| Garante per la protezione dei dati personali Videosorveglianza.Verifica preliminare richiesta da Ergosud S.p.A. – PROVVEDIMENTO DEL 12GENNAIO 2012 Registro dei provvedimenti n. 11 del 12gennaio 2012 IL GARANTE PER LAPROTEZIONE DEI DATI PERSONALI Nella riunione odierna, in presenza del prof. Francesco Pizzetti,presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. MauroPaissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele DePaoli, segretario generale; Esaminata la richiesta di verifica preliminare presentata da ErgosudS.p.A. ai sensi dell'art. 17 del d.lg. 30 giugno 2003, n. 196 (Codice inmateria di protezione dei dati personali); Visti gli atti d'ufficio; Esaminata la documentazione acquisita agli atti; Viste le osservazioni formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante n. 1/2000; Relatore il dott. Giuseppe Fortunato; PREMESSO 1. L'istanza della società.
La società ha evidenziato che la centrale termoelettrica di Scandale, stante la sua considerevole capacità produttiva, costituisce un sito produttivodi interesse nazionale, contribuendo significativamente al sostentamento dellarete elettrica nazionale. Pertanto, ove gli impianti fossero oggetto di azionidelittuose (alcune delle quali, peraltro, già verificatesi nel recente passato,durante la loro costruzione), ne potrebbero derivare gravi danni per ilpatrimonio della Ergosud S.p.a., con conseguente esposizione a rischio non solodell'incolumità dei dipendenti, ma anche della regolarità dell'erogazionedell'energia elettrica da parte dell'intera rete nazionale. Le uniche difese di tipo fisico di cui attualmente si avvale la societàper prevenire indebiti accessi all'interno del sito sono costituite da un murodi cinta perimetrale alto circa 3 metri, sormontato da dissuasori in filospinato, e da alcuni cancelli posti a chiusura degli accessi. Inoltre, al fine di contribuire alla salvaguardia della sicurezzadegli impianti e della continuità del servizio, è stato predisposto anche unservizio di vigilanza, affidato ad una società esterna, che si sostanzia inun'attività di presidio e guardiania effettuata presso la portineria e in unservizio di ronda; infine, si è provveduto ad installare un sistema dicontrollo degli accessi alla portineria e alla sala centrale, basatosull'utilizzo di password concesse in uso al solo personale autorizzato. Poiché l'area su cui sorgono gli impianti ha un'estensione di circa 8ettari ed un perimetro di circa 1.800 metri, la Ergosud S.p.a. ha deciso diinstallare il sistema di video/audiosorveglianza in questione, volto a rendereun concreto "ausilio al personale di centrale specie nelle ore notturne enei giorni festivi/fine settimana quando in centrale si trovano ad operare solo3 persone di Ergosud", costrette ad occuparsi non solo del normaleesercizio degli impianti, ma anche del monitoraggio dell'area. A tal fine, la società, dopo aver riferito di essere stata bersaglio,nel corso del tempo, di vari atti illeciti (danneggiamento di un'autovettura edi un cavo dell'alta tensione destinato a trasmettere l'energia elettrica sullarete nazionale di distribuzione; danneggiamento di strumenti di lavoro; rotturadi sigilli fiscali apposti su un "termoelemento"; furto di personalcomputer e di arredi), ha anche prodotto copia delle relative denunzie sportepresso le Forze dell'ordine (cfr. nota Ergosud del 23 novembre 2011). Pertanto, la scelta di dotarsi di un sistema di sorveglianza"intelligente", provvisto anche di un sistema di captazione audio,andrebbe vista nell'ottica di un miglioramento dei servizi di sicurezza,obiettivo perseguibile attraverso un sistema tecnologico che, affiancandosialle misure già adottate, in ragione delle sue caratteristiche tecniche sarebbein grado di "garantire una veloce identificazione di possibili intrusionidall'esterno da parte di personale non autorizzato". 2. Le modalità di funzionamento del sistema
La funzione di motion detect, di cui sono provviste tutte letelecamere, sarebbe volta ad attivare, nell'ipotesi in cui venissero rilevatisoggetti in movimento, un allarme che abiliterebbe il sistema a registrareventicinque immagini al secondo (anziché, come normalmente stabilito, ognidieci secondi). Il meccanismo di rilevamento del movimento si baserebbe sul confrontotra un'immagine di fondo e una serie di frame video registrati nel tempo,effettuato sulla base di specifici algoritmi di calcolo; inoltre, il sistema dimotion detect risulterebbe anche in grado di rilevare problemi tecnici o disabotaggio, come la scomparsa del segnale video o l'occlusione dell'otticadella telecamera (cfr. nota Ergosud del 19/12/2011, pag. 1) I dati video registrati dal sistema sarebbero archiviati sui supportidi memorizzazione (hard disk) dei videoregistratori digitali e verrebberoconservati per un periodo massimo di una settimana, allo scadere della qualesarebbero automaticamente cancellati per sovrascrittura (cfr. nota Ergosud del29 giugno 2011, pag. 4). Il sistema di registrazione delle immaginisarebbe installato in un apposito armadio chiuso a chiave, a sua volta postonel locale tecnico della portineria, accessibile solo al personale designato(cfr. nota Ergosud del 29 giugno 2011, pag. 4). Tra le proprietà tecnologiche dell'impianto, inoltre, vi sarebbequella di essere provvisto anche di un sistema di captazione audio, il quale,secondo quanto riferito dalla società, attraverso l'attivazione di un allarmevisivo sul monitor, sarebbe in grado di allertare l'operatore circa l'esistenzadi una situazione di potenziale pericolo ad una distanza non superiore ai 5-6metri dalla telecamera provvista di microfono. Alla captazione dei suoni, però,finalizzata ad aumentare la possibilità per l'utente remoto di ricevereimmediatamente informazioni dall'esterno, non seguirebbe alcuna forma diregistrazione. Per quanto riguarda l'informativa, la società ha dichiarato che procederà ad installare un cartello per ogni telecamera nella parte interna delmuro di cinta e in quella esterna, nonché ulteriori cartelli supplementari siapresso gli ingressi dell'impianto (esternamente e internamente), sia pressol'area del refettorio e del parcheggio. Su tutti i cartelli verrebbero indicatile finalità del trattamento e il nominativo del titolare. La società, inoltre, ha dichiarato di aver predisposto le nomine adincaricato del trattamento per i dipendenti cui risulta assegnata la funzionedi capoturno (6 persone), che avranno accesso alle postazioni di operatore peril controllo del sistema (cfr. nota Ergosud del 19 dicembre 2011, pag. 3). Infine, la Ergosud S.p.A. ha dichiarato anche di aver predisposto lanomina a responsabile del trattamento dell'impresa di vigilanza, la quale, asua volta, provvederà a nominare incaricati del trattamento i singolidipendenti (cfr. nota Ergosud del 19 dicembre 2011, pag. 3). 3. Presupposti di liceità del trattamento.
In particolare, secondo tale provvedimento "in linea di massimatali sistemi devono considerarsi eccedenti rispetto alla normale attività divideosorveglianza, in quanto possono determinare effetti particolarmenteinvasivi sulla sfera di autodeterminazione dell'interessato e,conseguentemente, sul suo comportamento. Il relativo utilizzo risulta comunquegiustificato solo in casi particolari, tenendo conto delle finalità e delcontesto in cui essi sono trattati, da verificare caso per caso sul piano dellaconformità ai principi" posti dagli artt. 3 e 11 del Codice. In ragione di ciò, si ritiene che, in primo luogo, sia importantetenere conto del fatto che gli impianti sono ubicati in una zona molto isolatae lontana dai centri abitati. In secondo luogo, va posta in evidenza l'ampiezza dell'area stessa chesi estende su una superficie di circa 8 ettari, con un perimetro di circa 1.800metri. L'ubicazione e l'estensione dell'impianto sono tali da rendereobiettivamente complesso il suo controllo, anche alla luce del fatto che lalocalità – secondo quanto riferito dalla società – si trova al difuori delle zone in cui le forze dell'ordine svolgono la consueta attività dipattugliamento. Ciò ha indubbiamente favorito il fatto che il sito, nel corsodel tempo, sia stato oggetto di atti vandalici e danneggiamenti, alcuni deiquali particolarmente gravi (vedi, in particolare, il danneggiamento di un cavoad alta tensione) e oggetto di specifica denunzia presso le forze dell'ordine. Inoltre, è emerso che l'eventuale manomissione degli impianti potrebbedeterminare anche l'interruzione di pubblici servizi di particolare interessesociale. Tali obiettive circostanze già permettono di ritenere che il sito inquestione sia caratterizzato da peculiarità che giustificano l'adozione distandard di sicurezza di livello superiore alla media. Circa le specifiche caratteristiche tecniche dell'impianto, è emersoche le immagini raccolte dalle telecamere verrebbero ricevute da duevideoregistratori digitali installati nel locale della portineria e,successivamente, attraverso un apposito software, trasmesse a dei monitorubicati sia presso la stessa portineria, sia presso la sala controllo. Soltantonel caso in cui il sistema di video analisi rilevasse un movimento noncorrispondente all'immagine di fondo si attiverebbe un allarme e lavisualizzazione delle immagini, normalmente effettuata in maniera ciclica (ogni10 secondi), si commuterebbe in fissa, proponendo in primo piano l'areadirettamente interessata e rendendo così possibile una veloce individuazione dieventuali atti di sabotaggio o di intrusioni da parte di terzi. L'accesso ad entrambe le suddette postazioni, da cui risulterebbepossibile vedere le immagini in diretta e accedere alle registrazioni, sarebbeprotetto con una "password di accesso" nota al solo personaleautorizzato. La durata della conservazione delle immagini sarebbe limitata aduna sola settimana, con successiva loro cancellazione automatica mediantesovrascrittura. Infine, Ergosud S.p.A. ha dichiarato che, in relazione alle possibiliimplicazioni inerenti il controllo a distanza dei lavoratori, sarebbe già infase di definizione uno specifico accordo sindacale previsto dall'art. 4, comma2 della legge n. 300/1970 (richiamato dall'art. 114 del Codice). Ad avviso di questa Autorità, all'esito dell'istruttoria sono emersielementi che inducono a ritenere che il trattamento delle immagini che verrebbeeffettuato attraverso l'impianto di videosorveglianza intelligente sia conformeai principi posti dagli artt. 3 e 11 del Codice. In particolare, l'ubicazione isolata del sito, la sua notevoleestensione e la posizione dell'area al di fuori delle zone in cui le forzedell'ordine svolgono la routinaria attività di pattugliamento vale agiustificare l'adozione di un sistema di sicurezza che, consentendo unarilevazione di possibili intrusioni in tempi estremamente brevi, risultieffettivamente in grado di prevenire accessi non autorizzati alla struttura e,quindi, di scongiurare – o, quantomeno, di ridurre significativamente -il rischio di atti vandalici, danneggiamenti o furti di materiali in grado diprovocare gravi disservizi. Invece, con specifico riferimento al connesso sistema di"captazione audio" con cui si intenderebbe implementare il sistema divideosorveglianza intelligente, si deve ritenere che esso, anche a prescinderedai possibili riflessi penali che potrebbero derivare dalla sua attivazione(anche in ragione di quanto previsto dall'art. 4 della legge n. 300/1970,richiamato dall'art. 114 del Codice), non sia comunque conforme ai principiposti dall'art. 11 del Codice e, segnatamente, ai principi di pertinenza, noneccedenza e proporzionalità. Al riguardo, si osserva che la potenzialità dell'impianto di rilevareindistintamente suoni fino ad una distanza di 5-6 metri dall'ubicazione diciascuna telecamera, provvista di microfono, può determinare un'ulteriore e nongiustificata riduzione della sfera di riservatezza di chiunque si trovi atransitare in prossimità di un'area già abbondantemente monitorata, per finalitàdi sicurezza, con un modernissimo sistema di videosorveglianza. Tale considerazione, peraltro, risulta ancor più pregnante serapportata ai rilevamenti audio che potrebbero essere effettuati in prossimitàdegli accessi alla centrale o dell'area del refettorio, che consentirebbero diascoltare, indipendentemente dalla ricorrenza di una concreta situazione dipericolo, il contenuto delle conversazioni intercorrenti tra i dipendenti dellasocietà, alcune delle quali effettuate in momenti di semplice ristoro o diriposo dal turno di lavoro. A ciò aggiungasi che, nonostante le numerose richieste avanzate dall'ufficio,la società non ha mai effettivamente chiarito come il sistema di captazioneaudio possa fornire un ulteriore e concreto ausilio "al fine di prevenirefalsi allarmi e avere certezza di una presenza/intrusione umana nella zonaindicata", soprattutto ove si tenga conto del fatto che detta zona, comedetto, è già oggetto di continuo monitoraggio da parte del sistema divideosorveglianza intelligente, a sua volta costantemente visionato daglioperatori in servizio. Pertanto, alla luce degli elementi acquisiti e delle dichiarazionirese (sulla cui veridicità la società ha assunto ogni responsabilità ai sensidell'art. 168 del Codice) e delle specifiche modalità di funzionamentodell'impianto, volto a tutelare il patrimonio aziendale e la sicurezza dei dipendentiall'interno della centrale, questa Autorità ritiene che la richiesta diverifica preliminare avanzata da Ergosud S.p.A. possa essere accolta,limitatamente alla sola attività di videosorveglianza, a condizione che: a) Ergosud raggiunga, ai sensi dell'art. 4, comma 2 della legge n.300/1970, uno specifico accordo con le rappresentanze sindacali dei lavoratorio, in difetto, ottenga un'autorizzazione da parte della competente Direzioneprovinciale del lavoro; b) il trattamento delle immagini si mantenga aderente alle finalità ditutela del patrimonio aziendale e della sicurezza dei dipendenti e si svolganel rispetto delle modalità indicate da Ergosud s.p.a. con note del 21 marzo,29 giugno, 23 novembre e 19 dicembre 2011; c) le utenze per l'accesso alle immagini siano individualmenteassegnate attraverso la preventiva nomina di specifici incaricati deltrattamento (cfr. Disciplinare tecnico in materia di misure di sicurezza, punto3, all. B) del Codice). d) l'impresa di vigilanza esterna sia preventivamente nominataresponsabile del trattamento e questa, a sua volta, nomini incaricati deltrattamento i propri dipendenti. Al contrario, ai sensi dell'art. 11 del Codice, va disattesa lapretesa di fornire l'impianto anche di un sistema di captazione audio, benpotendo la finalità di sicurezza del patrimonio aziendale e l'incolumità deilavoratori essere garantite attraverso la sola attivazione dell'impianto divideosorveglianza intelligente. TUTTO CIŅ PREMESSO ILGARANTE ai sensi dell'art. 17 del Codice, a conclusione della verificapreliminare relativa all'utilizzo del sistema di videosorveglianza c.d."intelligente" che Ergosud s.p.a. intende adottare, per finalitàconnesse alla tutela del patrimonio aziendale e della sicurezza dei lavoratori,presso la centrale termoelettrica sita nello stabilimento di Scandale (KR),prende atto del trattamento dei dati personali oggetto delle dichiarazionirese, prescrivendo che: a) Ergosud s.p.a. raggiunga, ai sensi dell'art. 4, comma 2 della leggen. 300/1970, uno specifico accordo con le rappresentanze sindacali deilavoratori o, in difetto, ottenga un'autorizzazione da parte della competenteDirezione provinciale del lavoro; b) il trattamento delle immagini si mantenga aderente alle finalità ditutela del patrimonio aziendale e della sicurezza dei dipendenti e si svolganel rispetto delle modalità indicate da Ergosud s.p.a. con note del del 21marzo, 29 giugno, 23 novembre e 19 dicembre 2011; c) le utenze per l'accesso alle immagini siano individualmenteassegnate attraverso la preventiva nomina di specifici incaricati (cfr. –Disciplinare tecnico in materia di misure di sicurezza, punto 3 all. B) delCodice). d) l'impresa di vigilanza esterna sia nominata responsabile deltrattamento e questa, a sua volta, nomini incaricati del trattamento i propri dipendenti. Rigetta la richiesta volta ad implementare il sistema divideosorveglianza intelligente con un sistema di captazione audio, perchécontraria all'art. 11 del Codice. Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011,avverso il presente provvedimento può essere proposta opposizione all'autoritàgiudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogoove ha la residenza il titolare del trattamento dei dati, entro il termine ditrenta giorni dalla data di comunicazione del provvedimento stesso, ovvero disessanta giorni se il ricorrente risiede all'estero. Roma, 12 gennaio 2012
|