Le linee Guida n. 3/2019 dei Garanti Europei sul “trattamento dei dati personali attraverso dispositivi video” del 29 Gennaio 2020 affrontano il tema dell’applicazione dei principi della privacy by design e by default ad un sistema di videosorveglianza. Il Regolamento UE 679/2016 non fornisce una definizione di “videosorveglianza”, mentre una descrizione tecnica è contenuta nella norma CEI EN 62676-1-1, alla quale si rifanno le recenti Linee Guida 3/2019 adottate dall’European Data Protection Board.

In data 10 Giugno 2021 [doc. web 9685922] l’Autorità Garante ha sanzionato un titolare del trattamento per aver implemento senza una valutazione di impatto privacy una piattaforma ai fini della gestione del whistleblowing in violazione dei principi della privacy by design e by default.

In un recente provvedimento (13 maggio 2021 – doc. web. N. 9669974) l’Autorità Garante ha sanzionato un Comune per aver implementato un sistema di controllo della navigazione in internet senza aver reso ai lavoratori una informativa ai sensi dell’articolo 13 del Regolamento UE 679/2016. Il caso affrontato dal Garante ha preso spunto da una sanzione disciplinare irrogata a un lavoratore pubblico che utilizzava il computer del Comune, per finalità non lavorative. In particolare, per aver consultato Facebook, Youtube e altre pagine web.

Con provvedimento del 26 novembre 2020, n.256 l’Autorità Garante ha adottato una ordinanza-ingiunzione nei confronti di una struttura ricettiva, che, tra le altre cose, aveva omesso di apporre i cartelli informativi sulla videosorveglianza, che, come noto, sono stati recentemente oggetto di revisione da parte del Comitato Europeo per la protezione dei dati personali con le Linee Guida n.3/2019.

A metà Febbraio 2021 il Consiglio d’Europa ha rilasciato, tramite il Comitato della Convenzione 108, le linee “di indirizzo” per i governi, i legislatori, i fornitori e le imprese interessati dalla tecnologia del riconoscimento facciale e ad Aprile 2021 la Commissione Europea ha rilasciato la proposta di Regolamento del Parlamento Europeo e del Consiglio, che stabilisce regole armonizzate sull’intelligenza artificiale.

In data 8 Luglio 2021 l’Italia ha ratificato il protocollo di emendamento alla Convenzione per la protezione delle persone in materia di trattamento dei dati personali (c.d. Convenzione 108+) sottoscritto il 05 marzo 2019. Si tratta, ad oggi, dell'unico strumento sulla protezione dei dati vincolante a livello internazionale.

Non c’è dubbio, che, tra le tecnologie più diffuse, la videosorveglianza sia quella ad aver un maggior impatto privacy in termini di rischio inerente al trattamento, ossia a presentare potenziali impatti negativi sui diritti, le libertà fondamentali e la dignità delle persone fisiche (interessati).

I sistemi di videosorveglianza sia che perseguano finalità di “security” che di mera “tutela del patrimonio” devono essere progettati tenendo conto, sotto il profilo della protezione dei dati personali dei principi della c.d. privacy by design e by default. Con l’espressione data protection by design , disciplinata dal paragrafo 1 dell’articolo 25 del RGPD 679/2016, si intende l’obbligo in capo al Titolare, tenuto conto dello stato dell’arte e dei costi di attuazione, nonché della natura e delle finalità del trattamento, di mettere in atto misure tecniche e organizzative adeguate, per integrare nel trattamento le necessarie garanzie volte a tutelare i diritti degli interessati.

Tra le tecnologie più evolute, la videosorveglianza occupa, con i suoi algoritmi di videonalisi, un posto di primo piano. Da qui la necessità da parte di produttori e utilizzatori finali di adottare idonei enterprise management system, capaci di tutelare efficacemente i diritti e le libertà degli interessati (le persone riprese e analizzate dal sistema di videosorveglianza).