Nuovi sistemi di videosorveglianza: quando la tecnologia rischia di essere… una “trappola”

Il rapido sviluppo della tecnologia e il progressivo ridursi del suo costo hanno reso l’high-tech accessibile a tutti. 

Esempio emblematico è l’utilizzo delle cosiddette “fototrappole”, anche “scout camera”, vale a dire delle piccole telecamere attivate automaticamente da sensori a infrarossi che rilevano calore e movimento. Sul mercato sono disponibili fototrappole di dimensioni ridotte e con una struttura mimetica, ideale per l’uso esterno e che possono essere strategicamente collocate tra la vegetazione. Esse trovano applicazione in una vasta gamma di ambienti, siano essi luoghi privati, pubblici o aperti al pubblico, e possono essere impiegate per vari utilizzi, come il monitoraggio della fauna selvatica, il monitoraggio del territorio, la sicurezza delle abitazioni e il controllo dell’abbandono dei rifiuti. È ormai noto che tali apparecchiature siano impiegate anche nel territorio del Trentino-Alto Adige per monitorare aree boschive, studiare le interazioni della fauna selvatica con l’ambiente circostante oppure sorvegliare terreni privati. 

Uno dei vantaggi delle fototrappole risiede nella possibilità di catturare immagini e video senza l’intervento diretto dell’essere umano. Quando rileva un passaggio, il dispositivo scatta foto o registra brevi video, salvando i file su una scheda SD o consentendone la visualizzazione e il download direttamente sul proprio smartphone. 

Tuttavia, l’autonomia e l’efficacia delle fototrappole comportano un rischio intrinseco: attivandosi automaticamente al passaggio di un oggetto o di un soggetto, possono involontariamente acquisire foto e video di terzi soggetti, ledendone il diritto alla privacy. 

A fronte della loro proliferazione sul territorio, è bene domandarsi quante di queste siano posizione ed installate nella maniera corretta e quali possano essere le conseguenze di una installazione errata o non conforme alla normativa.

LA NORMATIVA DI RIFERIMENTO

Acquistare e possedere una o più fototrappole è consentito dalla legge, la quale non richiede una licenza o la denuncia alle Forze dell’Ordine, dunque, la questione non risiede tanto nell’oggetto quanto nell’uso che di questo si intende fare. 

Le fototrappole rientrano pacificamente nel novero dei sistemi di videosorveglianza e come tali sono soggette alla relativa disciplina normativa. 

Il riferimento normativo in materia è costituito dal Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, cosiddetto «GDPR». Si evidenzia come il “titolare del trattamento”, cioè il soggetto che intende installare dispositivi in grado di raccogliere immagini e video raffiguranti altre persone, identificabili come “interessati”, deve verificare la liceità del proprio comportamento ai sensi dell’art. 6 del GDPR. 

Il testo di legge individua in modo preciso la base giuridica del trattamento, vale a dire quei casi in cui è ammesso il trattamento dei dati personali altrui. 

In generale, l’installazione di sistemi di videosorveglianza è consentita nel momento in cui:

1. il soggetto ripreso dal dispositivo di videosorveglianza ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità. Sul punto si precisa che il consenso deve essere libero, specifico, informato e inequivocabile, oltre a dover essere manifestato attraverso dichiarazioni o azioni positive inequivocabili;

2. il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso;

3. il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;

4. il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica (base giuridica questa che può essere invocata dal titolare del trattamento solo laddove nessuna delle altre possa trovare applicazione nel caso concreto); 

5. il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;

6. il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali, in particolare nel caso in cui l’interessato è un minore. 

Quest’ultima base giuridica - il legittimo interesse - è quella più frequentemente applicabile in materia di videosorveglianza in luoghi pubblici o aperti al pubblico, dove il consenso individuale preventivo è strutturalmente impossibile da raccogliere da chiunque transiti. Il bilanciamento tra l’interesse del titolare e i diritti dell’interessato deve essere eseguito dal titolare stesso in base al principio di responsabilizzazione, fulcro dell’intero apparato normativo del GDPR.

Con specifico riferimento alla videosorveglianza, il riferimento normativo di dettaglio è rappresentato dalle «Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video», adottate dal Comitato europeo per la protezione dei dati (EDPB) il 29 gennaio 2020, le cui disposizioni e indicazioni operative risultano applicabili anche all'utilizzo delle fototrappole.

OBBLIGHI SPECIFICI PER L’INSTALLAZIONE

Per procedere all’installazione di fototrappole vi sono delle ulteriori prescrizioni da rispettare. 

I dati, le foto e i video memorizzati in loco, mediante schede SD, o su un cloud devono essere raccolti per finalità determinate, esplicite e legittime, oltre che pertinenti e limitate a quanto necessario, in ossequio al principio di minimizzazione dei dati. Inoltre, il titolare del trattamento ha l’obbligo di adottare tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati che esulano dalle precise finalità del trattamento.

In aggiunta, gli interessati devono essere adeguatamente informati che stanno per accedere ad una zona videosorvegliata. La cosiddetta “informativa”, rilasciata dal titolare del trattamento all’interessato prima che abbia luogo la raccolta dei dati, deve contenere tutte le informazioni elencate dall’art 13, paragrafi 1 e 2, del GDPR. Il GDPR ammette anche l’utilizzo di icone per presentare i contenuti dell’informativa in forma sintetica, ma solo in combinazione con l’informativa estesa.

Nasce così la distinzione tra informativa di “primo livello” - fornita mediante cartelli semplificati di avvertimento - e l’informativa di “secondo livello”, contenente tutti gli elementi di cui all’art. 13 del GDPR, accessibile tramite URL, QR Code o riferimenti in bacheca.

Un esempio di informativa di “primo livello” può essere rintracciato nel seguente cartello di videosorveglianza, scaricabile qui.

Nel caso in cui la fototrappola venga collocata in luoghi pubblici o aperti al pubblico, in capo a chi posiziona il dispositivo (titolare del trattamento) si pone l’obbligo di segnalare a soggetti terzi (interessati) la possibilità di essere ripresi. Inoltre, chiunque fosse intenzionato ad installare le fototrappole in natura deve anzitutto individuare il proprietario della zona di riferimento, sia esso un privato, una società o un Ente pubblico, ed ottenere da quest’ultimo l’espresso consenso all’installazione.

La segnaletica deve essere chiara e visibile, posta prima del raggio d’azione della fotocamera, e deve recare la dicitura “area videosorvegliata”, la finalità del posizionamento, il titolare del trattamento e un rimando all’informativa di “secondo livello”.

L’installazione di fototrappole nella proprietà privata è consentita, ma a determinate condizioni. In primis, il dispositivo deve riprendere esclusivamente il proprio spazio privato. Inoltre, è consentito unicamente l’uso personale delle immagini registrate. Queste non possono, dunque, essere diffuse in rete o condivise con amici sui social, salvo la consegna alle autorità competenti nel caso in cui le immagini ritraggano un reato.

LE SANZIONI 

In merito alle sanzioni si precisa che l’art. 58 GDPR statuisce il potere per ogni Autorità di Controllo di infliggere sanzioni correttive e sanzioni amministrative pecuniarie che, ai sensi dell’art. 83 GDPR, devono in ogni caso essere effettive, proporzionate e dissuasive. 

Ma cosa rischia in sostanza chi, ad esempio, installa una fototrappola sul tronco di un albero al limitare del bosco al fine di catturare frammenti di vita della fauna selvatica omettendo di segnalare detto dispositivo con appositi cartelli informativi? La risposta è fornita dal Codice della Privacy (D.Lgs. 196/2003), agli artt. da 162 a 172, in combinato disposto con i sopracitati artt. 58 e 83 GDPR.

L’art. 58, nello specifico, prevede che l’Autorità di Controllo possa irrogare sanzioni correttive non pecuniarie quali, ad esempio, rivolgere avvertimenti o ammonimenti al titolare del trattamento, oppure imporre una limitazione provvisoria o definitiva al trattamento. 

Il successivo art. 83, invece, disciplinando sanzioni amministrative pecuniarie, distingue due gruppi di sanzioni, sulla base dell’importo edittale:

1. un primo gruppo è quello delle sanzioni considerate di minore gravità che prevedono importi fino a 10.000.000,00 di euro per i privati o, per le imprese, fino al 2% del fatturato Mondiale totale annuo dell’esercizio precedente, se superiore;

2. nel secondo gruppo rientrano sanzioni più gravi, in relazione alla maggiore gravità della violazione, il cui importo può ammontare fino a 20.000.000,00 di euro per i privati o, per le imprese, fino al 4% del fatturato Mondiale totale annuo dell’esercizio precedente, se superiore.

Sebbene il diritto alla privacy sempre più di frequente sia annoverato fra i diritti fondamentali, appare sproporzionato applicare il suddetto trattamento sanzionatorio anche al privato cittadino che posizioni una fototrappola in luoghi pubblici o aperti al pubblico omettendo di affiggere la relativa segnaletica. 

Per questo, all’indomani dell’adozione del GDPR, il Comitato europeo per la protezione dei dati personali ha elaborato le linee guida sul calcolo delle sanzioni amministrative pecuniarie. Secondo le Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR Versione 2.1 Adottate il 24 maggio 2023, a cui si rinvia per una trattazione approfondita, nel commisurare la sanzione, l’Autorità di Controllo, che per l’Italia è il Garante per la protezione dei dati personali (noto ai più come Garante della Privacy), deve considerare specifici aspetti quali la natura, la gravità e la durata della violazione, il numero degli interessati coinvolti e il danno arrecato a questi ultimi dalla suddetta violazione. 

Benché non vi sia, allo stato, evidenza di sanzioni irrogate per fototrappole non segnalate, è doveroso esaminare alcuni casi in cui è stata contestata la mancata segnalazione dei sistemi di videosorveglianza. La prima vicenda ha visto protagonista una società sita in provincia di Ferrara, rea di non aver segnalato con opportuni cartelli informativi l’impianto di videosorveglianza composto da 32 telecamere. Tale società ha ricevuto dal Garante della Privacy una sanzione pari ad euro 5.000,00. Il secondo caso ha riguardato, invece, il gestore di un esercizio commerciale in provincia di Torino che, parimenti, non avendo opportunamente segnalato l’impianto di videosorveglianza installato nel proprio negozio, ha ricevuto dal Garante della Privacy una sanzione pecuniaria pari ad euro 20.000,00. Determinante nel quantificare l’ammontare di tale sanzione è stata la condotta non cooperativa dell’esercente. 

Infine, non certo per importanza, è necessario considerare anche gli eventuali profili di responsabilità penale connessi all’installazione di sistemi di videosorveglianza. Il Codice della Privacy, artt. 167 e ss., e il Codice Penale, disciplinano i reati che possono essere commessi da chi effettua un trattamento dei dati personali senza le dovute accortezze.

Nello specifico, l’art. 167 del Codice della Privacy punisce il trattamento illecito di dati personali con la reclusione da 6 mesi a 1 anno e 6 mesi, ovvero da 1 a 3 anni - in presenza di circostanze aggravanti - quando dal fatto deriva nocumento all’interessato. Si tratta della fattispecie più direttamente applicabile al caso della fototrappola installata in violazione della normativa sulla privacy.

Si pensi, inoltre, alle interferenze illecite nella vita privata disciplinate dall’art. 615 bis c.p., che punisce con la reclusione da sei mesi a quattro anni chiunque, mediante l’uso di strumenti di ripresa visiva o sonora, si procuri indebitamente notizie o immagini attinenti alla vita privata svolgentesi nei luoghi indicati nell’articolo 614 c.p.. La stessa pena si applica a chi rivela o diffonde, mediante qualsiasi mezzo di informazione al pubblico, le notizie o le immagini così ottenute.

LE AZIONI A TUTELA DEL DIRITTO ALLA PRIVACY DELL’INTERESSATO

Esaminati i rischi derivanti dall’illegittimo posizionamento di fototrappole e sistemi di videosorveglianza, un accenno infine alle azioni esperibili dall’interessato, vale a dire il soggetto che è stato ripreso in modo illegittimo.

Chiunque abbia subito un danno a causa di un trattamento illecito dei propri dati personali ha diritto a ottenere un risarcimento. Tale istanza può essere esperita in sede civile, mediante la formalizzazione di una richiesta di risarcimento del danno, oppure può essere richiesta costituendosi parte civile nel procedimento penale a carico del titolare del trattamento pendente a seguito di denuncia-querela sporta dall’interessato.

L’entità del risarcimento varia a seconda dei casi specifici, si pensi a soggetti di cui sia lesa la reputazione o l’intimità o al caso in cui ad essere ripresi siano dei minori. In ogni caso, la Cassazione ha stabilito che il risarcimento del danno non patrimoniale derivante dalla violazione della privacy non si sottrae ad un accertamento da parte del giudice. Tale accertamento è da compiersi con riferimento alla concretezza della vicenda ed è destinato ad investire i profili di gravità della lesione inferta e di entità del danno da essa derivante.