Alessandro Del Ninno - Gli aspetti operativi della videosorveglianza

Gli aspetti operativi della Videosorveglianza.
Convegno Optime – Milano, 23 Giugno 2017

1. Il ricorso a terze parti.
Outsourcing e rapporti
contrattuali

3
IL RICORSO A TERZE PARTI. OUTSOURCING E RAPPORTI CONTRATTUALI
Mediante contratti di appalto di servizio o di gestione in outsourcing dei sistemi di
videosorveglianza possono essere affidati a terzi soggetti o aziende varie attività (gestione
operativa, manutenzione, supporto tecnico, etc).
Dal punto di vista degli adempimenti privacy e della qualificazione di tali soggetti terzi, il
Paragrafo 3.3.2 del Provvedimento Generale sulla Videosorveglianza dell’8 aprile 2010
dispone che:
Vanno osservate le regole ordinarie anche per ciò che attiene all'eventuale designazione di
responsabili del trattamento (art. 29 del Codice).
In linea generale, dunque, proprio ai sensi ell’art. 29 del Codice della privacy la nomina
dell’outsourcer esterno come Responsabile del trattamento è una facoltà e non un obbligo.
Tuttavia, è più che opportuno integrare i contratti prevedendo apposite nomine scritte
dei fornitori quali responsabili del trattamento, e ciò anche in rapporto a quanto previsto
(dal 25 Maggio 2018) dal Regolamento Generale UE sulla protezione dei dati personali, che
introduce l’obbligo di regolamentare per contratto o mediante altro atto giuridico il ruolo del
responsabile del trattamento esterno.
1. Il ricorso a terze parti. Outsourcing e rapporti contrattuali.

4
Cosa prevedere nei contratti con outsourcers coinvolti nella gestione del sistema di
videosorveglianza aziendale?
I dati raccolti mediante sistemi di videosorveglianza devono essere protetti con idonee e
preventive misure di sicurezza, riducendo al minimo i rischi di distruzione, di perdita, anche
accidentale, di accesso non autorizzato, di trattamento non consentito o non conforme alle
finalità della raccolta, anche in relazione alla trasmissione delle immagini (artt. 31 e ss. del
Codice).
Devono quindi essere previste specifiche clausole contrattuali (o specifiche istruzioni
scritte nell’ambito degli atti di nomina a Responsabile esterno del trattamento, come allegato
contrattuale) che consentano all’azienda titolare del trattamento di verificare
preventivamente (es: attraverso l’analisi di documentazione di specifiche tecniche
dell’impianto e/o del servizio gestionale reso) che l’outsourcer adotterà specifiche misure
tecniche ed organizzative a protezione dei dati. Inoltre, il titolare dovrebbe essere messo in
condizione di verificare l'attività espletata da parte di chi accede alle immagini o
controlla i sistemi di ripresa (es: gli addetti dell’azienda outsourcer implicati dalla
esecuzione delle prestazioni contrattuali).

5
Possono esservi poi taluni casi di sistemi integrati di videosorveglianza in cui diversi
titolari del trattamento fruiscono del medesimo servizio di videosorveglianza remota
offerto a più soggetti da un medesimo fornitore (società di vigilanza, Internet service
providers, fornitori di servizi video specialistici, ecc.). Ad esempio vi può essere una:
a) gestione coordinata di funzioni e servizi tramite condivisione, integrale o parziale, delle
immagini riprese da parte di diversi e autonomi titolari del trattamento, i quali utilizzano le
medesime infrastrutture tecnologiche;
e allora, in tali ipotesi, occorrerà chiarire nel contratto o nell’atto di nomina del fornitore
esterno le modalità di resa del servizio nei confronti di ciascun singolo titolare del trattamento
(mentre i distinti e autonomi titolari dovranno regolare tra di loro la gestione e l’accesso alle
immagini condivise).

6
Oppure vi può essere:
b) un collegamento telematico di diversi titolari del trattamento ad un "centro" unico
gestito da un outsourcer esterno;
E allora in tale caso, il Provvedimento generale sulla Videosorveglianza prescrive come
obbligatoria la designazione dell’outsourcer quale responsabile esterno del
trattamento, nomina che dovrà essere conferita da parte di ogni singolo titolare e che
dovrà prevedere specifiche istruzioni per l’espletamento da parte di tale outsourcer di un
ruolo di coordinamento e gestione dell'attività di videosorveglianza senza consentire, al
tempo stesso, che il fornitore terzo possa procedere a forme di correlazione delle immagini
raccolte per conto di ciascun titolare.

7
Nel caso di impiego di sistemi di videosorveglianza integrati come nelle ipotesi sopra
riportate, i contratti (o le istruzioni dell’atto di nomina a Responsabile del trattamento)
dovranno prevedere che l’outsourcer applichi le specifiche misure di sicurezza rafforzate
previste dal provvedimento generale sulla Videosorveglianza, e cioè:
1) adozione di sistemi idonei alla registrazione degli accessi logici degli incaricati e delle
operazioni compiute sulle immagini registrate, compresi i relativi riferimenti temporali, con
conservazione per un periodo di tempo congruo all'esercizio dei doveri di verifica periodica
dell'operato dei responsabili da parte del titolare, comunque non inferiore a sei mesi;
2) separazione logica delle immagini registrate dai diversi titolari.

8
I contratti di outsourcing devono prevedere con particolare attenzione la regolamentazione
degli aspetti di sicurezza del trattamento svolto mediante sistemi di videosorveglianza gestiti
o manutenuti da fornitori esterni.
Tra le misure di sicurezza obbligatorie di cui il contratto deve garantire il rispetto, vi sono le
seguenti:
1. se è ammessa la registrazione e la conservazione delle immagini, deve essere verificato
che l’outsourcer predisponga misure tecniche od organizzative per la cancellazione, anche in
forma automatica, delle registrazioni, allo scadere del termine previsto (24 ore);
2. nel caso di interventi derivanti da esigenze di manutenzione, occorre che i soggetti
preposti alle predette operazioni (es: tecnici dell’outsourcer) siano abilitati ad accedere alle
immagini solo se ciò si renda indispensabile al fine di effettuare eventuali verifiche tecniche
ed in presenza dei soggetti dotati di credenziali di autenticazione abilitanti alla visione delle
immagini;

9
3. qualora si utilizzino apparati di ripresa digitali connessi a reti informatiche, gli apparati
medesimi devono essere protetti contro i rischi di accesso abusivo di cui all'art. 615-ter del
codice penale;
4. la trasmissione tramite una rete pubblica di comunicazioni di immagini riprese da
apparati di videosorveglianza deve essere effettuata previa applicazione di tecniche
crittografiche che ne garantiscano la riservatezza; le stesse cautele sono richieste per la
trasmissione di immagini da punti di ripresa dotati di connessioni wireless (tecnologie wi-fi,
wi-max, Gprs).

10
Infine, dal momento che il mancato rispetto delle misure di sicurezza comporta l'applicazione
al Titolare del trattamento della sanzione amministrativa da trentamila euro a
centottantamila euro sarà opportuno prevedere nei contratti un meccanismo di regresso nei
confronti dell’outsourcer/responsabile del trattamento che in violazione del contratto o delle
istruzioni ricevute abbia determinato la violazione/non conformità che ha portato
all’applicazione della sanzione in capo al Titolare del trattamento.

11
IL RESPONSABILE DEL TRATTAMENTO NEL NUOVO REGOLAMENTO UE
Caratteristiche dell’atto di designazione del Responsabile del trattamento.
Il titolare del trattamento è libero quanto alla scelta dello strumento (“contratto” o “altro
atto giuridico”), mentre i contenuti minimi e la forma (scritta, anche in formato elettronico)
sono obbligatori e sono fissati dall’articolo 28 del Regolamento.
Può essere lo stesso contratto che regola il rapporto sottostante con il titolare, integrato da
clausole ad hoc che ri producono i contenuti obbligatori dell’art. 28 oppure un altro atto
giuridico (es: un allegato che contiene la nomina specifica e le istruzioni scritte previste).
In ogni caso, la caratteristica fondamentale del “contratto” o di “altro atto giuridico” è la
vincolatività e l’impossibilità per il responsabile di sciogliere unilateralmente il vincolo. Altra
conseguenza pratica è la impossibilità per il responsabile di rifiutare la designazione: a
maggiore ragione se trattasi di un responsabile interno (tenuto alla accettazione della nomina
anche nella prospettiva lavoristica, assumendo la designazione scritta anche il valore di
“direttiva datoriale” ai sensi dell’art. 2104 c.c.).
Il Responsabile del trattamento dei dati personali.

12
Contenuti obbligatori dell’atto di designazione del Responsabile del trattamento.
Il Regolamento innova prevedendo contenuti estremamente dettagliati (ed obbligatori)
che il “contratto” o “altro atto giuridico” impiegati dal titolare per la designazione devono
contenere. E’ possibile in alternativa – altra novità – che la Commissione UE o l’Autorità
privacy nazionale predispongano della clausole contrattuali tipo (suo modello delle
standard contractual clauses utilizzate – ad esempio – per i trasferimenti internazionali).
Il contratto o altro atto giuridico deve dunque prevedere, in particolare, che il responsabile
del trattamento:
a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento,
anche in caso di trasferimento di dati personali verso un paese terzo o un'organizzazione
internazionale,
b) garantisca che le persone autorizzate al trattamento dei dati personali si siano
impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
c) adotti tutte le misure di sicurezza richieste e previste;
d) rispetti le condizioni per ricorrere a un altro responsabile del trattamento;

13
e) tenendo conto della natura del trattamento, assista il titolare del trattamento con misure
tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare
l'obbligo del titolare del trattamento di dare seguito alle richieste per l'esercizio dei diritti
dell'interessato;
f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di notificazione
della data breach e di attuazione della valutazione di impatto preventivo, tenendo conto della
natura del trattamento e delle informazioni a disposizione del responsabile del trattamento;
g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo
che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti,
salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati;
h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per
dimostrare il rispetto degli obblighi e delle istruzioni ricevute e consenta e contribuisca alle
attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro
soggetto da questi incaricato (e in questo caso il responsabile del trattamento informa
immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione violi il
Regolamento o altre disposizioni relative alla protezione dei dati).

14
L’APPARATO SANZIONATORIO APPLICABILE AL TITOLARE O AL RESPONSABILE
DEL TRATTAMENTO
Qual è la ripartizione delle responsabilità tra titolare e responsabile del trattamento in caso
di richieste civilistiche di risarcimento o sanzioni applicate?
Chiunque subisca un danno materiale o immateriale causato da una violazione del Regolamento ha
il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del
trattamento.
Il titolare del trattamento risponde per il danno cagionato da un suo trattamento.
Il responsabile del trattamento risponde per il danno causato dal trattamento solo se:
a) non ha adempiuto gli obblighi Regolamento specificatamente diretti ai responsabili del
trattamento;
b) ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.
Tanto il titolare che il responsabile hanno comunque la possibilità esimente della responsabilità in
caso possano dimostrare che l'evento dannoso non è in alcun modo loro imputabile.
L’apparato sanzionatorio applicabile al titolare e al responsabile del trattamento.

15
L’APPARATO SANZIONATORIO APPLICABILE AL TITOLARE O AL RESPONSABILE
DEL TRATTAMENTO
Responsabilità solidale e regresso.
Qualora più titolari del trattamento o responsabili del trattamento oppure entrambi il titolare
del trattamento e il responsabile del trattamento siano coinvolti nello stesso trattamento e
siano responsabili dell'eventuale danno causato dal trattamento, ogni titolare del
trattamento o responsabile del trattamento è responsabile in solido per l'intero
ammontare del danno, al fine di garantire il risarcimento effettivo dell'interessato.
Qualora il titolare del trattamento o il responsabile del trattamento abbia pagato l'intero
risarcimento del danno, tale titolare del trattamento o responsabile del trattamento ha il
diritto di reclamare dagli altri titolari del trattamento o responsabili del trattamento coinvolti
nello stesso trattamento la parte del risarcimento corrispondente alla loro parte di
responsabilità per il danno.
L’apparato sanzionatorio applicabile al titolare e al responsabile del trattamento.

2. Gli addetti alle postazioni di
visualizzazione.

17
GLI ADDETTI ALLE POSTAZIONI DI VIDEOSORVEGLIANZA
l titolare o il responsabile devono designare per iscritto tutte le persone fisiche, incaricate del
trattamento, autorizzate sia ad accedere ai locali dove sono situate le postazioni di
controllo, sia ad utilizzare gli impianti e, nei casi in cui sia indispensabile per gli scopi
perseguiti, a visionare le immagini.
Nel caso gli addetti siano dipendenti dell’outsourcer (o comunque soggetti terzi appartenenti
ad una organizzazione esterna come ad esempio la società di vigilanza), ovviamente sarà
opportuno che il Titolare del trattamento disciplini contrattualmente tali aspetti, o
verificando preliminarmente che la società esterna abbia fornito idonee istruzioni scritte ai
propri incaricati, oppure vincolando la società esterna al conferimento di istruzioni stabilite dal
Titolare, che ne potrà verificare la conformità alla normativa.
Da un punto di vista organizzativo, poi, gli incaricati da nominarsi devono essere in
numero limitato, specie quando il titolare si avvale di collaboratori esterni. Occorre
altresì individuare diversi livelli di accesso in corrispondenza delle specifiche mansioni
attribuite ad ogni singolo operatore, distinguendo coloro che sono unicamente abilitati a
visionare le immagini dai soggetti che possono effettuare, a determinate condizioni, ulteriori
operazioni (es. registrare, copiare, cancellare, spostare l'angolo visuale, modificare lo zoom,
ecc.).
2. Gli addetti alle postazioni di videosorveglianza.

18
GLI ADDETTI ALLE POSTAZIONI DI VIDEOSORVEGLIANZA
Proprio in presenza di differenti competenze specificatamente attribuite ai singoli addetti alle
postazioni di videosorveglianza, devono essere configurati diversi livelli di visibilità e
trattamento delle immagini.
Laddove tecnicamente possibile, in base alle caratteristiche dei sistemi utilizzati, gli incaricati
del trattamento vanno dotati di credenziali di autenticazione che permettano di effettuare, a
seconda dei compiti attribuiti ad ognuno, unicamente le operazioni di propria competenza,
in base al profilo di autorizzazione assegnato.
Ove poi i sistemi siano configurati per la registrazione e successiva conservazione delle
immagini rilevate, deve essere altresì attentamente limitata la possibilità, per i soggetti
abilitati, di visionare non solo in sincronia con la ripresa, ma anche in tempo differito, le
immagini registrate e di effettuare sulle medesime operazioni di cancellazione o
duplicazione.
Dunque dal punto di vista sia tecnico che organizzativo, alle istruzioni agli incaricati
dovranno corrispondere impostazioni tecniche del sistema di videosorveglianza tali
anche da prevenire comportamenti non consentiti.
2. Gli addetti alle postazioni di videosorveglianza.

3. Problematiche della control
room individuale e multiutente.

20
PROBLEMATICHE DELLA CONTROL ROOM INDIVIDUALE E MULTIUTENTE.
Spesso la grande quantità di immagini, video e dati deve essere distribuita in tutta
l’organizzazione in modo rapido e semplice. Le sale controllo costituiscono di solito i
principali centri di intelligence per tutte le informazioni.
Tuttavia gli attuali bisogni delle sale controllo non si limitano al personale presente in sala:
sono difatti il centro nevralgico di comunicazione e collaborazione con tutti coloro che ne
sono coinvolti. All’interno dello stesso edificio, ma anche per gli altri stakeholder presenti in
altri edifici e nel settore.
Gli stakeholder, ovunque siano dislocati, si aspettano una comunicazione completa e veloce
sui possibili scenari di stato dei problemi in tempo reale e una ragionevole indicazione di
quando saranno risolti i problemi.
3. Problematiche della control room individuale e multiutente.

21
PROBLEMATICHE DELLA CONTROL ROOM INDIVIDUALE E MULTIUTENTE.
Le sale di controllo spesso consentono attività di video-analisi in grado di supportare funzioni
multiple e contemporanee rese disponibili da ogni telecamera, inviando,
contemporaneamente, lo streaming video ai server di registrazione posti all'interno della sala
controllo. Telecamere ad inseguimento (speed dome) sono in grado di eseguire, in situazione
di normalità, una scansione panoramica della zona di competenza e, grazie alla modalità di
video-analisi, in caso di intrusione, si orientano verso la zona interessata per seguire e
registrare l'evento.
Tra le funzionalità tipiche vi sono le seguenti: object classification, che permettere di
distinguere, all'interno di un'immagine, persone, veicoli, animali e altri oggetti che non
appartengono propriamente alla struttura della scena; single-multi tripwire event detection,
che consente rilevare il superamento, da parte di un oggetto in movimento, di una linea
virtuale precedentemente definita all'interno del campo visivo della telecamera; enter-exit
event detection, che sarebbe in grado di rilevare il momento in cui un particolare tipo di
oggetto, proveniente da una qualunque direzione all'interno del campo visivo della
telecamera, entri o esca da una zona di interesse precedentemente individuata.
Alle predette funzioni di video-analisi corrispondono di solito una serie di azioni/risposte
automatizzate.
3. Problematiche della control room individuale e multiutente.

4. Il collegamento con le forze
dell’ordine.

23
4. Il collegamento con le forze dell’ordine.
.
IL COLLEGAMENTO CON LE FORZE DELL’ORDINE
I trattamenti di dati personali effettuati da soggetti privati tramite sistemi di videosorveglianza,
direttamente collegati con le forze di polizia, devono essere reso noto agli interessati. A tal
fine, i titolari del trattamento possono utilizzare il modello semplificato di informativa "minima"
allegato al Provvedimento Generale sulla videosorveglianza.
Il collegamento con le forze di polizia deve essere altresì reso noto nell'ambito del testo
completo di informativa reso eventualmente disponibile agli interessati.

5. La connettività di rete e la
visualizzazione remota da
smartphone e tablet.

25
5. La connettività di rete e la visualizzazione remota da smartphone e tablet.
LA CONNETTIVITÀ DI RETE E LA VISUALIZZAZIONE REMOTA DA SMARTPHONE E
TABLET
Per telecamera IP si intende un modello di videocamera che si può collegare ad Internet: a
differenza delle videocamere a circuito chiuso, che possono trasferire il video solamente
all’interno dello stesso circuito locale, una videocamera IP può inviare e ricevere dati da un
computer o da computer remoti grazie alla connessione ad internet.
In tal caso, stante la maggiore rischiosità rispetto ad un circuito chiuso (se non configurate a
dovere, infatti, potrebbero essere suscettibili ad hack da parte di terzi) le misure di sicurezza
dovrebbero essere quelle più stringenti indicate dal provvedimento generale sulla
Videosorveglianza.
Inoltre le immagini riprese dalla videocamera IP vengono trasmesse via internet a un server
video, di proprietà del produttore della videocamera o di una società terza: il che implica il
problema di disciplinare il rapporto con tale società.

Per approfondimenti:
Avv. Alessandro del Ninno – Email: adelninno@tonucci.com

Alessandro Del Ninno - Gli aspetti operativi della videosorveglianza

Recommended

Recommended

More Related Content

Similar to Alessandro Del Ninno - Gli aspetti operativi della videosorveglianza

Similar to Alessandro Del Ninno - Gli aspetti operativi della videosorveglianza (20)

More from Andrea Sorba

More from Andrea Sorba (20)

Alessandro Del Ninno - Gli aspetti operativi della videosorveglianza