DETERMINAZIONE DEL DIRETTORE GENERALE ORGANIZZAZIONE, SISTEMI INFORMATIVI E TELEMATICA 25 gennaio 2007, n. 604
Disciplinare tecnico in materia di videosorveglianza nella Giunta e nell'Assemblea legislativa della Regione Emilia-Romagna
IL DIRETTORE GENERALE
Visto il DLgs 30 giugno 2003, n. 196 "Codice in materia di protezione
di dati personali";
viste le deliberazioni della Giunta regionale:
- n. 960 del 27/6/2005 con cui e' stata adottata la Direttiva in
materia di trattamento di dati personali;
- n. 1264 dell'1/8/2005 con cui sono state adottate le linee guida
della Giunta della Regione Emilia-Romagna in materia di protezione dei
dati personali;
vista la deliberazione dell'Ufficio di Presidenza n. 197 del
18/10/2006 "Direttiva e linee guida dell'Assemblea legislativa della
Regione Emilia-Romagna in materia di protezione dei dati personali,
con particolare riferimento alla ripartizione di competenze tra i
soggetti che effettuano il trattamento. Modifica ed integrazione della
deliberazione 45/03 e 1/05;
considerata l'opportunita' di adottare congiuntamente tra Giunta e
Assemblea legislativa della Regione Emilia-Romagna, le regole tecniche
ed organizzative da applicare nei casi di trattamento di dati
personali effettuato mediante sistemi di videosorveglianza;
sentito il parere del Comitato di Direzione nella seduta del 18
dicembre 2006;
acquisito il parere favorevole espresso dal Direttore generale
dell'Assemblea legislativa, dott. Pietro Curzio, con nota prot.
2006/1054542 del 27/11/2006;
acquisito il consenso delle rappresentanze sindacali, ai sensi e per
gli effetti dell'art. 4, Legge 20 maggio 1970, n. 300, come risulta
dall'accordo sottoscritto il 16 gennaio 2007;
dato atto del parere di regolarita' amministrativa espresso dal
Responsabile della Sicurezza della Giunta, ai sensi della
deliberazione della Giunta regionale n. 960 del 27/6/2005;
determina:
1) di approvare l'Allegato A: "Disciplinare tecnico in materia di
videosorveglianza nella Giunta e nell'Assemblea legislativa della
Regione Emilia-Romagna", l'Allegato B "Installazioni delle singole
apparecchiature per la videosorveglianza nella Giunta della Regione
Emilia-Romagna e relative motivazioni" e l'Allegato C "Installazioni
delle singole apparecchiature per la videosorveglianza nell'Assemblea
legislativa e relative motivazioni";
2) di applicare l'Allegato A "Disciplinare tecnico in materia di
videosorveglianza nella Giunta e nell'Assemblea legislativa della
Regione Emilia-Romagna"; in via sperimentale per la durata di un anno
a partire dall'1 febbraio 2007; trascorso tale termine il disciplinare
sara' confermato o modificato sulla base degli esiti della
sperimentazione e con la stessa procedura di relazioni sindacali;
3) di procedere alla diffusione del contenuto dell'Allegato A a
partire dalla data di adozione del presente atto;
4) di pubblicare l'Allegato A del presente atto nel Bollettino
Ufficiale della Regione Emilia-Romagna.
IL DIRETTORE GENERALE
Gaudenzio Garavini
ALLEGATO A
Disciplinare tecnico in materia di videosorveglianza nella Giunta e
nell'Assemblea legislativa della Regione Emilia-Romagna
Indice
Allegato A
1. Premessa
2. Applicabilita'
3. Principi generali
3.1 Principio di liceita'
3.2 Principio di necessita'
3.3 Principio di proporzionalita'
3.4 Principio di finalita'
4. Adempimenti
4.1 Responsabili e incaricati del trattamento
4.2 Trattamenti consentiti
4.3 Autorizzazione ai trattamenti
4.4 Registrazione e consultazione dei dati registrati
4.5 Conservazione dei dati registrati
4.6 Effettuazione di copie e comunicazione
4.7 Nuove installazioni/riposizionamenti/rimozioni delle
apparecchiature di videosorveglianza
4.8 Informativa
Appendice A: glossario
Appendice B: informativa semplificata
Allegato B - Installazioni delle singole apparecchiature per la
videosorveglianza nella Giunta della Regione Emilia-Romagna e relative
motivazioni
Allegato C - Installazioni delle singole apparecchiature per la
videosorveglianza nell'Assemblea legislativa della Regione
Emilia-Romagna e relative motivazioni
1. Premessa
Il disciplinare tecnico descrive le regole tecniche ed organizzative
da applicare nei casi di trattamento di dati personali effettuato
mediante sistemi di videosorveglianza nella Giunta e nell'Assemblea
legislativa della Regione Emilia-Romagna (di seguito denominate "Ente"
e "Assemblea").
Si definisce sistema di videosorveglianza l'insieme di apparecchiature
audiovisive che rilevano in modo continuativo immagini, eventualmente
associate a suoni, relative a persone identificabili, la cui
utilizzazione sia necessaria per adempiere a funzioni istituzionali di
sorveglianza dell'Ente e dell'Assemblea, ovvero per protezione di
beni, persone, dati personali e patrimonio informativo di proprieta',
responsabilita' o titolarita' dell'Ente e dell'Assemblea.
2. Applicabilita'
Il disciplinare tecnico deve essere applicato da tutti coloro che sono
individuati dall'Ente e dall'Assemblea, in qualita' di titolare, quali
responsabili e/o incaricati del trattamento di dati personali
effettuato mediante sistemi di videosorveglianza.
3. Principi generali
Quando si effettuano trattamenti di dati personali mediante sistemi di
videosorveglianza, deve essere garantito il rispetto dei principi di:
- liceita';
- necessita';
- proporzionalita';
- finalita'.
3.1 Principio di liceita'
L'utilizzo di sistemi di videosorveglianza e' ammesso esclusivamente
se effettuato in conformita':
- alle prescrizioni della normativa vigente in materia di protezione
dei dati personali (DLgs 196/03, c.d. "Codice della privacy");
- alle disposizioni di legge da osservare in caso di installazione di
apparecchi audiovisivi;
- alle norme riguardanti la tutela dei lavoratori (Legge 300/70, c.d.
"Statuto dei lavoratori");
- alle prescrizioni in materia dell'Autorita' garante per la
protezione dei dati personali ("Provvedimento a carattere generale"
del 29 aprile 2004);
- alle linee guida della Giunta della Regione Emilia-Romagna in
materia di protezione dei dati personali (D.G.R. 1264/05);
- alle linee guida dell'Assemblea legislativa della Regione
Emilia-Romagna in materia di protezione dei dati personali
(deliberazione dell'Ufficio di Presidenza n. 197 del 18/10/2006);
- ai disciplinari tecnici trasversali adottati dall'Ente e
dall'Assemblea in materia di protezione dei dati personali.
L'attivita' di videosorveglianza e' ammessa esclusivamente per lo
svolgimento di funzioni istituzionali dell'Ente e dell'Assemblea (cfr.
art. 18, comma 2, DLgs 196/03; art. 3, D.G.R. 1264/05; D.U.P.197/06).
Le immagini raccolte tramite sistemi di videosorveglianza non devono
in alcun modo essere utilizzate per controlli, anche se indiretti,
sull'attivita' lavorativa del personale dell'Ente e dell'Assemblea.
Conseguentemente le telecamere installate negli atri, nelle portinerie
e nei luoghi di accesso ai locali devono essere posizionate in modo da
limitare l'inquadratura all'accesso stesso, senza possibilita' di
riprendere in alcun modo la registrazione ai marcatempo degli ingressi
e delle uscite del personale regionale, ne' l'attivita' lavorativa
degli addetti alle portinerie.
E' inoltre inammissibile, in base alle vigenti norme dell'ordinamento
civile e penale, l'installazione di sistemi di videosorveglianza in
luoghi riservati esclusivamente ai lavoratori o non destinati
all'attivita' lavorativa (per esempio bagni, spogliatoi, luoghi
ricreativi, ecc.).
Il trattamento di dati personali tramite un sistema di
videosorveglianza e' lecito se sono rispettati, in particolare, i
principi di necessita', proporzionalita' e finalita' di cui ai
successivi punti 3.2, 3.3 e 3.4.
3.2 Principio di necessita'
Il trattamento di dati personali tramite un sistema di
videosorveglianza e' lecito solo se effettivamente necessario (cfr.
artt. 3 e 11, DLgs196/03), anche con riferimento al trattamento di
conservazione dei dati (vedi successivo punto 4.3).
I sistemi di videosorveglianza possono essere impiegati esclusivamente
quando siano state giudicate insufficienti o inattuabili differenti
misure alternative. In particolare, se i sistemi di videosorveglianza
sono utilizzati per finalita' di protezione dei beni, devono risultare
inefficaci misure quali controlli da parte di personale addetto,
sistemi di allarme, misure di protezione e controllo degli accessi.
I sistemi di videosorveglianza devono essere installati, configurati e
programmati in modo da escludere ogni uso superfluo o ridondante di
immagini e dati personali. Non e' consentito, pertanto, l'utilizzo di
videocamere brandeggiabili, di sistemi di zoom o di ingrandimento
delle immagini se non con mero adattamento bidimensionale
dell'immagine fissa.
3.3 Principio di proporzionalita'
Il trattamento di dati personali tramite un sistema di
videosorveglianza e' lecito solo se e' rispettato il principio di
proporzionalita' (cfr. art. 11, lett. d), DLgs196/03).
Le modalita' di effettuazione del trattamento di dati tramite sistemi
di videosorveglianza, cosi' come le caratteristiche tecniche dei
sistemi stessi, devono essere proporzionali agli scopi prefissati e
valutate in funzione di ogni singola situazione concreta.
3.4 Principio di finalita'
Il trattamento di dati personali tramite un sistema di
videosorveglianza e' lecito solo se soddisfa il principio di finalita'
(cfr. art. 11, lett. b), DLgs196/03), ossia i dati sono trattati per
scopi determinati, espliciti e legittimi. Gli scopi legittimi, per
l'Ente, sono quelli che rientrano nelle proprie funzioni
istituzionali.
Tali scopi sono:
a) tutela del patrimonio o delle persone;
b) protezione dei dati personali e dei sistemi informativi;
c) sorveglianza dei fenomeni ambientali, con particolare riferimento
al controllo del livello dei corsi d'acqua o dei fenomeni
idrogeologici.
Gli scopi legittimi per l'Assemblea corrispondono alle lettere a) e
b).
Per i suddetti motivi, non e' ammesso l'utilizzo di sistemi di
videosorveglianza per finalita' di prevenzione ed accertamento dei
reati, in quanto tale finalita' non rientra nelle funzioni
istituzionali dell'Ente e dell'Assemblea, ma in quelle dell'Autorita'
giudiziaria e di Polizia giudiziaria.
E' invece ammesso l'impiego di sistemi di videosorveglianza come
misura complementare al miglioramento della sicurezza all'interno o
all'esterno degli edifici dell'Ente e dell'Assemblea, o allo scopo di
agevolare l'eventuale esercizio, in sede di giudizio civile o penale,
del diritto di difesa dell'Ente e dell'Assemblea, o di terzi sulla
base di immagini utili in caso di fatti illeciti.
Non e' ammesso l'utilizzo di videocamere al solo fine di controllare
il rispetto di divieti vari (es. divieto di fumare, di calpestare
aiuole, di affiggere o fotografare) e comunque di controllo su ogni
altra azione o comportamento non rispondente alle finalita' di cui al
secondo capoverso. Dette finalita' devono essere rese note attraverso
apposita informativa.
4. Adempimenti
4.1 Responsabili e incaricati del trattamento
Il trattamento di dati personali mediante l'impiego di sistemi di
videosorveglianza e' consentito esclusivamente al personale
preventivamente individuato quale responsabile o incaricato del
trattamento, con le modalita' stabilite nella deliberazione di Giunta
regionale n. 960 del 30 giugno 2005 e nella deliberazione dell'Ufficio
di Presidenza n. 197 del 18/10/2006.
La designazione del personale incaricato deve avvenire per iscritto e
deve essere circoscritta ad un numero limitato di persone.
Nel caso in cui l'Ente o l'Assemblea designi un responsabile esterno
del trattamento, lo stesso deve provvedere, con le medesime modalita'
di cui sopra, all'individuazione dei soggetti incaricati all'interno
della propria struttura.
4.2 Trattamenti consentiti
Con riferimento ai principi generali di cui al precedente paragrafo 3,
le operazioni di trattamento di dati personali mediante l'impiego di
sistemi di videosorveglianza di cui l'Ente e l'Assemblea sono titolari
sono:
- consultazione in tempo reale;
- registrazione;
- consultazione dei dati registrati;
- conservazione dei dati registrati;
- effettuazione di copie;
- comunicazione;
- cancellazione.
In nessun caso l'Ente e l'Assemblea diffondono i dati rilevati
attraverso sistemi di videosorveglianza.
4.3 Autorizzazione ai trattamenti
I profili di accesso devono essere configurati in funzione delle
autorizzazioni ad una o piu' specifiche operazioni di trattamento
concesse ai singoli responsabili o incaricati (es. autorizzazione alla
sola consultazione in tempo reale).
I responsabili del trattamento devono conservare e aggiornare
tempestivamente l'elenco delle persone incaricate ad effettuare una o
piu' specifiche operazioni di trattamento sui dati rilevati tramite
sistemi di videosorveglianza.
Nel caso in cui l'Ente e/o l'Assemblea designi un responsabile esterno
del trattamento, lo stesso deve consentire al titolare, dandogli piena
collaborazione, verifiche periodiche, tramite i responsabili dei
trattamenti di cui al paragrafo 3 della deliberazione della Giunta
regionale 960/05 e al paragrafo 3 della D.U.P. 197/06 o il
Responsabile della sicurezza di cui al paragrafo 5 della deliberazione
della Giunta regionale 960/05 e al paragrafo 5 della D.U.P. 197/06.
In tale caso, inoltre, il responsabile esterno deve trasmettere
tempestivamente il suddetto elenco delle persone incaricate e i
relativi aggiornamenti ai responsabili della sicurezza sopra
specificati, per favorire e semplificare le verifiche periodiche.
L'Ente e/o l'Assemblea devono darne tempestiva informazione alle
organizzazioni sindacali.
4.4 Registrazione e consultazione dei dati registrati
Con riferimento ai principi generali di cui al precedente paragrafo 3,
le operazioni di registrazione e consultazione dei dati registrati
sono ammesse solo nei casi in cui sia indispensabile per gli scopi
perseguiti.
In particolare, la consultazione dei dati registrati puo' essere
effettuata soltanto:
- per esigenze di manutenzione degli impianti;
- per assistenza alla competente Autorita' giudiziaria o Polizia
giudiziaria;
- nel caso di visite ispettive da parte della Autorita' garante per la
protezione dei dati personali;
- in caso di riscontro ad una istanza di esercizio del diritto di
accesso dell'interessato ai propri dati personali.
4.5 Conservazione dei dati registrati
Il sistema impiegato per la registrazione delle immagini e'
configurato in modo da cancellare i dati personali in maniera
automatica e con modalita' tali da non rendere riutilizzabili i dati
cancellati, dopo sette giorni, periodo di conservazione ritenuto
necessario per le ragioni di seguito specificate:
- importanza strategica del patrimonio informativo dell'Ente e
dell'Assemblea;
- rappresentanza politica dell'Ente;
- ubicazione del Centro elaborazioni dati posta al piano terreno della
sede della Giunta regionale, contigua a quella dell'Ufficio Relazioni
con il pubblico, luogo assiduamente frequentato da pubblico esterno;
- caratteristiche tecniche dell'impianto di videosorveglianza tali da
non consentire la conservazione delle registrazioni in maniera
differenziata in funzione dell'area videosorvegliata.
Un tempo di conservazione superiore a sette giorni deve essere
valutato come eccezionale e in relazione a necessita' derivanti da un
evento gia' accaduto (ad es. atti di vandalismo verificatisi) o
realmente incombente (ad es. sorveglianza del livello dei corsi
d'acqua), la cui sussistenza possa risultare documentabile.
In particolare, relativamente alla sorveglianza dei corsi d'acqua, il
periodo di conservazione e' pari a 30 giorni, trascorsi i quali i dati
sono automaticamente cancellati dal sistema. Il prolungamento dei
tempi di conservazione, in questo caso, e' motivato dall'assoluta
necessita' di consentire agli operatori di valutare per intero
l'evento di piena, che in alcuni casi puo' durare diversi giorni, e di
recarsi in loco per eseguire il download dei dati che non puo' essere
effettuato da remoto.
Il prolungamento del tempo di conservazione oltre i sette giorni deve
essere in ogni altro caso comunicato preventivamente al responsabile
della sicurezza dell'Ente e dell'Assemblea, anche ai fini
dell'aggiornamento del Documento programmatico per la sicurezza.
Nel caso di eventi che possano configurarsi come ipotesi di reato il
prolungamento del tempo di conservazione oltre i sette giorni deve
essere disposto dal responsabile interno del trattamento di
videosorveglianza su specifica richiesta dell'Autorita' giudiziaria o
di Polizia giudiziaria.
I supporti di registrazione devono essere conservati adottando
apposite misure cautelative tali da impedirne il deterioramento, la
distruzione e l'accesso da parte di soggetti non autorizzati (ad es.
armadi dotati di doppia serratura e doppia chiave).
4.6 Effettuazione di copie e comunicazione
L'effettuazione di copie dei dati registrati e' disposta da parte del
responsabile interno del trattamento di videosorveglianza solo in caso
di specifica richiesta dell'Autorita' giudiziaria o di Polizia
giudiziaria.
Le copie sono conservate in armadio blindato ad accesso controllato.
I dati registrati non possono essere comunicati a soggetti esterni,
salvo i casi previsti da legge o regolamento.
4.7 Nuove installazioni/riposizionamenti/rimozioni delle
apparecchiature di videosorveglianza
Prima di installare ciascuna nuova apparecchiatura, il responsabile
interno del trattamento di videosorveglianza deve valutare la
proporzionalita' del sistema agli scopi prefissati e deve motivare per
iscritto le scelte fatte, anche sulla base degli elementi forniti
dallo specifico settore che richiede l'installazione
dell'apparecchiatura.
Preventivamente ad ogni singola nuova installazione, il documento con
le motivazioni dell'installazione e' depositato alle Rappresentanze
sindacali per un periodo non inferiore a 20 giorni, trascorsi i quali,
in mancanza di osservazioni da parte delle stesse, si considera
acquisito il loro consenso alla nuova installazione.
La suddetta documentazione deve essere conservata quale aggiornamento
dell'Allegato B e C del presente atto anche ai fini dell'eventuale
esibizione in occasione di visite ispettive o dell'esercizio dei
diritti dell'interessato o di contenzioso.
Nel caso di riposizionamento delle apparecchiature deve essere
applicata la medesima procedura prevista per le nuove installazioni.
Nel caso di rimozione delle apparecchiature, della stessa e' data
informazione alle organizzazioni sindacali e la documentazione e'
conservata quale aggiornamento dell'Allegato B e C.
L'installazione di nuove telecamere, il riposizionamento o la
rimozione di telecamere esistenti devono essere comunicate al
responsabile della sicurezza dell'Ente e dell'Assemblea, anche ai fini
dell'aggiornamento del Documento programmatico per la sicurezza.
Nel caso in cui la nuova installazione sia effettuata avvalendosi di
un soggetto esterno, lo stesso deve attestare la conformita'
dell'intervento effettuato alle disposizioni dell'Allegato B del
Codice per la protezione dei dati personali e al presente Disciplinare
tecnico.
4.8 Informativa
Le zone soggette a videosorveglianza devono essere adeguatamente
segnalate e agli interessati deve essere fornita idonea informativa.
L'informativa da utilizzare in ambienti esterni deve essere conforme
al modello indicato in Appendice B. Il numero e le modalita' di
affissione della stessa dipendono dalla vastita' dell'area, dalle
modalita' di ripresa e dal numero di videocamere installate.
In luoghi diversi dalle aree esterne, il modello di cui sopra va
integrato con almeno un avviso circostanziato che riporti gli elementi
dell'art. 13 del Codice della privacy.
In particolare l'informativa, sia essa posta internamente o
esternamente agli ambienti dell'Ente e dell'Assemblea:
- deve essere collocata nell'area effettivamente ripresa o nelle
immediate vicinanze;
- deve avere un formato ed un posizionamento tali da essere
chiaramente visibile;
- puo' inglobare un simbolo o una stilizzazione di esplicita e
immediata comprensione.
Appendice A: Glossario
Dati personali: qualunque informazione relativa a persona fisica,
persona giuridica, ente od associazione, identificati o
identificabili, anche indirettamente, mediante riferimento a qualsiasi
altra informazione, ivi compreso un numero di identificazione
personale.
Incaricato: la persona fisica autorizzata a compiere operazioni di
trattamento dal titolare o dal responsabile.
Responsabile: la persona fisica, la persona giuridica, la pubblica
amministrazione e qualsiasi altro ente, associazione od organismo
preposti dal titolare al trattamento di dati personali.
Titolare: la persona fisica, la persona giuridica, la pubblica
amministrazione e qualsiasi altro ente, associazione od organismo cui
competono, anche unitamente ad altro titolare, le decisioni in ordine
alle finalita', alle modalita' del trattamento di dati personali e
agli strumenti utilizzati, ivi compreso il profilo della sicurezza.
Appendice B: Informativa semplificata
(segue allegato fotografato)
