Allungamento dei tempi diconservazione delle immagini raccolte dai sistemi di videosorveglianza.Verifica preliminare richiesta da Società Generale d'Informatica S.p.A. (Sogei)

PROVVEDIMENTO DEL 28 NOVEMBRE 2013

Registro dei provvedimenti
 n. 532 del 28 novembre 2013

IL GARANTE PER LA PROTEZIONE DEI DATIPERSONALI

Nellariunione odierna, in presenza del dott. Antonello Soro, presidente, delladott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna BianchiClerici e della prof.ssa Licia Califano, componenti, e del dott. GiuseppeBusia, segretario generale;

Vistoil Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003,n. 196; di seguito "Codice");

Vistoil provvedimento generale in materia di videosorveglianza adottato dal Garantel'8 aprile 2010, pubblicato in G.U. n. 99 del 29 aprile 2010;

Vistala nota della Società Generale d'Informatica S.p.A. (Sogei) del 19 settembre2013 (Prot. n. 10203/2013);

Vistala documentazione in atti;

Vistele osservazioni dell'Ufficio, formulate dal segretario generale ai sensidell'art. 15 del regolamento del Garante, n. 1/2000;

Relatoreil dott. Antonello Soro;

PREMESSO

LaSocietà Generale d'Informatica S.p.A. (Sogei)  -società a totalepartecipazione pubblica, le cui azioni appartengono al Ministero dell'Economiae delle Finanze- ha sottoposto al Garante una richiesta di verifica preliminareconcernente la possibilità di allungare, fino a trenta giorni, la durata delperiodo di conservazione delle immagini raccolte dai sistemi divideosorveglianza installati presso la sede della stessa.

Nell'ambitodella citata richiesta, la Sogei fornisce una descrizione del proprio ruoloistituzionale, dichiarando, tra l'altro, che:

-   oltrealla "prestazione di servizi strumentali all'esercizio delle funzionipubbliche attribuite al Ministero dell'economia e delle finanze e alle Agenziefiscali (ä) svolge (ä) ogni altra attività di natura informatica per contodell'Amministrazione pubblica centrale o locale, di istituzioni, di Entipubblici territoriali locali, di società a partecipazione pubblica, ancheindiretta, di organismi ed enti che svolgano attività di interesse pubblico orilevanti nel settore pubblico, nonché di Istituzioni internazionali esovranazionali e di Amministrazioni pubbliche estere";

-   "rendeservizi e/o gestisce le banche dati dei seguenti enti: Dipartimento delleFinanze, Agenzia delle Entrate, Agenzia delle Dogane, Agenzia del territorio edel Demanio, Amministrazione autonoma dei monopoli di Stato, Guardia diFinanza";

-   trattae gestisce "Informazioni Classificate, in relazione allo specifico livellodi segretezza attribuito"; in tale quadro, "nel mese di settembre2012 il DIS, Dipartimento Informazioni per la Sicurezza, istituito presso laPresidenza del Consiglio dei Ministri, ha autorizzato la Sogei all'istituzionedi una "Segreteria principale di Sicurezza NATO-UE/S", la quale"è legittimata a trattare documenti fino al livello di classifica SegretoNATO/UE; svolge funzioni di raccordo con l'Ufficio Centrale per la Segretezza(UCSe) del DIS; è preposta alla protezione e alla tutela delle informazioniclassificate";

-   "leattività informatiche riservate allo Stato ai sensi del decreto legislativo 19novembre 1997, n. 414, e successivi provvedimenti di attuazione, nonché leattività di sviluppo e gestione dei sistemi informatici delle amministrazionipubbliche, svolte precedentemente dalla Consip S.p.A. ai sensi di legge e distatuto, sono state trasferite mediante operazione di scissione, alla SogeiS.P.A." (art. 4, comma 3-bis del d.l. 6 luglio 2012, convertito, conmodificazioni, dall'art. 1, comma 1della legge 7 agosto 2012, n, 135); aseguito di tale trasferimento, la "Sogei erogherà attività informaticheanche per quanto concerne i sistemi informativi delle Amministrazioni citatenonché per il Dipartimento del Tesoro ed il Dipartimento della RagioneriaGenerale dello Stato".

Alriguardo, la medesima Società ha fatto presente che "conserva e custodiscenella propria banca dati l'intera Anagrafe tributaria", trattando,pertanto, un enorme volume di dati personali.

Conriferimento all'attività di videosorveglianza effettuata, la Società hadichiarato che essa è volta esclusivamente a perseguire "finalità disicurezza ovvero" a  "proteggere le banche dati da accessi nonautorizzati e/o intrusioni e (ä)" a "garantire la sicurezza delleapparecchiature hardware (server, quadri elettrici, apparati elettronici,quadri di rete, centrali telefoniche, magazzini, etc.), dei prodotti softwareutilizzati per la gestione delle banche dati e dei relativi dati personali,nonché per la protezione dei beni aziendali e delle persone che operanoall'interno dei locali e nelle aree aziendali".

E'stato, inoltre, precisato che le telecamere installate presso i principalipunti di accesso all'azienda (varchi carrai, ingresso principale) e presso learee perimetrali della stessa sono "custodite e gestite dalla Guardia diFinanza unicamente per gli scopi di antintrusione, protezione perimetrale econtrollo accessi e sono presidiate unicamente da personale della Guardia diFinanza"; le telecamere, collocate, invece, all'interno degli edifici, neilocali di transito (corridoi e atri), all'interno del Centro Elaborazione dati"CED", nei locali ove sono installate e custodite le apparecchiaturehardware, nell'ala direzionale, nella Segreteria Principale di SicurezzaNATO-UE/S, sono gestite dalla Sogei e attive 24 ore su 24, ad eccezione diquelle posizionate nei locali di transito, che sono funzionanti fuori dagliorari di lavoro (e precisamente dalle XX alle YY dal ZZ al KK, e dalle JJ delHH alle HJ del QQ successivo).

Inrelazione al rispetto della disciplina in materia di protezione dei datipersonali, è stato, altresì, evidenziato che il sistema di videosorveglianza:

-   "noneffettua alcun genere di controllo dell'attività lavorativa, anzi ognitelecamera è configurata e posizionata nel rispetto dei diritti e delle libertàfondamentali dei lavoratori ex art. 4 della legge 300/70;

-   èsempre preceduto, prima del raggio di azione di ciascuna telecamera, daappositi cartelli espositivi contenenti idonea informativa agli interessati,conformemente a quanto previsto dal Provvedimento del Garante dell'8 aprile2010".

Conriferimento alla richiesta oggetto di verifica preliminare, riguardantel'esigenza di poter conservare le immagini registrate fino a un periodo ditrenta giorni, la Sogei ha rappresentato che:

-   "tenutoconto dei ripetuti tentativi di intrusione, furto e danneggiamento" ènecessario garantire "un costante miglioramento del sistema divideosorveglianza (..), anche attraverso l'estensione dei punti divideosorveglianza, in ragione del numero dei varchi di accesso, delle areeinterne ed esterne e dei locali CED da vigilare, distribuiti su piùedifici";

-   "ilnumero di punti di videosorveglianza (ä) non consente il completamento deicontrolli necessari entro il tempo di conservazione attualmente consentito diuna settimana, anche in considerazione del fatto che non sono utilizzatisistemi intelligenti di videosorveglianza (ä) e che le analisi sono condotteesclusivamente dal personale di sicurezza appositamente incaricato";

-nell'ambito di un'attività di indagine in caso di accessi non autorizzati,intrusioni, manomissione o furti, "tali atti non sono sempre immediatamenterilevabili e nell'esperienza di questi ultimi anni si è rilevata l'importanzadi estendere l'indagine anche alle fasi ed attività che eventualmente precedonol'azione incriminata (sopralluoghi iniziali, appostamenti, attività dipredisposizione dell'ambiente, ä)".

Aconforto dell'esigenza manifestata nella richiesta di verifica preliminare, laSocietà ha allegato una nota del Ministero dell'Economia e delle Finanze-Organocentrale di Sicurezza, nella quale viene rappresentata la valutazione dellaGuardia di Finanza secondo la quale sarebbe necessario prorogare i tempi diconservazione delle immagini registrate dalla Sogei fino a trenta giorni"attesa la particolare attività di interesse strategico svolta da Sogei (ä),sia per la rilevanza dei dati trattati sia per la quantità delle stesseinformazioni gestite e delle interazioni istituzionali strategiche con soggettipubblici e privati".

OSSERVA

Lanormativa in materia di protezione dei dati personali prevede che laconservazione delle informazioni oggetto di trattamento, in una forma checonsenta l'identificazione dell'interessato, non superi il periodo di temponecessario agli scopi per i quali esse sono state raccolte o successivamentetrattate (art. 11, comma 1, lett. e) del Codice).

IlGarante, con provvedimento di carattere generale dell'8 aprile 2010, ha fornitoai titolari del trattamento specifiche indicazioni circa il corretto utilizzodi sistemi di videosorveglianza, al fine di rendere il trattamento dei datipersonali effettuato mediante l'uso di tali sistemi conforme alla disciplina inmateria di protezione dei dati personali.

Intale provvedimento generale, l'Autorità ha evidenziato, in particolare, che neicasi in cui sia stato scelto un sistema che preveda la conservazione delle immagini,in applicazione del principio di proporzionalità, anche l'eventualeconservazione temporanea dei dati deve essere commisurata al tempo necessario-e predeterminato- a raggiungere la finalità perseguita.

Piùprecisamente, il Garante ha previsto che la conservazione deve essere limitataal massimo alle ventiquattro ore successive alla rilevazione e che solo inalcuni casi può ritenersi ammesso un tempo più ampio di conservazione dei dati,che non superi comunque la settimana. In tutti i casi in cui si vogliaprocedere a un allungamento dei tempi di conservazione per un periodo superiorealla settimana, una richiesta in tal senso deve essere sottoposta ad unaverifica preliminare del Garante, e comunque essere ipotizzato dal titolarecome eccezionale nel rispetto del principio di proporzionalità. La congruità diun termine di tempo più ampio di conservazione va adeguatamente motivata conriferimento ad una specifica esigenza di sicurezza perseguita, in relazione aconcrete situazioni di rischio riguardanti eventi realmente incombenti e per ilperiodo di tempo in cui venga confermata tale eccezionale necessità. Talecongruità può altresì dipendere dalla necessità di aderire ad una specificarichiesta di custodire o consegnare una copia specificamente richiestadall'autorità giudiziaria o dalla polizia giudiziaria in relazione adun'attività investigativa in corso (punti 3.2.1. e 3.4. del citatoprovvedimento generale dell'8 aprile 2010).

LaSogei ha chiesto al Garante di valutare la possibilità di allungare il periododi conservazione delle immagini registrate attraverso sistemi divideosorveglianza delle quali la stessa Sogei è titolare, fino ad un periodomassimo di trenta giorni.

Asostegno di tale istanza, è stata richiamata una nota del Ministero dell'Economiae delle Finanze-Organo centrale di Sicurezza, nella quale, nel rappresentareche "il sistema Informativo della Fiscalità, gestito da Sogei, (è) fra ipiù complessi e strategici nell'ambito della Pubblica Amministrazione, sia perrilevanza dei dati trattati sia per la quantità delle stesse informazionigestite e delle interazioni realizzate con i soggetti sia coinvolti siapubblici che privati", viene evidenziato che "attese le necessarieesigenze di sicurezza nazionale anche volte alla prevenzione di minacceterroristiche e di tutela dei dati gestiti", "per Sogei sianecessaria una tenuta delle registrazioni fino a giorni 30 (trenta), attesa laparticolare attività di interesse strategico svolta da Sogei, che deveintendersi essenziale in quanto esposta ad elevati rischi di intrusione epossibili azioni criminose".

LaSogei ha dichiarato che l'attività di videosorveglianza interessata dallaverifica preliminare è volta esclusivamente a perseguire finalità di sicurezzae di protezione di banche dati, beni aziendali e persone e non è in alcun modofinalizzata ad un controllo dell'attività dei lavoratori.

Inogni caso, si fa presente che, qualora tale attività di videosorveglianzaeffettuata dalla Sogei possa realizzare, pur non essendovi preordinata, uncontrollo a distanza dell'attività lavorativa, resta ferma l'esigenza che vengarispettato il provvedimento generale del Garante dell'8 aprile 2010, conparticolare riferimento alle garanzie previste al riguardo per i lavoratori(punto 4.1.; art. 114 del Codice; art. 4, legge 20 maggio 1970, n. 300).

Tuttociò premesso, allo stato degli elementi forniti, anche sulla base dellevalutazioni espresse dal Ministero dell'Economia e delle Finanze-Organocentrale di Sicurezza, emerge una specifica esigenza di sicurezza, in relazionead una concreta situazione di rischio riguardante eventi realmente incombenti;ciò, tenuto anche conto della particolare delicatezza nonché dell'enorme volumedei dati custoditi presso l'Anagrafe tributaria. Pertanto, con riferimento allarichiesta presentata dalla Sogei, un allungamento dei tempi di conservazionedelle immagini per un periodo di trenta giorni può ritenersi congruo, in quantorispettoso del menzionato principio di proporzionalità, che prevede laconservazione dei dati personali oggetto di trattamento, in una forma checonsenta l'identificazione dell'interessato per un arco di tempo non superiorea quello necessario agli scopi per i quali essi sono stati raccolti osuccessivamente trattati (art. 11, comma 1, lett. e) del Codice; punto 3.4. delcitato provvedimento).

TUTTO CIO' PREMESSO IL GARANTE

aisensi dell'art. 17 del Codice, accoglie la richiesta di verifica preliminarepresentata dalla Società Generale d'Informatica S.p.A. (Sogei), considerata laspecifica esigenza di sicurezza, in relazione ad una concreta situazione dirischio, valutata anche dal Ministero dell'Economia e delle Finanze-Organocentrale di Sicurezza, e tenuto conto della particolare delicatezza nonchédell'enorme volume dei dati detenuti presso l'Anagrafe tributaria, e ammette,pertanto, la conservazione per trenta giorni delle immagini raccolte attraversoil sistema di videosorveglianza delle quali la Sogei è titolare deltrattamento, nel rispetto del provvedimento generale del Garante dell'8 aprile2010, con particolare riferimento alle garanzie previste in materia dicontrollo a distanza dell'attività lavorativa.

Roma, 28novembre 2013

Il presidente
Soro

Il relatore
Soro

Il segretario generale
Busia