I mercoledì della privacy: il condominio deve redigere la Dpia se le telecamere riprendono un luogo pubblico

La questione deve essere necessariamente esaminata sotto due punti di vista, quello civilistico e quello della riservatezza dei dati personali, materie che convivono in un continuo bilanciamento.

Da un punto di vista civilistico, l’articolo 7 della legge 226/2012 ha introdotto l’articolo 1122 ter del Codice civile, il quale legittima la deliberazione di installazione di un impianto volto a consentire la videosorveglianza sulle parti comuni di un condominio, adottata con la maggioranza degli intervenuti in assemblea che rappresentino almeno la metà del valore dell’edificio (i 500/1000 millesimi). Senza la suddetta previa deliberazione, assunta col quorum di legge, il sistema, seppure installato, può essere giudizialmente rimosso e il condominio condannato al risarcimento dei danni eventualmente provocati alla parte che decidesse di adire l’autorità giudiziaria. Quando un condominio vuole installare un impianto di videosorveglianza, quindi, si ha sempre necessità della delibera.

In virtù del principio di responsabilizzazione (articolo 5, parte 2 del Gdpr), spetta al titolare del trattamento (il condominio) valutarne liceità e proporzionalità, tenuto conto del contesto e delle finalità, nonché del rischio per i diritti e le libertà delle persone fisiche.Quanto sopra, pertanto, è la fonte giuridica dell’obbligo di una preventiva stesura del documento di analisi dei rischi, che si esplicita nel dare evidenza documentale a questi incombenti valutativi sanciti dal Gdpr e da ultimo ribaditi (e rafforzati) dalle linee guida (3/2019) sul trattamento dei dati personali attraverso dispositivi video (Edpb).

Il titolare del trattamento deve valutare anche se sussistano i presupposti per effettuare una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento. Il garante della privacy, infatti, spiega come: «La valutazione d’impatto preventiva è prevista se il trattamento, quando preveda in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità, può presentare un rischio elevato per le persone fisiche (articoli 35 e 36 del Regolamento). Può essere il caso, ad esempio, dei sistemi integrati - sia pubblici che privati - che collegano telecamere tra soggetti diversi nonché dei sistemi intelligenti, capaci di analizzare le immagini ed elaborarle, ad esempio al fine di rilevare automaticamente comportamenti o eventi anomali, segnalarli ed eventualmente registrarli. La valutazione d’impatto sulla protezione dei dati è sempre richiesta, in particolare, in caso di sorveglianza sistematica su larga scala di una zona accessibile al pubblico (articolo 35, paragrafo 3, lettera c del Regolamento) e negli altri casi indicati dal garante.

Seppur da un punto di vista civilistico, quindi, per installare un impianto di videosorveglianza in condominio è sufficiente la delibera assunta a maggioranza ex articolo 1122 ter del Codice civile, tale adempimento dovrà essere integrato con quanto richiesto dalla materia privacy. In primis, allora, il condominio dovrà espletare l’analisi dei rischi vista come il contemperamento di interessi tra il diritto del condominio a tutelare beni e persone attraverso l’installazione dell’impianto di videosorveglianza e quello dei soggetti che transitano nell’area a mantenere la propria riservatezza e quindi a non essere ripresi.

La normativa privacy impone al titolare del trattamento, sotto la sua responsabilità, di effettuare una serie di valutazioni che diano conto, attraverso principi di bilanciamento, proporzionalità, non eccedenza e minimizzazione del trattamento dei dati personali, dell’attuale necessità della suddetta installazione. Qualora tale adempimento non sia stato espletato, il titolare del trattamento condominio, anche se il sistema di videosorveglianza sia stato “correttamente deliberato”, ex articolo 1122 ter del Codice civile, è comunque passibile di sanzione da parte del garante della privacy.

Laddove poi il condominio andrebbe a riprendere luoghi aperti al pubblico transito, registrando il passaggio degli interessati, anche se si prevedesse il sistema della cancellazione e sovrascrizione automatica delle immagini a 7 giorni, si renderebbe comunque altamente consigliabile anche la redazione di una valutazione d’impatto privacy ex articolo 35, paragrafo 3, lettera c (Dpia, Data protection impact assessment). Inoltre, va sempre tenuto presente che la Dpia non è un esercizio una tantum, ma un processo continuo, soprattutto quando un trattamento è dinamico ed è soggetto a variazioni continue.

La Dpia, seppur possa essere svolta direttamente dal titolare del trattamento, data la complessità e competenza professionale richiesta, viene normalmente demandata a un soggetto specializzato, come un consulente privacy o un D.p.o. All’esito della stessa, laddove il consulente non sia convinto circa la necessità dell’installazione dell’impianto, il titolare o, qualora nominato, il D.p.o, potrà richiedere l’intervento dell’Autorità garante, la quale deciderà sull’ammissibilità dell’impianto, eliminando ogni rischio di diatriba.