g-docweb-display Portlet

Verifica preliminare. Allungamento dei tempi di conservazione delle immagini registrate attraverso sistemi di videosorveglianza - 1° marzo 2018 [8684296]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 8684296]

Verifica preliminare. Allungamento dei tempi di conservazione delle immagini registrate attraverso sistemi di videosorveglianza - 1° marzo 2018

Registro dei provvedimenti
n. 122 del 1° marzo 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vice presidente, della dott.ssa Giovanna Bianchi Clerici e della dott.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;

Esaminata la richiesta di verifica preliminare presentata da Istituto Poligrafico e Zecca dello Stato S.p.A., ai sensi dell´art. 17 del d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito "Codice");

Visti gli atti d´ufficio;

Esaminata la documentazione acquisita agli atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore la dott.ssa Augusta Iannini;

PREMESSO

1. L´istanza della società.

In data 27 ottobre 2017, l´Istituto Poligrafico e Zecca dello Stato S.p.A., società che riveste un ruolo esclusivo nella produzione di carte valori, in ossequio a quanto prescritto nel provvedimento in materia di videosorveglianza dell´8 aprile 2010 (punto 1, lett. b) del dispositivo; provvedimento pubblicato in G.U. n. 99 del 29 aprile 2010, e in www.gpdp.it, doc. web n. 1712680)pubblicato in G.U. n. 99 del 29 aprile 2010, e in www.gpdp.it, doc. web n. 1712680) ha presentato una richiesta di verifica preliminare (art. 17 del Codice) al fine di poter conservare per dodici mesi le immagini registrate attraverso i sistemi di videosorveglianza attualmente in uso presso i propri stabilimenti.

La Società, produttrice e fornitrice di prodotti destinati ad assumere uno specifico valore fiduciario a tutela degli interessi generali della sicurezza dello Stato, della salute e dell´ordine pubblico, si occupa tra le altre cose della produzione di carte filigranate, carte valori, ricettari e bollini per farmaci, nonché della progettazione, realizzazione e gestione di sistemi per la tracciabilità, per l´anticontraffazione e per la sicurezza dei dati. Inoltre, oltre al conio di monete aventi corso legale, tra i compiti del Poligrafico sono compresi anche la produzione e fornitura di schede e certificati elettorali,  anche su supporto elettronico, nonché di altro materiale occorrente per le consultazioni elettorali e referendarie.

Dal punto di vista logistico, i processi produttivi e le relative attività correlate alla produzione dei valori e delle monete avvengono presso i seguenti siti:

- 3 Stabilimenti a Roma;

- Stabilimento di Foggia;

- Stabilimento di Verrès;

Il Poligrafico, responsabile di tutte le fasi di lavorazione delle carte valori, dal momento della loro acquisizione dal "Magazzino Tesoro" sino alla consegna dei relativi prodotti, ha, per questa particolare produzione, tra i vari obblighi quello di svolgere, attraverso la Direzione Sistemi di Prevenzione e tutela aziendale, un´attività finalizzata alla salvaguardia del patrimonio e delle produzioni anche con riferimento ai magazzini dove sono conservati i materiali necessari alla produzione (D.M 5 marzo 2004).

L´odierna richiesta di autorizzazione all´allungamento dei tempi di conservazione degli impianti di videosorveglianza presenti presso i siti suddetti, è stata motivata non solo con l´esigenza di rafforzare il livello di tutela dei propri stabilimenti, anche a seguito di eventi criminosi per i quali non è stato possibile aderire alle richieste dell´Autorità giudiziaria, ma anche con la necessità di ricevere uno specifico accreditamento presso la BCE per dare avvio alla produzione di carte per banconote, nell´ambito di un´iniziativa congiunta con la Banca di Italia (cfr. nota del 27 ottobre 2017).

Infatti la BCE, titolare esclusivo del potere di autorizzare l´emissione di banconote in euro all´interno dell´Unione europea, ha stabilito che per la loro produzione è necessario ottenere un "accreditamento" (Decisione del 20 dicembre 2013) che viene concesso solo in presenza di rigidi standard qualitativi e di security, tra cui sono anche comprese alcune misure di sicurezza in relazione alla conservazione delle immagini rilevate dai sistemi di sorveglianza installati presso i siti produttivi per un periodo di almeno 12 mesi (disciplinare della BCE "Security rules and procedures for manufacturers of euro secure items", in vigore dal 2 giugno 2008, concernente le regole di sicurezza minime nella filiera della produzione della carta per banconote euro).

A corredo della propria istanza, la Società ha poi fatto pervenire copia di un accordo stipulato con le rappresentanze sindacali in data 19 dicembre 2017 che, in conformità all´art. 4 della legge n. 300/1970, sancisce la conservazione delle immagini registrate dagli impianti  di videosorveglianza per il tempo richiesto di 12 mesi, in caso di pronuncia positiva dell´Autorità Garante per la protezione dei dati personali alla presente istanza.

2. Le modalità di funzionamento del sistema

Gli impianti di videosorveglianza, già installati dall´Istituto Poligrafico e Zecca dello Stato presso i propri stabilimenti produttivi, sono costituiti da telecamere che per l´area perimetrale esterna e per gli accessi ai siti sono sia di tipo fisso che brandeggiabile, mentre per le zone interne, i reparti produttivi, le sale di controllo, ma anche i varchi di passaggio tra reparti e locali comuni degli uffici amministrativi (cfr. accordo sindacale del 19 dicembre 2017) sono state limitate a riprese di tipo fisso.

In particolare, la Società, titolare del trattamento dei dati congiuntamente alla Guardia di Finanza che svolge funzioni di controllo e presidio perimetrale presso i siti in questione (cfr. nota del 27 ottobre 2017), ha precisato che le riprese esterne sono predisposte per consentire oltre la registrazione delle immagini, anche la loro visualizzazione in tempo reale senza interruzione.

Per ciò che riguarda, invece, le riprese interne, è stato riferito che gli apparecchi sono idonei a monitorare il processo di produzione e conservazione dei prodotti del Poligrafico, la loro tracciabilità, nonché il delicato processo di distruzione degli stessi, senza però che le immagini siano visionabili "in live". (cfr. verbale di accordo del 19 dicembre 2017).

A proposito delle misure di sicurezza, è stato precisato che gli apparati di registrazione delle immagini sono ubicati in appositi armadi posti all´interno di locali ad accesso controllato e sorvegliati da guardie giurate. I monitor, destinati alla visualizzazione in tempo reale delle immagini, sono collocati nelle sale di controllo, per consentire ai soggetti designati incaricati del trattamento di controllare le riprese. Al riguardo, è stato precisato che, a seconda delle mansioni specifiche attribuite, i livelli di accesso alle immagini sono regolate in modo da distinguere abilitazioni alla sola visione "in live" o piuttosto all´esame delle registrazioni, all´attività di copiatura o alla modifica delle inquadrature, accessi comunque sempre accordati con la modalità del doppio controllo o con la digitazione simultanea di due password assegnate unicamente a distinti soggetti appartenenti a due strutture differenti.

E´ stato altresì puntualizzato che, essendo la titolarità del trattamento delle immagini degli impianti solo in parte condivisa con la Guardia di Finanza, segnatamente solo rispetto alle zone esterne,  sono state adottate per tale circostanza misure di separazione logica delle immagini riprese e conservate dai due diversi titolari del trattamento. Infine, le società di vigilanza e quelle deputate alla manutenzione degli impianti sono state nominate Responsabili del trattamento dei dati.

Quanto all´informativa da fornire agli interessati, la Società ha dichiarato che appositi cartelli sono posizionati nelle immediate vicinanze delle telecamere, indicanti il titolare del trattamento e la finalità perseguita; nei locali di lavoro e presso le portinerie, inoltre, è disponibile per tutti gli interessati un testo completo di informativa contenente tutti gli elementi di cui all´art. 13, comma 1 del d.lgs. 196/2003 (cfr. nota del 27 ottobre 2017). 

Infine, i sistemi di registrazione sono programmati per provvedere alla cancellazione automatica dei dati allo scadere del termine previsto, mediante sovra-registrazione con modalità tali da non rendere più riutilizzabili i dati cancellati (cfr. nota del 27 ottobre 2017).

3. Presupposti di liceità del trattamento.

Le nuove modalità di trattamento che l´Istituto Poligrafico e Zecca dello Stato ha intenzione di adottare debbono essere valutate alla luce dei principi di necessità, proporzionalità, finalità e correttezza posti dal Codice (artt. 3 e 11 del Codice), espressamente richiamati anche nel Provvedimento generale in materia di videosorveglianza dell´8 aprile 2010. In particolare, secondo tale provvedimento, l´allungamento dei tempi di conservazione dei dati oltre i sette giorni, giustificabile solo in casi eccezionali, deve essere adeguatamente motivato "con riferimento ad una specifica esigenza di sicurezza perseguita, in relazione a concrete situazioni di rischio riguardanti eventi realmente incombenti e per il periodo di tempo in cui venga confermata tale eccezionale necessità".

Nel caso in questione, la società ha posto a base dell´istanza due distinte esigenze.

Su un piano più generale, l´Istituto Poligrafico e Zecca dello Stato ha affermato che la necessità di allungare i tempi di conservazione delle immagini deriverebbe dall´esigenza di aumentare i livelli di sicurezza degli stabilimenti anche a seguito di recenti fatti di cronaca relativi al ritrovamento di carte valori rubate, per i quali la mancanza di flussi video risalenti nel tempo ha impedito all´Istituto di aderire alle richieste derivanti dall´attività investigativa dell´Autorità giudiziaria.

In secondo luogo, l´Istituto Poligrafico e Zecca dello Stato ha affermato che la necessità di conservare le immagini proprio fino a 12 mesi scaturisce dalla specifica necessità di conformarsi alle regole dettate dalla BCE per dare avvio all´iniziativa congiunta con la Banca di Italia relativa alla produzione di carte per banconote.

Il richiesto accreditamento degli stabilimenti di produzione agli standard di sicurezza determinati dalla decisione della BCE prima menzionata, vincolato anche all´obbligo di conservazione a 12 mesi delle registrazioni delle immagini di videosorveglianza, dà evidenza della peculiarità dello specifico settore in cui opera l´Istituto, in larga parte disciplinato direttamente dalla BCE. In forza dell´art. 132 del Trattato sul funzionamento dell´Unione Europea, infatti, la BCE risulta dotata di un potere normativo effettivo, che oltre ad esprimersi attraverso l´adozione di atti non vincolanti, quali raccomandazioni e pareri, si manifesta anche attraverso l´adozione di regolamenti e decisioni che, essendo atti di natura vincolante, producono effetti giuridici obbligatori per tutti i destinatari da essi designati e, per costante interpretazione, muniti del requisito dell´efficacia.   

In proposito, con la decisione del 20 dicembre 2013 (di modifica della Decisione del 15 maggio 2008), concernente le "procedure di accreditamento dei fabbricanti  degli elementi di sicurezza dell´euro e degli elementi dell´euro", la BCE, considerato il suo diritto esclusivo di autorizzare l´emissione di banconote in euro all´interno dell´Unione europea, nonché "la competenza nell´adottare misure atte a proteggere l´integrità delle banconote in euro quali mezzi di pagamento" (v. 1° considerando), ha ritenuto necessario ribadire una procedura di accreditamento di sicurezza per verificare il rispetto, da parte dei fabbricanti di carta per banconote, delle norme minime di sicurezza.

Da quanto sopra deriva che anche l´Istituto Poligrafico e Zecca dello Stato, nell´intento di realizzare la suddetta produzione di carta moneta, è soggetto sia alla disciplina posta dalla decisione del 2013, sia a tutte le ulteriori regole da essa derivanti, tra le quali sono comprese quelle facenti capo agli standard di sicurezza minimi appositamente varati nei confronti delle aziende accreditate per la produzione di banconote euro (c.d. "Security rules and procedures for manufacturers of euro secure items", in vigore dal 2 giugno 2008), che, tra l´altro, impongono che le immagini registrate dagli impianti di videosorveglianza installati presso i siti produttivi vengano conservate "per almeno 12 mesi" (cfr. nota del 27 ottobre 2017).

Ad avviso di quest´Autorità, all´esito dell´istruttoria, e considerate le modalità nonché gli accorgimenti che l´IPZS intende attuare, come dichiarato in atti, sono emersi elementi che inducono a ritenere che la richiesta di allungamento dei tempi di conservazione delle immagini formulata dall´Istituto sia conforme ai principi stabiliti dall´art. 11, comma 1 del Codice.

Ciò premesso, alla luce delle dichiarazioni rese dalla società (della cui veridicità l´Istituto Poligrafico e Zecca dello Stato ha assunto ogni responsabilità - anche penale - ai sensi dell´art. 168 del Codice) e degli ulteriori elementi acquisiti, si deve ritenere che la richiesta di verifica preliminare avanzata dall´Istituto possa essere accolta.

TUTTO CIÒ PREMESSO IL GARANTE

accoglie la richiesta di verifica preliminare relativa all´allungamento dei tempi di conservazione delle immagini registrate dagli impianti di videosorveglianza di Istituto Poligrafico e Zecca dello Stato S.p.A., installati presso i siti individuati in premessa e, per l´effetto, ai sensi dell´art. 17 del Codice, ammette la conservazione delle immagini registrate per un periodo massimo di 12 mesi, da effettuarsi nel rispetto di quanto previsto in motivazione.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 1° marzo 2018

IL PRESIDENTE
Soro

IL RELATORE
Iannini

IL SEGRETARIO GENERALE
Busia