g-docweb-display Portlet

Verifica preliminare. Istallazione di apparecchi di videosorveglianza da collocare presso specifici impianti di risalita - 29 settembre 2016 [5773062]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 5773062]

Verifica preliminare. Istallazione di apparecchi di videosorveglianza da collocare presso specifici impianti di risalita - 29 settembre 2016

Registro dei provvedimenti
n. 377 del 29 settembre 2016

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della prof.ssa Licia Califano e della dott.ssa Giovanna Bianchi Clerici, componenti, e del dott. Giuseppe Busia, segretario generale;

Esaminata la richiesta di verifica preliminare presentata da Federconsorzi Dolomiti Superski, ai sensi dell´art. 17 del d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito Codice);

Visto il provvedimento generale in materia di videosorveglianza dell´8 aprile 2010 (in www.gpdp.it, doc. web n. 1712680), con particolare riferimento al punto 3.4;

Esaminata la documentazione acquisita agli atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Antonello Soro;

PREMESSO

1. L´istanza della società.

In data 11 novembre 2015, Federconsorzi Dolomiti Superski ha fatto pervenire un´istanza di verifica preliminare (art. 17 del Codice) per l´istallazione di apparecchi di videosorveglianza da collocare presso specifici impianti di risalita, ubicati in determinate località sciistiche italiane, al fine "di evitare il verificarsi di accessi indebiti agli stessi da parte di utenti" non autorizzati e, con ciò, di tutelare il proprio patrimonio e quello dei suoi consorziati; richiedendo, inoltre, di poter conservare le relative immagini per un periodo coincidente con il termine di validità della singola tessera.

Federconsorzi Dolomiti Superski è un´organizzazione che riunisce 12 consorzi, costituiti da imprenditori esercenti impianti a fune in un´ampia zona dolomitica compresa tra Trentino Alto Adige e Veneto, impianti che servono circa 1.200 km. di piste da sci. La sua funzione, sempre volta a unire gli sforzi promozionali dei singoli consorzi e soprattutto ad allargare la zona geografica servita da un unico abbonamento, pur non avendo sostituito le singole realtà consortili, svolge tuttavia per esse diverse "attività comuni", come la vendita delle tessere a valore e degli skipass, utilizzabili su tutta l´area, con la conseguente redistribuzione degli introiti. (cfr. nota del 27 agosto 2015), e l´elaborazione dei dati di traffico e dell´uso degli ski-pass.

Al riguardo, Federconsorzi Dolomiti Superski ha dichiarato che le tipologie di skipass vendute sono distinte in tessere a valore (circa 2% sul totale delle vendite annue), tessere infra giornaliere (circa 10%), tessere giornaliere (circa 46%), tessere da 2 a 7 giorni (circa il 38%), tessere con validità sopra i sette giorni (circa 2%), e tessere per l´intera stagione (circa il 2% distinte tra ski pass stagionali veri e propri, quelli validi per un determinato numero di giorni nell´intera stagione e quelli denominati DTL legati al possesso di una carta di credito) (cfr. nota del 26 maggio 2016 e nota del 29 luglio 2016).

La suddetta Organizzazione ha dichiarato che l´istallazione di specifici dispositivi di videosorveglianza presso determinati impianti di risalita, che al momento sarebbero in numero di tre, si renderebbe necessaria per effetto di comportamenti illeciti messi in atto da un indefinito numero di utenti, i quali effettuerebbero frequentemente scambi di tessere e abbonamenti per l´accesso agli impianti dell´intero circuito del Consorzio Dolomiti Superski.

Sul piano logistico, è stato precisato che gli impianti oggetto di videosorveglianza sarebbero inizialmente la cabinovia XX a YY, la cabinovia e funivia ZZ ad HH e la funivia JJ a KK, in considerazione del fatto che, più di altri, tali impianti di risalita sono adduttori di sciatori ad altri impianti e sono posizionati in prossimità di ampi parcheggi dove sembrerebbe frequente appunto lo scambio di biglietti "prevalentemente giornalieri" (cfr. nota del 27 agosto 2015, pag. 9).

Per ciò che riguarda, in particolare, l´applicazione specifica, Federconsorzi Dolomiti Superski ha dichiarato che il sistema progettato effettuerebbe due tipi di controlli. La prima verifica avverrebbe ai tornelli dei predetti impianti di risalita, dove il sistema consentirebbe al personale addetto di rilevare l´immagine dell´utente al suo primo passaggio associandola al numero di skipass in suo possesso (senza effettuare alcun collegamento del numero di tessera con i dati anagrafici del possessore); poi, in occasione dei successivi ingressi allo stesso impianto di risalita, associati allo skipass già individuato, il sistema consentirebbe all´addetto al controllo "di visualizzare sullo schermo del proprio computer" l´immagine dell´utilizzatore acquisita in tempo reale e, contemporaneamente quelle già rilevate durante la giornata per i precedenti passaggi allo stesso impianto e collegate alla medesima tessera, così da verificare che il fruitore sia sempre la stessa persona e che perciò lo skipass non venga ceduto a terzi in modo illecito.

Il secondo tipo di controllo, invece, in back office, consisterebbe nella verifica di tutte le foto (fino allo spirare del termine di conservazione delle stesse), associate ad un certo numero di tessera, riprese sul medesimo impianto a prescindere dalla data di registrazione dell´immagine.

Ciò premesso, Federconsorzi Dolomiti Superski ha giustificato la sua richiesta sulla base del fatto che gli attuali sistemi di controllo, affidati al personale addetto ad effettuare le verifiche a campione in tutta l´area servita dall´Organizzazione, hanno restituito risultati del tutto insufficienti, aggiungendo che il nuovo sistema progettato avrebbe un sicuro effetto dissuasivo, volto a garantire il rispetto delle condizioni contrattuali, per altro accettate dagli utenti, e ad evitare comportamenti fraudolenti. In particolare, infatti, il controllo in live permetterebbe, come oggi, il ritiro dello skipass in caso di uso fraudolento della tessera; il controllo in back office, invece, permetterebbe di "analizzare più approfonditamente il fenomeno degli abusi", dando la possibilità all´Organizzazione di valutare modalità più efficaci atte a dissuadere gli utenti da un uso illecito dello skipass. (cfr. nota del 26 maggio 2016).

A sostegno della sua richiesta il Consorzio ha altresì precisato che le tipologie di tessere utilizzate, al di là della validità (molto diversificata), si distinguono principalmente nel fatto che quella denominata "one way card", impiegata per gli skipass giornalieri, plurigiornalieri fino a 31 giorni, nonché per le tessere a punti (per altro non rilevante ai fini della presente istanza), che rappresentano circa il 97% delle vendite, è caratterizzata per essere in linea generale anonima. Al riguardo, infatti, è stato riferito che il nome dell´acquirente inserito sulla tessera (a mano o stampato dal cassiere) non viene salvato nella banca dati anagrafica (cfr. nota del 27 agosto 2015, pag. 5).

2. Il funzionamento del sistema

Il sistema di videoripresa di cui Federconsorzi Dolomiti Superski si vorrebbe avvalere è tecnicamente strutturato nel modo seguente.

L´applicazione denominata "Axess Gate" Control Camera è uno strumento software, integrato con telecamere, utilizzato per confrontare l´immagine dell´utente associata al numero identificativo del proprio skipass, con le successive immagini rilevate ai successivi accessi effettuati dal possessore della stessa tessera al medesimo impianto di risalita.

Il sistema previsto sarebbe autonomo e distinto per ogni impianto di risalita prescelto, con la conseguenza che le foto verrebbero raffrontate soltanto con immagini raccolte presso il medesimo collegamento, senza che si effettui alcun trasferimento di immagini alle altre postazioni (cfr. pag. 17 della nota del 27 agosto 2015; nota del 29 luglio 2016).

Le telecamere, previste in numero di tre (una per ogni località), sarebbero in grado di monitorare "circa 4 tornelli" e di rilevare l´immagine a mezzobusto dell´utente e l´orario di transito, dati che, una volta trasferiti, mediante rete LAN protetta da firewall e crittografata, su un pc locale (posizionato presso l´impianto), verrebbero automaticamente associati, tramite il suddetto software, al numero di skipass in possesso dell´utilizzatore, titolo a sua volta convalidato mediante tecnologia RFID. Nelle occasioni successive di accesso al medesimo impianto di risalita, il sistema, rilevando lo stesso numero di skipass, visualizzerebbe sullo schermo del PC locale sia l´immagine dell´utente al momento del passaggio sia quelle raccolte durante la stessa giornata alla stessa struttura di risalita (cfr. nota del 27 agosto 2015 e nota del 29 luglio 2016), senza avere alcuna possibilità di identificare gli utenti, se non mediante la richiesta di esibizione del titolo di viaggio da parte dell´addetto al controllo.

In questa fase, l´accesso alle immagini avverrebbe a mezzo del suddetto PC oppure tramite "tablet", collegati tramite "una rete wireless privata protetta" e dedicata solo a tale fine.

In caso di tessere valide per più giorni, le foto relative ai passaggi dei giorni precedenti, sarebbero comunque conservate fino alla fine del periodo di validità della singola tessera, per poter essere controllate "a campione" (cfr. pag 15 nota del 27 agosto 2015), in occasione della verifica in back office, effettuata sempre tramite il medesimo PC del singolo impianto di risalita (cfr. nota del 29 luglio 2016). Le immagini verrebbero conservate esclusivamente sul PC del singolo impianto, senza che avvenga alcuna trasmissione o copia su altri supporti e nemmeno sulla banca dati Dolomiti Superski.

L´accesso alle immagini, sarebbe consentito unicamente ai dipendenti prescelti dalle singole società di gestione degli impianti e ai "controllori incaricati da Federconsorzi Dolomiti Superski", tutti espressamente designati "incaricati" al trattamento delle immagini e in possesso di specifiche credenziali di accesso alla rete aziendale protetta (VPN), sia per le visualizzazioni in live che in back office.

Il sistema nel suo complesso non sarebbe dotato di alcun software in grado di effettuare raffronti tra immagini (cfr. pag. 13 della nota del 27 agosto 2015), né permetterebbe di associare l´immagine con dati anagrafici dell´utilizzatore e perciò di individuare direttamente l´utente, "non essendo visualizzati a schermo né il nome, né il numero della tessera" anche quando rilasciati dall´utente in occasione dell´acquisto di determinate tipologie di skipass (cfr. pag. 11 della nota del 27 agosto 2015).

Per ciò che riguarda le misure di sicurezza, è stato evidenziato che i PC sono fisicamente collocati nei locali presenti all´ingresso dei tre impianti, occupati dal personale addetto durante il periodo di apertura delle piste, chiusi a chiave al momento della chiusura delle strutture.

Per ciò che riguarda l´obbligo di informare gli utenti della presenza del suddetto sistema, è stato precisato che un´apposita informativa semplificata sarebbe collocata in prossimità dei luoghi videosorvegliati, mentre l´informativa dettagliata sarebbe collocata presso le bacheche poste vicino alle biglietterie degli impianti interessati e sarebbe disponibile comunque a richiesta.

Infine per ciò che riguarda i tempi di conservazione delle immagini registrate, Federconsorzi Dolomiti Superski ha specificato che, al fine di assicurare l´effettività dei controlli, è interesse dell´Organizzazione, titolare del trattamento insieme alle società che gestiscono i singoli impianti di risalita in oggetto, la possibilità di mantenere i dati acquisiti attraverso le immagini per un periodo pari alla validità temporale della singola tessera (cfr. nota del 26 maggio 2016).

3. Presupposti di liceità del trattamento

L´odierna richiesta relativa all´utilizzo degli impianti di videoripresa sopra descritti, deve essere valutata alla luce dei principi di necessità, proporzionalità, finalità e correttezza posti dal Codice (artt. 3 e 11 del Codice), espressamente richiamati anche nel Provvedimento generale in materia di videosorveglianza dell´8 aprile 2010.

In ragione di ciò, si ritiene che sia importante tenere in debito conto la finalità sottesa all´istallazione dei predetti sistemi consistente nell´esigenza di tutela del patrimonio aziendale e, in particolare, nella necessità di garantire il legittimo uso degli impianti da parte degli utenti attraverso un´attività di controllo che sia dissuasiva di comportamenti illeciti e prevenga, quindi, l´adozione di provvedimenti sanzionatori.

Al riguardo, infatti, è stato specificato che fino ad oggi l´attività di accertamento "a campione" effettuata dagli addetti al controllo non ha prodotto risultati significativi rispetto all´utilizzo fraudolento delle tessere, mentre l´impiego del sistema in esame consentirebbe controlli più efficaci da parte del personale addetto ai tornelli, con eventuali ritiri di skipass quantitativamente più consistenti, e permetterebbe, tramite il controllo in back office, di raggiungere una più completa comprensione delle concrete dinamiche relative all´utilizzo fraudolento delle tessere al fine di modificare la politica aziendale legata alla loro vendita e salvaguardare così in modo più efficiente il proprio patrimonio e quello di tutti i consorziati.

Ad avviso di questa Autorità, all´esito dell´istruttoria sono emersi elementi che inducono a ritenere che, nel rispetto dei principi posti dagli artt. 3 e 11 del Codice, la richiesta del Consorzio possa essere accolta.

L´utilizzo del sistema in questione, con la possibilità di conservare i dati relativi alle immagini degli utenti per il tempo di validità di ogni singola tessera avrebbe il pregio, come illustrato in premessa, di poter esercitare un´attività di controllo più puntuale.

Rispetto al principio di proporzionalità, in considerazione delle tipologie di skipass venduti annualmente, la maggior parte delle immagini conservate sarebbe confinata entro i sette giorni (circa il 93%), con la conseguenza che la loro conservazione rientrerebbe nei termini previsti dal Provvedimento generale sulla videosorveglianza, circa il 2%, essendo tessere a valore, non verrebbe sottoposta al procedimento di rilevazione in esame, le tessere plurigiornaliere da 8 a 31 giorni, invece, pur avendo tempi di conservazione delle immagini più elevati rispetto al citato Provvedimento, avrebbero comunque la peculiarità di non essere nominative (come tutte le tessere denominate "one way card"). In tal modo, salirebbe a circa il 98% la tipologia di passaggi tutelata da sostanziale anonimato.

Per ciò che riguarda il rimanente 2% delle tessere interessate dalla procedura descritta, individuato nelle varie tessere stagionali, la loro conservazione oltre il termine previsto dal provvedimento generale, sarebbe soggetto ad controllo "a campione" da parte di addetti, ritualmente designati incaricati del trattamento. Al riguardo, vale osservare che, trattandosi di skipass aventi, in assoluto, un costo elevato, potrebbe essere maggiormente appetibile un impiego fraudolento della singola tessera, attraverso un suo utilizzo da parte di più soggetti. In ragione di ciò, si ritiene che il sistema previsto, soprattutto nel controllo in back office, potrebbe effettivamente dimostrarsi efficace nella lotta all´uso illecito dello skipass, risultando proporzionale rispetto alle finalità perseguite.

Dal punto di vista tecnologico, è emerso che non verrebbe effettuato alcun trattamento di dati di tipo biometrico, né alcun tipo di azione automatica di raffronto delle immagini, essendo lasciato al solo operatore il compito di individuare, sia in live che in back office, eventuali anomalie ai passaggi presso gli impianti di risalita. Inoltre, la modalità di presentazione a video delle immagini non permetterebbe alcun tipo di controllo a posteriori né la memorizzazione di eventuali indicatori di rischio associabili agli utenti.

Sul piano della sicurezza dei dati, la procedura di accesso risulta adeguata, consentendo di prendere visione delle registrazioni, per il tramite di appositi soggetti designati "incaricati del trattamento" e con l´osservanza di un sistema di autenticazione basato su credenziali individualmente assegnate. Inoltre, l´invio delle immagini dalla singola telecamera alla postazione di controllo avverrebbe tramite una rete privata protetta, con una separazione logica e fisica tra i sistemi di videosorveglianza e i sistemi deputati alla conservazione dei dati di tipo contrattuale. Infine, la conservazione dei dati avverrebbe all´interno di un PC posto all´interno di un locale, presidiato di giorno dagli addetti agli impianti e di notte chiuso a chiave, e si protrarrebbe fino al termine di validità della singola tessera, allo scadere della quale le immagini verrebbero cancellate.

In conclusione, alla luce delle dichiarazioni rese (della cui veridicità Federconsorzi Dolomiti Superski ha assunto ogni responsabilità - anche penale - ai sensi dell´art. 168 del Codice) e, segnatamente, delle illustrate modalità di funzionamento dell´applicazione, volta a tutelare il patrimonio aziendale e quella dei consorziati, questa Autorità ritiene che la richiesta di verifica preliminare possa essere accolta, purché il periodo di conservazione delle immagini raccolte sia pari alla validità temporale della singola tessera e comunque non si protragga oltre il termine di chiusura della stagione sciistica.

La predetta applicazione potrà essere attivata, alle medesime condizioni, anche presso altri impianti di risalita da parte di diversi titolari del trattamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell´art. 17 del Codice, a conclusione della verifica preliminare, ammette il trattamento, di cui in motivazione, effettuato tramite videosorveglianza da  Federconsorzi Dolomiti Superski in co-titolarità con le società che gestiscono i singoli impianti di risalita presso i quali si intendono installare i sistemi di rilevazione oggetto del presente provvedimento (la cabinovia XX a YY, la cabinovia e funivia ZZ ad HH, la funivia JJ a KK), e prescrive che il periodo di conservazione delle immagini raccolte sia pari alla validità temporale della singola tessera e comunque non si protragga oltre il termine di chiusura della stagione sciistica.

Ai sensi degli artt. 152 del Codice e 10 del d.lgs. n. 150 del 2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 29 settembre 2016

IL PRESIDENTE
Soro

IL RELATORE
Soro

IL SEGRETARIO GENERALE
Busia