Prescrizioni del Garante n. 339 del 06/06/2024

Ammonimento per videosorveglianza privata con conservazione eccessiva delle immagini

Il Garante esamina una segnalazione relativa a un impianto privato di videosorveglianza installato presso un'abitazione, composto da quattro telecamere collocate sul perimetro esterno e orientate anche verso la strada e il vicolo prospicienti l'immobile. Il procedimento trae origine da una segnalazione del vicino e dall'istruttoria svolta dalla Guardia di finanza, che ha confermato il funzionamento del sistema e i tempi di conservazione delle immagini.

Origine del procedimento e attività istruttoria

La segnalazione, presentata ai sensi dell'art. 144 del Codice, contestava che l'impianto riprendesse aree pubbliche e zone di passaggio non pertinenti, nonché che i cartelli informativi fossero inidonei perché privi dell'indicazione del titolare del trattamento. Nel corso del procedimento sono state acquisite la diffida inviata ai segnalati, ulteriori denunce indirizzate a autorità locali e una dichiarazione dell'installatore, successivamente utilizzabile in via ufficiale. Il Garante ha quindi disposto accertamenti ispettivi per verificare effettive caratteristiche e modalità del trattamento.

Esiti dell'accertamento ispettivo

Dall'ispezione del 30 gennaio 2024 è emersa la presenza, presso l'abitazione della madre del segnalato, di un impianto di videosorveglianza con 4 telecamere regolarmente funzionanti, installate sul perimetro esterno dell'immobile. Le telecamere inquadravano anche l'area pubblica, riprendendo la strada e il vicolo adiacenti. È stato inoltre accertato che il sistema conservava le immagini per oltre tre mesi: alla data dell'accesso erano ancora consultabili immagini risalenti al 21 ottobre 2023. I segnalati hanno dichiarato di non essere consapevoli di tale impostazione, attribuita al tecnico installatore.

Quadro normativo di riferimento

Il provvedimento richiama il GDPR, con particolare riferimento ai principi di liceità, correttezza e trasparenza (art. 5, par. 1, lett. a), minimizzazione dei dati (art. 5, par. 1, lett. c), limitazione della conservazione (art. 5, par. 1, lett. e), nonché al principio di responsabilizzazione (artt. 5, par. 2, e 24). Sono inoltre richiamati il provvedimento generale del Garante in materia di videosorveglianza dell'8 aprile 2010, le Linee guida EDPB n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video e la disciplina sull'attività personale o domestica (art. 2, par. 2, GDPR e considerando 18).

Valutazione sulla liceità delle riprese

L'Autorità ribadisce che l'uso di telecamere da parte di persone fisiche, nell'ambito dell'attività domestica, resta fuori dal GDPR solo se le riprese sono limitate alle aree di stretta pertinenza e non si estendono a spazi pubblici o di terzi. Nel caso concreto, tuttavia, il Garante valorizza la documentazione relativa a episodi di vandalismo, danneggiamenti, diffamazioni e minacce, ritenendo che sussistesse un interesse legittimo a tutela del patrimonio e dell'incolumità della persona residente nell'abitazione. In tale contesto, la ripresa delle aree pubbliche immediatamente prossime è stata ritenuta proporzionata.

Violazione accertata: conservazione eccessiva delle immagini

La violazione accertata riguarda esclusivamente il tempo di conservazione delle immagini, giudicato non proporzionato rispetto alle finalità perseguite. Il Garante conclude che il trattamento è risultato illecito limitatamente alla violazione dell'art. 5, par. 1, lett. c) ed e), GDPR, perché le immagini sono state conservate per un periodo superiore a quello normalmente compatibile con la finalità di tutela perseguita, in assenza di specifiche e comprovate esigenze ulteriori. L'Autorità richiama il principio secondo cui, salvo casi particolari, i dati video dovrebbero essere cancellati dopo pochi giorni.

Adeguamenti spontanei e decisione finale

Successivamente agli accertamenti, il titolare ha ridotto i tempi di conservazione a sette giorni e ha integrato i cartelli informativi con l'indicazione della titolarità del trattamento. Tenuto conto della minore gravità della violazione, del contesto fattuale e della spontanea conformazione alle prescrizioni del GDPR, il Garante non applica una sanzione pecuniaria ma adotta un ammonimento ai sensi dell'art. 58, par. 2, lett. b), GDPR e dell'art. 143 del Codice. Il provvedimento dispone inoltre la pubblicazione sul sito istituzionale dell'Autorità.