| Garante per la protezione dei dati personali Allungamento dei tempi diconservazione delle immagini registrate dagli impianti di videosorveglianza.Verifica preliminare richiesta da Fedrigoni S.p.A. PROVVEDIMENTO DEL 7 MARZO 2013 Registro dei provvedimenti n. 104 del 7 marzo 2013 IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI Nellariunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna BianchiClerici e della dott.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale; Esaminatala richiesta di verifica preliminare presentata da Fedrigoni S.p.A. aisensi dell'art. 17 del d.lg. 30 giugno 2003, n. 196 (Codice in materia diprotezione dei dati personali - di seguito "Codice"); Vistigli atti d'ufficio; Esaminatala documentazione acquisita agli atti; Viste le osservazioni formulatedal segretario generale ai sensi dell'art. 15 del regolamento del Garante n.1/2000; Relatorela prof.ssa Licia Califano; PREMESSO Indata 7 giugno 2010, Cartiere Miliani Fabriano S.p.A., produttrice di cartamoneta per la realizzazione di banconote euro, ha chiesto a questa Autoritàdelucidazioni riguardo l'apparente contrasto esistente tra le norme disicurezza minima fissate dalla Banca Centrale Europea (di seguito, BCE) e leregole vigenti in Italia in materia di trattamento dei dati personalinell'esercizio dell'attività di videosorveglianza. Inparticolare, la società ha riferito che la BCE, quale titolare esclusivo delpotere di autorizzare l'emissione di banconote in euro all'interno dellaComunità, stabilisce anche "le norme di sicurezza minima per laproduzione, l'elaborazione, la custodia e il trasporto delle banconote in euro,delle loro componenti nonché dei relativi altri materiali e informazioni chenecessitano di protezione", la cui osservanza risulta fondamentale affinchéad un "fabbricante" di carta moneta possa essere concesso lo"accreditamento di sicurezza" richiesto dalla decisione BCE del 15maggio 2008 (in G.U.U.E. 2008 L 140, p. 26); nell'ambito di dette norme, lasocietà ha fatto presente che vi sarebbe anche una disposizione che impone aiproduttori di banconote euro "accreditati" di conservare, per almenododici mesi, le immagini registrate dai sistemi di sorveglianza installatipresso i siti produttivi: ciò, in contrasto con quanto previsto dalprovvedimento generale sulla videosorveglianza emanato dal Garante in data 8aprile 2010, che, al punto 3.4, stabilisce che la conservazione delle immagini,che normalmente "deve essere limitata a poche ore o, al massimo, alleventiquattrore successive alla rilevazione", anche qualora giustificata da"peculiari esigenze tecniche" o dalla "particolare rischiositàdell'attività svolta dal titolare del trattamento", non può "comunquesuperare la settimana". All'esitodi tale richiesta, l'Ufficio, nel valutare la peculiarità dell'attivitàproduttiva svolta, ha rappresentato a Cartiere Miliani S.p.A. la possibilità, afronte della dimostrazione dell'esistenza di una specifica esigenza disicurezza, di chiedere ai sensi dell'art. 17 del Codice l'autorizzazione a"un allungamento dei tempi di conservazione per un periodo superiore allasettimana", invitando la società -ove lo avesse reputato opportuno- apresentare l'apposita istanza. Successivamente,con richiesta del 7 novembre 2011, Fedrigoni S.p.A., premettendo di averincorporato nel dicembre 2010 Cartiere Miliani S.p.A. (unitamente ad altresocietà), con conseguente subentro in ogni posizione giuridica in capoall'incorporata, ha presentato specifica istanza per essere autorizzata aconservare per dodici mesi le immagini rilevate dai sistemi di sorveglianzainstallati presso le proprie sedi di Fabriano (AN) e di Ospiate di Bollate(MI). Lasocietà ha basato tale richiesta sull'esistenza di "ragioni ascrivibilialla specificità delle attività di produzione, di lavorazione e diimmagazzinamento della carta moneta e valori", nonché sull'esigenza direndere possibili "eventuali verifiche da parte dell'autorità giudiziariaa fini investigativi" nel caso si verificassero illeciti penali. Inproposito, Fedrigoni S.p.A., nel riportarsi a quanto già illustrato da CartiereMiliani S.p.A. riguardo alla soglia di sicurezza minima fissata da BCE, haevidenziato che l'art 10, comma 4 delle "Security rules and procedures formanufacturers of euro secure items", in vigore dal 2 giugno 2008(concernenti le regole di sicurezza minime nella filiera della produzione dellacarta per banconote euro), ha stabilito un tempo di conservazione minimo di almenododici mesi per le immagini rilevate dalle telecamere a circuito chiusoinstallate presso i siti produttivi delle aziende accreditate. Ciòpremesso, Fedrigoni S.p.A., assumendo di essere l'unica realtà produttiva inItalia accreditata alla fabbricazione di carta moneta per banconote euro, hainsistito per ottenere l'autorizzazione a conservare le immagini in questioneper un periodo di dodici mesi, sia per ragioni di sicurezza e di tutela delpatrimonio aziendale, sia perché richiesto dalle specifiche regole europee disettore per poter essere annoverati tra i soggetti accreditati a siffattaproduzione. Gliimpianti di videosorveglianza già installati da Fedrigoni S.p.A. presso i sitiproduttivi di Fabriano e di Ospiate di Bollate non prevedono l'impiego disistemi c.d. "intelligenti", [...]; le telecamere, a detta dellasocietà, in ossequio ai principi di pertinenza e di non eccedenza, sono"volte a riprendere le aree esterne agli edifici destinati alla produzionedi carte moneta e valori" e "sono installate con modalità tali dalimitare l'angolo visuale all'area effettivamente da proteggere" (cfr.nota Fedrigoni S.p.A. del 12 ottobre 2011, pag. 2). Perquanto riguarda l'informativa agli interessati, la società ha dichiarato chenelle immediate vicinanze delle telecamere e, comunque, prima del loro raggiod'azione sono collocati i supporti informativi, indicanti il titolare deltrattamento e la finalità perseguita; inoltre, essi recano una simbologiadell'attività di videosorveglianza di immediata comprensione e, per formato eposizionamento, sono chiaramente visibili in ogni condizione di illuminazioneambientale. Nelle bacheche e nei locali di lavoro, inoltre, è disponibile pertutti gli interessati un testo completo di informativa contenente tutti glielementi di cui all'art. 13, comma 1 del d.lg. 196/2003 (cfr. nota Fedrigonidel 12 ottobre 2011, pag. 3). Lasocietà ha anche dichiarato di aver nominato sia un responsabile"interno" per il trattamento dei dati inerenti la"security" (il quale, a sua volta, ha nominato come incaricati per iltrattamento alcuni dipendenti dello "ufficio security" e del"reparto manutenzione", sia un responsabile "esterno",nella figura della XY S.p.A. (cfr. note della Fedrigoni s.p.a. del 12 ottobre2011, pag. 4 e nota del 3 aprile 2012, all. 1). Relativamentealle misure di sicurezza, la società ha riferito che i dati sono protettimediante un criterio di assegnazione di credenziali di accesso. [...] L'accessoal sistema per la visione delle immagini registrate e per gli interventidi manutenzione è sottoposto in entrambi i siti ad un doppio controllo, basatosulla digitazione simultanea di doppie password, [...]. La visione di detteimmagini, invece, è preclusa ad XY S.p.A., responsabile "esterno". Infine,i sistemi di registrazione sono programmati per provvedere alla cancellazioneautomatica dei dati allo scadere del termine previsto, anche mediantesovra-registrazione e, comunque, con modalità tali da non rendere piùriutilizzabili i dati cancellati (cfr. nota Fedrigoni s.p.a. del 12 ottobre2011, pag. 5). Nelcorso dell'istruttoria, la società ha anche prodotto copia degli accordisottoscritti con le rappresentanze sindacali dei lavoratori di Ospiate diBollate (il 28 maggio 2010 e il 19 luglio 2011) e di Fabriano (il 31 maggio2010), da quali emerge che le parti, nel ribadire il doveroso rispetto delleprescrizioni di cui all'art. 4 della legge n. 300/1970, hanno comunquecondiviso la necessità di conservare le immagini acquisite dai sistemi divideosorveglianza per almeno dodici mesi (cfr. nota del 12 ottobre 2011, all. 1e 2), proprio in ragione di quanto previsto dall'art. 10 del"disciplinare" della BCE. Lenuove modalità di trattamento che Fedrigoni S.p.A. ha intenzione di adottaredebbono essere valutate alla luce dei principi di necessità, proporzionalità,finalità e correttezza posti dal Codice (artt. 3 e 11 del Codice),espressamente richiamati anche nel Provvedimento generale in materia divideosorveglianza dell'8 aprile 2010. In particolare, secondo taleprovvedimento, l'allungamento dei tempi di conservazione dei dati oltre i settegiorni, giustificabile solo in casi eccezionali, deve essere adeguatamentemotivato "con riferimento ad una specifica esigenza di sicurezzaperseguita, in relazione a concrete situazioni di rischio riguardanti eventirealmente incombenti e per il periodo di tempo in cui venga confermata taleeccezionale necessità". Ciòpremesso, va rilevato che lo specifico settore in cui opera la società istantesi contraddistingue per importanza e delicatezza, tanto da essere in largaparte disciplinato direttamente dalla BCE, la quale, in forza dell'art. 132 delTrattato sul funzionamento dell'Unione Europea, risulta dotata di un poterenormativo effettivo, che si esprime attraverso l'adozione sia di attivincolanti (regolamenti e decisioni), sia di atti non vincolanti(raccomandazioni e pareri). Ledecisioni, in particolare, sono produttive di effetti giuridici obbligatori pertutti i destinatari da essa designati e, per costante interpretazione, munitedel requisito dell'efficacia. Conla decisione del 15 maggio 2008, concernente le "procedure diaccreditamento di sicurezza per i fabbricanti degli elementi di sicurezzadell'euro per le banconote in euro", la BCE ha considerato"incluso" nel suo diritto esclusivo di autorizzare l'emissione dibanconote in euro all'interno della Comunità europea anche "la competenzanell'adottare misure atte a proteggere l'integrità delle banconote in euroquali mezzi di pagamento" (v. 1° considerando); quindi, "al fine dipreservare la fiducia del pubblico nelle banconote in euro quali mezzi dipagamento", la BCE ha ritenuto "necessario specificare le norme disicurezza minima per la produzione, elaborazione, custodia e trasporto dellebanconote in euro e delle loro componenti e dei relativi altri materiali einformazioni che necessitano di protezione, la cui perdita, furto odivulgazione potrebbe danneggiare l'integrità delle banconote in euro oconcorrere alla produzione contraffatta di banconote in euro o delle lorocomponenti", regole che "tutti i soggetti coinvolti in tali attivitàsono tenuti a rispettare" (v. 2° considerando). In tale ottica, la stessaBCE ha ritenuto necessario stabilire una procedura di accreditamento disicurezza per verificare il rispetto, da parte dei "fabbricanti",delle norme minime di sicurezza, da intendersi come "norme sostanzialirelative all'acquisizione degli elementi di sicurezza dell'euro e di qualsiasialtra attività di sicurezza dell'euro, come stabilite periodicamente dalla BCEcon distinte norme" (v. art. 1, lett. d) della decisione). Daquanto sopra deriva che anche Fedrigoni S.p.A, che produce carta per larealizzazione di banconote euro, è soggetta sia alla disciplina posta dalladecisione del 15 maggio 2008, sia a tutte le ulteriori regole periodicamenteemanate dalla BCE, tra le quali quelle di sicurezza minime appositamenteemanate nei confronti delle aziende in possesso di accreditamento di sicurezzaper la produzione di banconote euro (c.d. "Security rules and proceduresfor manufacturers of euro secure items", in vigore dal 2 giugno 2008),che, tra l'altro, impongono che le immagini registrate dagli impianti divideosorveglianza installati presso i siti produttivi vengano conservate"per almeno 12 mesi" (vedi art. 10, comma 4). Adavviso di quest'Autorità, all'esito dell'istruttoria sono emersi elementi cheinducono a ritenere che la richiesta di allungamento dei tempi di conservazionedelle immagini formulata dalla società sia conforme ai principi stabilitidall'art. 11, comma 1 del Codice. Infatti,l'acclarata esistenza di un complesso di regole di sicurezza minima,direttamente fissate dalla BCE nell'esercizio del suo autonomo poterenormativo, costituisce un valido presupposto di liceità delle nuove modalità ditrattamento, della cui indispensabile osservanza, nel caso in questione, sonopienamente consapevoli anche le stesse organizzazioni sindacali aziendali, lequali hanno spontaneamente riconosciuto la necessità di aggiornare il contenutodegli originari accordi stipulati ai sensi dell'art. 4 della legge n. 300/1970con il pieno recepimento dell'obbligo di conservazione delle immagini peralmeno dodici mesi, fissato dalla BCE con le "Security rules andprocedures for manufacturers of euro secure items" (art. 10, comma 4). Inoltre,l'estensione a dodici mesi del termine di conservazione delle immagini devereputarsi conforme anche ai principi di pertinenza e di non eccedenza e diproporzionalità, alla luce del peculiare settore produttivo in cui operaFedrigoni S.p.A. e delle obiettive esigenze di sicurezza del patrimonioaziendale e del prodotto finito, nonché della circostanza che la visione delleregistrazioni potrà essere effettuata soltanto ove vengano ravvisati osegnalati eventuali illeciti e si renda necessario procedereall'individuazione, da parte dell'Autorità giudiziaria, dei possibiliresponsabili. CiO'premesso, alla luce delle dichiarazioni rese dalla società e degli ulteriorielementi acquisiti, si deve ritenere che la richiesta di verifica preliminareavanzata dalla Fedrigoni s.p.a. possa essere accolta. Roma, 7 marzo 2013
|