gli aspetti controversi

Tutto qui? Sorprendentemente SI e non capiamo davvero.

Lo stesso Garante, sempre nel Provvedimento Generale sulla videosorveglianza, prevede la categoria dei “Sistemi integrati di videosorveglianza” e, in particolare, al paragrafo 4.6 li individua (tra l’altro) come un:

b) collegamento telematico di diversi titolari del trattamento ad un “centro” unico gestito da un soggetto terzo; tale soggetto terzo, designato responsabile del trattamento ai sensi dell’art. 29 del Codice da parte di ogni singolo titolare, deve assumere un ruolo di coordinamento e gestione dell’attività di videosorveglianza senza consentire, tuttavia, forme di correlazione delle immagini raccolte per conto di ciascun titolare;

Perchè l’Autorità ha correttamente previsto che quell’Istituto vada nominato Responsabile del trattamento ma, in coerenza, non ha constatato l’esistenza di un sistema integrato di videosorveglianza? In effetti la conseguenza logica di quanto constatato dal Nucleo Privacy sarebbe stata, come in passato, la constatazione del fatto che il collegamento non regolare costituiva una illecita “comunicazione dei dati a terzi”, con relativo esame delle responsabilità, sempre in caso di informativa, misure di sicurezza, ecc. .

Non a caso, nella vicenda che esaminiamo, circa l’informativa è stata indicata proprio come mancante la parte relativa alla comunicazione dei dati a terzi. Sembrerebbe, dunque, che il Garante si sia posto il problema ma non l’abbia voluto affrontare.

Le conseguenze

Ma perchè? Cerchiamo di approfondire meglio.

Partiamo dal presupposto che una contestazione di questo tipo non avrebbe sicure conseguenze sanzionatorie per il farmacista, ma di “blocco del trattamento” SI. Con una indiretta dilatazione degli effetti a tutti i trattamenti svolti (per conto di molti titolari del trattamento) dal “centro unico”, cioè l’Istituto di vigilanza. Che in teoria dovrebbe interrompere i servizi di videosorveglianza offerti a terzi senza la nomina a responsabile del trattamento (e l’adozione delle adeguate misure di sicurezza imposte dal Garante).

Ora, già di recente abbiamo criticato (qui e qui) alcuni Provvedimenti dell’Autorità, peraltro in alcuni casi anche discutibili nel merito, dove la sproporzione tra i mezzi utilizzati e i risultati ottenuti lasciava perplessi. Nel criticarli, ribadiamo anche che il ruolo del Garante è prezioso ed essenziale. E che le regole (magari chiare e semplici…) vanno applicate. Aggiungamo pure che spesso i titolari del trattamento agiscono con eccessiva trascuratezza in tema di Privacy.

A onor del vero aggiungiamo anche la considerazione, del tutto ad intuito, che nel caso in esame il Nucleo Privacy della Guardia di Finanza abbia probabilmente usato la “mano di velluto” col farmacista, cosciente della delicatezza della situazione. Ma qualcuno lo ha mandato, da quel farmacista, dall’Istituto di vigilanza NO.

Tant’è. Ci sono state certamente buone ragioni da parte del Garante. Certo che il testo del Provvediemento lascia perplessi. Passiamo oltre.

E’ evidente che questa situazione di incertezza e, soprattutto, di impreparazione, sia del settore della vigilanza che degli esercenti, ha come effetto quello di frenare la diffusione dei sistemi di prevenzione delle rapine.

Inoltre, se osserviamo la vicenda del farmacista, che ha subito 17 rapine, non possiamo non notare che l’esercente è chiaramente un soggetto debole, in quanto esposto ad un evidente rischio da criminalità predatoria. Che invece l’Istituto di vigilanza che non ha subito l’ispezione (almeno per quanto è noto) è un colosso del settore. Che quello stesso Istituto ha stipulato col farmacista un contratto dove è evidente la sproporzione tra i due soggetti.

Conclusioni

Al netto delle osservazioni che vi abbiamo proposto, sotto il profilo tecnico alcune indicazioni sono comunque utili per il futuro:

1) Nelle informative complete (sempre a disposzione di tutti gli interessati) deve essere indicato il tempo di conservazione;

2) Queste vanno comunque effettuate a tutti i dipendenti (non basta l’esistenza del c.d. cartello);

3) Se le immagini vengono viste da un istituto di vigilanza, esso va comunque nominato Responsabile del trattamento.

Quanto sopra, oltre agli uteriori aspetti già noti e conosciuti, quali l’obbligo di designare gli incaricati e ottenere l’accordo sindacale, ovvero l’autorizzazione della Direzione Territoriale del Lavoro.

In conclusione una domanda ulteriore: siamo certi che al mercato della vigilanza sia utile il fatto che si alimentino continuamente incertezze sull’applicazione della normativa sulla Privacy? Non sarebbe il caso che gli istituti, non solo quelli maggiori ma anche di medie e piccole dimensioni (che rischiano di non essere soggetti forti come nel caso in questione) si organizzino adeguatamente, per rispettare meglio la normativa e fornire ai clienti un adeguato supporto in materia di videosorveglianza? Crediamo, peraltro, che questa sia una buona “leva di business” per il mondo della Sicurezza privata.

I consulenti e gli specialisti di Adeia Consulting sono a disposzione per ogni necessità.