Può un’azienda rifiutare una richiesta di accesso alle immagini di videosorveglianza perché dovrebbe esaminare migliaia di ore di registrazioni?

Secondo l’Autorità spagnola per la protezione dei dati (AEPD), la complessità della ricerca non è, da sola, sufficiente per negare il diritto previsto dal GDPR.

Il caso riguarda una società che gestisce parcheggi, sanzionata per complessivi 150.000 euro per violazione degli artt. 15 e 18 GDPR. La somma è stata successivamente ridotta a 90.000 euro a seguito del riconoscimento della responsabilità e del pagamento volontario.

La richiesta e le 3.072 ore di immagini

La vicenda nasce da un automobilista che, dopo aver trovato la propria vettura danneggiata, chiede di accedere alle registrazioni del parcheggio per individuare il responsabile.

Il periodo indicato andava dal 12 al 19 febbraio 2024. Secondo la società, con 16 telecamere sarebbe stato necessario esaminare complessivamente 3.072 ore di registrazioni, equivalenti a 384 giornate lavorative.

La richiesta venne quindi considerata eccessivamente onerosa.

L’AEPD ha però rilevato un punto decisivo: se le informazioni fornite dall’interessato non erano sufficienti per individuare le immagini, il titolare avrebbe dovuto chiedere di circoscrivere la richiesta, anziché limitarsi a negare l’accesso.

La società, inoltre, rispose oltre il termine di un mese previsto dall’art. 12 GDPR, senza avere comunicato all’interessato le difficoltà incontrate nella ricerca.

La complessità del sistema non può ricadere sull’interessato

È questo probabilmente il passaggio più interessante della decisione.

Una richiesta che comporta un notevole impegno organizzativo non diventa automaticamente “manifestamente eccessiva”.

Se il perimetro è troppo ampio, il titolare deve dialogare con l’interessato per individuare, ad esempio, una fascia oraria più precisa, una zona del parcheggio o le telecamere potenzialmente coinvolte.

Anche la presenza nelle immagini di altre persone, veicoli o targhe non giustifica automaticamente un diniego. Occorre valutare soluzioni che consentano di tutelare i terzi, limitando l’accesso alle sole immagini pertinenti e, quando necessario, oscurando gli elementi identificativi.

L’errore più grave: cancellare le registrazioni

Nel caso esaminato c’era però un secondo problema.

L’interessato aveva espressamente chiesto che le immagini fossero conservate perché necessarie per un’eventuale azione giudiziaria. Nonostante questo, le registrazioni furono cancellate.

L’AEPD ha ritenuto violato anche l’art. 18 GDPR sul diritto alla limitazione del trattamento.

La cancellazione automatica prevista dal sistema non può infatti vanificare una richiesta di conservazione tempestivamente presentata quando ricorrono i presupposti previsti dalla normativa.

Il principio operativo è importante: la retention automatica deve potersi fermare quando interviene una richiesta che giustifica la conservazione delle immagini.

Cosa devono fare le aziende

Il provvedimento dell’AEPD non è direttamente vincolante per il Garante italiano, ma applica disposizioni del GDPR comuni a tutti gli Stati membri e offre indicazioni utili anche alle organizzazioni italiane.

Chi utilizza sistemi di videosorveglianza dovrebbe avere una procedura che permetta di individuare rapidamente le registrazioni, chiedere eventuali precisazioni all’interessato, proteggere i dati dei terzi e soprattutto bloccare la cancellazione automatica quando viene esercitato un diritto che richiede la conservazione delle immagini.

La lezione del caso è semplice: non basta stabilire per quanto tempo vengono conservate le registrazioni.

Occorre progettare il sistema anche pensando a ciò che accade quando, prima della cancellazione, arriva una richiesta di accesso o di conservazione.

La complessità tecnologica e organizzativa della videosorveglianza resta infatti un problema del titolare del trattamento: non può trasformarsi automaticamente in una limitazione dei diritti dell’interessato.

Fonte: Agencia Española de Protección de Datos