Trattamento di dati personali connessoall'installazione di un sistema di rilevamento dati e di registrazione diimmagini su veicoli del trasporto pubblico locale

PROVVEDIMENTO DEL 29 NOVEMBRE 2012

Registro dei provvedimenti
n. 368 del 29 novembre 2012

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

NELLAriunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

ESAMINATAla richiesta di verifica preliminare presentata da ATB Servizi s.p.a. ai sensidell'art. 17 del Codice in materia di protezione dei dati personali (d.lg. 30giugno 2003, n. 196);

VISTOil Codice in materia di protezione dei dati personali;

VISTIgli atti d'ufficio;

VISTEle osservazioni formulate dal segretario generale ai sensi dell'art. 15 delregolamento del Garante n. 1/2000;

RELATOREla prof.ssa Licia Califano;

PREMESSO

1. Trattamento di dati personali connessoall'installazione di un sistema di rilevamento dati e di registrazione diimmagini su veicoli del trasporto pubblico locale

1.1.ATB Servizi s.p.a., concessionaria del servizio di trasporto pubblico locale inBergamo e in altri ventisette comuni dell'area urbana, ha presentato unarichiesta di verifica preliminare ai sensi dell'art. 17 del Codice relativa altrattamento di dati personali da effettuare a seguito dell'installazione suipropri veicoli di un dispositivo denominato "Roadscan DTW". Taledispositivo, predisposto per essere posizionato sul parabrezza anteriore deiveicoli adibiti al trasporto pubblico locale, consente la raccolta e, alverificarsi di predeterminate condizioni (quali accelerazioni/decelerazioni osobbalzi tali da far presumere che il veicolo possa essere coinvolto in unsinistro), la registrazione delle immagini relative alla sede stradaleprospiciente il veicolo nonché alla zona interna (prospiciente la telecamera)dei mezzi di trasporto. Più specificamente, tale dispositivo (annoverabile trai c.d. video event data recorder), installato in modo "tale da nonriprendere il conducente" e non attivabile da remoto (cfr. istanza19.3.2012, p. 3), consente di:

a.  effettuarela registrazione di immagini riferite allo spazio esterno –corrispondente approssimativamente allo "specchio visivo del conducente [ä],con visuale fissa, [e] lente grandangolare" – e a quello interno alveicolo. Le informazioni registrate sono progressivamente cancellate "sintanto che il veicolo su cui l'apparecchio è montato non subisca unadecelerazione od accelerazione tale da far ritenere lo stesso coinvolto in unsinistro stradale o in un evento significativo (frenata brusca, manovraimprovvisa, ecc.)";

b.  attivareil "salvataggio della registrazione" anche manualmente utilizzando unpulsante di emergenza collocato al lato del posto di guida.

Ildispositivo, "contestualmente alla memorizzazione delle registrazionivideo", nei venti secondi antecedenti e successivi al verificarsi di unevento qualificato come significativo in base alle impostazioni dello stesso,provvede altresì alla memorizzazione delle seguenti informazioni:"accelerazione/decelerazione; deviazione della direzione adestra/sinistra; accelerazione/decelerazione zenitale (sobbalzo); velocitàistantanea; localizzazione del veicolo con sistema GPS" (cfr. istanzacit., p. 4).

Ildispositivo è altresì predisposto per:

c.  effettuare,contestualmente al verificarsi di ciascuno evento qualificato comesignificativo, la registrazione dell'audio mediante un microfono(disattivabile) "posizionato nella parte interna del corpo macchina"(cfr. Manuale d'uso Roadscan DTW, p. 9 e comunicazione 31.8.2012, p. 3);

d.  attivare,mediante il sistema Gps (Global positioning system), la modalità denominata"Digital image tachonograf" (D.I.T.), che permette di"memorizzare e visualizzare su mappa tutti gli itinerari percorsi daimezzi permettendone un'efficiente razionalizzazione" (cfr. Manuale d'usoRoadscan DTW, p. 19).

1.2.Secondo quanto prospettato:

a.  iltrattamento di dati personali in esame avrebbe lo scopo di "supportare laricostruzione cinematica dei sinistri che coinvolgono gli autobus di proprietàdi ATB" e quindi, "salvaguardare i beni patrimoniali dell'azienda dacomportamenti fraudolenti posti in essere da terzi o dal propriopersonale" nonché, indirettamente, "accrescere la sicurezza degliutenti e del personale dipendente" (cfr. istanza cit., p. 3). L'adozionedi tale dispositivo contribuirebbe, infatti, alla ricostruzione della dinamicadi eventuali sinistri o di eventi imprevisti occorsi ai mezzi di trasporto. Ciòpotrebbe comportare il trattamento di dati riferiti ai soggetti a vario titolocoinvolti nell'evento (quali passeggeri trasportati, conducenti, anche di altriveicoli, pedoni etc.), per finalità di tutela dei diritti, anche in vista dellaproduzione in giudizio degli elementi di prova costituiti dalle immagini e deidati memorizzati;

b.  leinformazioni registrate potranno essere successivamente trattate sia estraendodal dispositivo la scheda contenente le registrazioni, mediante una"apposita chiave di sicurezza", sia visualizzando le immaginicorredate dagli ulteriori dati relativi ai parametri di guida sopra menzionati,sul PC di un incaricato del trattamento, "previa autenticazioneinformatica e mediante un sistema di autorizzazione messa in atto da parte delresponsabile del trattamento o da persona da questo formalmenteincaricata" (istanza cit., p. 4);

c.  leoperazioni di trattamento potranno essere effettuate unicamente da soggettidesignati responsabili o incaricati del trattamento ai sensi degli artt. 29 e30 del Codice (istanza cit., p. 4);

d.  idati raccolti potranno essere comunicati all'autorità giudiziaria o allapolizia giudiziaria che ne facciano richiesta. In caso di sinistro, copia dellaregistrazione "relativa esclusivamente all'evento denunciato" potràaltresì essere comunicata alla compagnia assicurativa al fine di"supportare la ricostruzione cinematica dei sinistri che coinvolgono gliautobus [ä] e per consentire la determinazione del grado di responsabilità acarico del conducente" (istanza cit., p. 6);

e.  lesole immagini registrate concernenti eventi significativi relativi a"sinistri da circolazione" verranno conservate per due anni,coincidente con il termine di prescrizione previsto dall'art. 2947, comma 2,cod. civ. (istanza cit., p. 1);

f.  lasocietà intende rendere l'informativa agli interessati, anche in formasemplificata, mediante un modello, da apporre sui propri mezzi, che ingloba unpittogramma recante (tra l'altro) la dizione "QUESTO AUTOBUS HA INSTALLATOUN DISPOSITIVO PER LA RICOSTRUZIONE DEGLI INCIDENTI" (cfr. allegati allacomunicazione del 3 settembre 2012).

2. Protezione dei dati personali, registrazione diimmagini e localizzazione dei veicoli

2.1.Il funzionamento del dispositivo in esame comporta il trattamento di datipersonali riferiti ad una pluralità di soggetti.

Leregistrazioni acquisite, sia le immagini che gli ulteriori dati ad esseassociati in corrispondenza del verificarsi di un evento ritenutosignificativo, possono fornire informazioni, anzitutto, sul comportamentotenuto dal conducente del veicolo in un intervallo temporale precedente esuccessivo al verificarsi di eventi "anomali" pari, secondo quantodichiarato, ai 20 secondi precedenti e 20 secondi successivi all'evento ovveroin corrispondenza dell'attivazione manuale del dispositivo (in tal senso,rispetto ai dati rilevati in occasione di sinistri da una società che gestiscelinee di trasporto pubblico mediante analogo dispositivo di registrazione etrasmissione dei dati installato sui propri veicoli – c.d. event datarecorder –, v. già Provv. 5 giugno 2008).

Ma,nel caso di specie, il trattamento di dati personali può altresì riguardarecategorie ulteriori di soggetti a vario titolo coinvolti nell'evento oggetto diregistrazione e riprodotti nelle immagini registrate: tali possono essere ipasseggeri, i conducenti di altri veicoli o altre persone presenti sulla sedestradale.

Atali trattamenti, suscettibili di riguardare soggetti identificati o comunqueidentificabili, trova quindi applicazione la disciplina contenuta nel Codice e,ai sensi dell'art. 11, comma 1, lett. a) del Codice, dovranno altresì esseresalvaguardate (come peraltro prefigurato dalla società istante) le garanziepreviste a tutela dei lavoratori dall'art. 4 della legge n. 300/1970 (inmerito, v. pure International Working Group on Data Protection inTelecommunications, Working Paper, Event Data Recorders (EDR) on VehiclesPrivacy and data protection issues for governments and manufacturers, adottatoil 4 aprile 2011, in http://www.datenschutz-berlin.de/attachments/795/675.42.10.pdf?1308146250).

3. Liceità, finalità, pertinenza e non eccedenza deltrattamento effettuato attraverso il dispositivo "Roadscan DTW"

3.1.Le finalità del trattamento, così come rappresentate dalla società (v. punto1.2), risultano lecite. Il dispositivo in esame – che, come visto,registra e, limitatamente ad eventi ritenuti significativi, conservadocumentazione utile ai fini dell'accertamento di dinamiche e condotte connessealla circolazione dei veicoli aziendali nello svolgimento del servizio ditrasporto pubblico – consente, in base a quanto dichiarato, laricostruzione della dinamica di eventuali sinistri e, quindi, il successivoutilizzo per finalità di tutela dei diritti dei dati rilevati come elementi diprova.

Sottodiverso profilo, con particolare riferimento alla finalità inizialmentedichiarata di "salvaguardare i beni patrimoniali dell'azienda dacomportamenti fraudolenti posti in essere da terzi o dal propriopersonale", la società ha precisato che le informazioni riferibili aiconducenti dei veicoli, conformemente a quanto previsto dall'art. 4, legge n.300/1970, non saranno utilizzate per finalità di controllo a distanzadell'attività degli stessi, né "potranno essere utilizzati perprovvedimenti disciplinari nei confronti del personale dipendente sia nel casoin cui si trovi alla guida del mezzo, sia nel caso in cui si trovi sull'autobusin qualità di trasportato" (comunicazione 31.8.2012, p. 1). In proposito,l'accordo stipulato dalla società con le rappresentanze sindacali in data 13marzo 2012 (relativo, più in generale, all'utilizzo di sistemi divideosorveglianza), già prevede che, fatto salvo l'esito del presenteprocedimento di verifica preliminare davanti al Garante, le parti procederannoad una sua integrazione con riferimento alle "modalità di trattamento dei[ä] dati mediante apposito allegato" (cfr. art. 14 dell'all. 2 all'istanzadel 19.3.2012).

Lasocietà, come dalla stessa dichiarato, procederà quindi ad integrare l'accordosindacale già concluso o comunque ad espletare le procedure previste dall'art.4, secondo comma, della legge n. 300/1970.

3.2.Con riguardo all'osservanza dei principi di necessità nonché di pertinenza enon eccedenza (artt. 3 e 11, comma 1, lett. d), del Codice), il trattamento deidati personali sopra indicati per la finalità di tutela dei diritti –rispetto al quale non è peraltro necessario il consenso degli interessati aisensi dell'art. 24, comma 1, lett. f), del Codice – appare conforme alprincipio di liceità, anche in considerazione degli accorgimenti adottati inrelazione alle riprese visive registrate rispetto alle quali, come dichiarato,la società:

a.  limiteràl'angolazione di ripresa, escludendone il conducente del veicolo (v. punto1.1);

b.  predisporràsoluzioni tecniche affinché, in caso di utilizzo delle immagini per le finalitàdichiarate, risultino offuscati "i volti dei soggetti non coinvolti"mediante un "preventivo intervento di face blurring attraverso unapplicativo software" (comunicazione 31.8.2012, p. 2).

3.3.Limitatamente ai sinistri verificatisi, e nel perseguimento della finalità ditutela dei diritti, la società potrà comunicare i dati rilevati mediante ildispositivo in esame all'istituto assicuratore, ai sensi dell'art. art. 24,comma 1, lett. g), del Codice, anche in assenza del consenso degli interessati.Ciò per effetto del presente provvedimento che, in applicazione delladisciplina sul c.d. bilanciamento di interessi, individua un legittimointeresse dell'assicuratore della responsabilità civile connessa circolazionedi veicoli nei cui confronti possono essere fatti valere i diritti ai sensidegli artt. 144 ovvero 149, d. lg. 7 settembre 2005, n. 209 (Codice delleassicurazioni private).

3.4.Non risulta, invece, conforme a quanto disposto dall'art. 11 del Codice e,segnatamente, ai principi di liceità, pertinenza e non eccedenza, la raccolta esuccessiva registrazione delle riprese audio, in assenza di idonei e comprovatielementi (allo stato non desumibili in atti) circa la necessità del trattamentodi tali ulteriori informazioni in relazione alle finalità perseguite, ancheconsiderati i possibili riflessi penali della registrazione della voce dellepersone a bordo del veicolo (cfr. artt. 617, 617 bis e 623 bis c.p.; in merito,con riferimento a registrazioni effettuate da telecamere corredate da sistemadi ripresa audio, cfr. Provv. 4 ottobre 2012; Provv. 2 ottobre 2008).

3.5.Considerato che, da quanto risulta in atti, il dispositivo che si intendeinstallare comporta comunque il trattamento di dati relativi allalocalizzazione del veicolo, la società è tenuta a notificare il trattamento aisensi dell'art. 37, comma 1, lett. a), del Codice.

3.6.Con riferimento alla rappresentata necessità di conservare i dati trattati perventiquattro mesi, in relazione al termine previsto dall'art. 2947, comma 2,cod. civ. per far valere pretese connesse al verificarsi di danni prodottidalla circolazione di veicoli, si ritiene che tale richiesta – valutataalla luce delle specifiche finalità connesse all'adozione del dispositivo inesame – non si ponga in contrasto con i principi di necessità,proporzionalità, finalità e correttezza posti dal Codice (artt. 3 e 11 delCodice). La società dovrà predisporre meccanismi di integrale cancellazioneautomatica delle informazioni allo scadere del termine previsto per laconservazione dei dati.

3.7.Si prende atto, infine, che la società ha dichiarato di non intendere attivare,al momento, la menzionata funzionalità D.I.T. (v. punto 1.1, lett. d) –che consente di "rilevare ogni 10 secondi la posizione e la velocità delmezzo" (istanza 19.3.2012, p. 5) –, la quale "potrà essereeventualmente gestita" nell'ambito di progetti orientati al miglioramentodella sicurezza stradale e che comunque, in tale eventualità, i dati sarannotrattati "in forma anonima e non utilizzat[i] per procedure disciplinari acarico del personale" (istanza cit., p. 5).

4. Correttezza nelle operazioni di trattamento einformativa degli interessati

4.1.Al fine di dare piena attuazione al principio di correttezza (art. 11, comma 1,lett. a), del Codice) i trattamenti in esame devono essere chiaramentericonoscibili agli interessati, i quali devono essere posti nella condizione diconoscere agevolmente le specifiche finalità perseguite dal titolare deltrattamento, quali informazioni personali a loro riferite sono raccolte eregistrate nonché la logica del trattamento effettuato.

Lasocietà deve pertanto rendere interamente "trasparenti" i trattamentiche intende effettuare mediante il dispositivo in esame tenendo conto dellediverse categorie di individui che possono risultarne interessati, enunciandochiaramente finalità e modalità del trattamento, in particolare in caso disinistri.

Atal fine, una puntuale informativa, comprensiva di tutti gli elementi contenutinell'art. 13 del Codice, dovrà essere fornita ai dipendenti della società, conparticolare riferimento ai conducenti dei veicoli.

4.2.Del pari, adeguata informativa dovrà essere resa nei confronti dell'utenza edella collettività che pure potrebbe essere interessata dai trattamenti inesame. A tal fine, il Garante ritiene che, ai sensi dell'art. 13, comma 3, delCodice, debba essere utilizzato un modello semplificato di informativa:

a.  inglobatoin un pittogramma o una stilizzazione, di esplicita e immediata comprensione,al fine di informare gli interessati che, in corrispondenza di un sinistro, leimmagini sono registrate dal titolare del trattamento e

b.  collocatosui veicoli dotati del dispositivo in esame con formato e posizionamento taleda essere chiaramente visibile da parte degli interessati (anzitutto gli utentidel servizio, ma pure la collettività).

Lasocietà dovrà integrare l'informativa resa nella descritta forma semplificata,nei confronti della clientela, mediante apposita informazione relativa altrattamento in esame, dandone conto nella documentazione contenente lecondizioni generali di contratto nonché, nell'interesse della generalità degliinteressati, pubblicando una dettagliata descrizione dei trattamenti effettuatimediante al dispositivo in esame sul sito web istituzionale della società, conmodalità tali da risultare chiaramente ed immediatamente visibile.

IlGarante auspica inoltre che, prima che i trattamenti in esame abbiano inizio,la società predisponga, anche mediante il proprio servizio di comunicazione conil pubblico, un'adeguata campagna informativa.

5. Adempimenti ulteriori e misure di sicurezza

5.1.Resta fermo che:

a.  l'esamedei dati memorizzati in caso del verificarsi di un evento significativo dovràessere consentito, per il perseguimento della finalità perseguita, ai soliresponsabili o incaricati del trattamento con riguardo alla gestione deisinistri designati ai sensi degli artt. 29 e 30 del Codice che possonoprenderne legittimamente conoscenza, in ragione delle mansioni svolte o degliincarichi affidati;

b.  gliinteressati potranno esercitare i diritti di cui agli artt. 7 ss. del Codice inrelazione ai dati personali che li riguardano rilevati mediante il dispositivoin esame. In presenza di una richiesta di accesso da parte dell'interessatooppure di richiesta da parte dell'autorità giudiziaria, la società potràassicurare la disponibilità dei dati raccolti, evitandone l'automaticacancellazione alla scadenza del periodo di conservazione previsto;

c.  dovrannoessere adottate le misure di sicurezza previste dagli artt. 31 ss. del Codiceal fine di preservare l'integrità dei dati trattati e prevenire l'accesso aglistessi da parte di soggetti non autorizzati. Il dispositivo utilizzato devepertanto offrire una garanzia rigorosa di affidabilità ed integrità dei dati,anche sulla base di eventuali certificazioni od omologazioni. In questacornice, la società deve farsi rilasciare dall'installatore, e conservare,l'attestato di cui alla regola n. 25 del disciplinare tecnico in materia dimisure minime di sicurezza (Allegato "B" al Codice).

5.2.Restano salve le disposizioni che potranno essere adottate, sentito il Garante,ai sensi dell'art. 49, l. 29 luglio 2010, n. 120 (Disposizioni in materia disicurezza stradale) nonché dell'art. 32, commi 1-bis e 1-ter, d.l. 24 gennaio2012, n. 1 (Disposizioni urgenti per la concorrenza, lo sviluppo delleinfrastrutture e la competitività), convertito con modifiche con l. 24 marzo2012, n. 27.

TUTTO CI“ PREMESSO IL GARANTE

aconclusione della verifica preliminare ai sensi dell'art. 17 del Codicerelativa ai trattamenti descritti in narrativa che verranno effettuati da ATBServizi s.p.a. mediante il dispositivo denominato "Roadscan DTW" perle finalità sopra indicate, prende atto delle operazioni di trattamento di datipersonali dichiarate della società che potranno essere effettuate, fermorestando che:

1.   la società, come dalla stessa dichiarato, dovrà procedere adintegrare l'accordo sindacale già concluso o comunque ad espletare le procedurepreviste dall'art. 4, secondo comma, della legge n. 300/1970 (punto 3.1);

2.    iltrattamento dei dati personali non dovrà avere ad oggetto le riprese audio(punto 3.4);

3.    lasocietà dovrà notificare al Garante il trattamento, con specifico riferimentoai dati relativi alla localizzazione (punto 3.5);

4.    idati raccolti in occasione di un sinistro potranno essere conservati sino allascadenza del termine di prescrizione di eventuali azioni connesse alverificarsi di sinistri in occasione dell'effettuazione del servizio ditrasporto pubblico. La società predisporrà meccanismi di integralecancellazione automatica delle informazioni allo scadere del termine previstoper la conservazione dei dati (punto 3.6);

5.    idati relativi alla localizzazione, ove necessari nell'ambito di progettiorientati al miglioramento della sicurezza stradale, dovranno essereopportunamente anonimizzati ed utilizzati in forma aggregata (punto 3.7);

6.    aidipendenti della società, con particolare riferimento ai conducenti deiveicoli, unitamente agli elementi previsti dall'art. 13 del Codice, dovrannoessere forniti compiuti ragguagli sulla natura dei dati trattati e sullecaratteristiche del dispositivo, tenuto conto della finalità mediante lo stessoperseguita (punto 4.1);

7.    all'utenzae alla generalità dei soggetti che possono essere interessate dal trattamentoin esame dovrà essere fornita, ai sensi dell'art. 13, comma 3, del Codice,un'informativa conforme al modello semplificato descritto in motivazione, alfine di rendere nota l'effettuazione di un trattamento di dati personalimediante rilevazione delle immagini in caso di sinistro (punto 4.2);

8.    l'informativaresa nella descritta forma semplificata, dovrà essere integrata, nei confrontidella clientela, mediante apposita informazione relativa al trattamento inesame, dandone conto nella documentazione contenente le condizioni generali dicontratto nonché, nell'interesse della generalità degli interessati,pubblicando una dettagliata descrizione dei trattamenti effettuati mediante aldispositivo in esame sul sito web istituzionale della società, con modalitàtali da risultare chiaramente ed immediatamente visibile (punto 4.2);

9.    qualemisura opportuna (ai sensi dell'art. 154, comma 1, lett. c), del Codice, primache i trattamenti in esame abbiano inizio, la società dovrà predisporreun'adeguata campagna informativa (punto 4.2).

10.  l'accessoai dati trattati dovrà essere consentito ai soli soggetti che, in ragione dellemansioni svolte o degli incarichi affidati, possono prenderne legittimamenteconoscenza (punto 5.1);

11.  lasocietà dovrà farsi rilasciare e conservare l'attestato di cui alla regola n.25 del disciplinare tecnico in materia di misure minime di sicurezza (Allegato"B" al Codice) (punto 5.1).

Aisensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso ilpresente provvedimento può essere proposta opposizione all'autorità giudiziariaordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha laresidenza il titolare del trattamento dei dati, entro il termine di trentagiorni dalla data di comunicazione del provvedimento stesso, ovvero di sessantagiorni se il ricorrente risiede all'estero.

Roma, 29 novembre 2012

Il presidente
Soro

Il relatore
Califano

Il segretario generale
Busia