Registro dei provvedimenti
n. 368 del 29 novembre 2012
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, in presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti, e del dott. Giuseppe Busia, segretario generale;
ESAMINATA la richiesta di verifica preliminare presentata da ATB Servizi s.p.a. ai sensi dell'art. 17 del Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);
VISTO il Codice in materia di protezione dei dati personali;
VISTI gli atti d'ufficio;
VISTE le osservazioni formulate dal segretario generale ai sensi dell'art. 15 del regolamento del Garante n. 1/2000;
RELATORE la prof.ssa Licia Califano;
PREMESSO
1. Trattamento di dati personali connesso all'installazione di un sistema di rilevamento dati e di registrazione di immagini su veicoli del trasporto pubblico locale
1.1. ATB Servizi s.p.a., concessionaria del servizio di trasporto pubblico locale in Bergamo e in altri ventisette comuni dell'area urbana, ha presentato una richiesta di verifica preliminare ai sensi dell'art. 17 del Codice relativa al trattamento di dati personali da effettuare a seguito dell'installazione sui propri veicoli di un dispositivo denominato "Roadscan DTW". Tale dispositivo, predisposto per essere posizionato sul parabrezza anteriore dei veicoli adibiti al trasporto pubblico locale, consente la raccolta e, al verificarsi di predeterminate condizioni (quali accelerazioni/decelerazioni o sobbalzi tali da far presumere che il veicolo possa essere coinvolto in un sinistro), la registrazione delle immagini relative alla sede stradale prospiciente il veicolo nonché alla zona interna (prospiciente la telecamera) dei mezzi di trasporto. Più specificamente, tale dispositivo (annoverabile tra i c.d. video event data recorder), installato in modo "tale da non riprendere il conducente" e non attivabile da remoto (cfr. istanza 19.3.2012, p. 3), consente di:
a. effettuare la registrazione di immagini riferite allo spazio esterno – corrispondente approssimativamente allo "specchio visivo del conducente […], con visuale fissa, [e] lente grandangolare" – e a quello interno al veicolo. Le informazioni registrate sono progressivamente cancellate "sin tanto che il veicolo su cui l'apparecchio è montato non subisca una decelerazione od accelerazione tale da far ritenere lo stesso coinvolto in un sinistro stradale o in un evento significativo (frenata brusca, manovra improvvisa, ecc.)";
b. attivare il "salvataggio della registrazione" anche manualmente utilizzando un pulsante di emergenza collocato al lato del posto di guida.
Il dispositivo, "contestualmente alla memorizzazione delle registrazioni video", nei venti secondi antecedenti e successivi al verificarsi di un evento qualificato come significativo in base alle impostazioni dello stesso, provvede altresì alla memorizzazione delle seguenti informazioni: "accelerazione/decelerazione; deviazione della direzione a destra/sinistra; accelerazione/decelerazione zenitale (sobbalzo); velocità istantanea; localizzazione del veicolo con sistema GPS" (cfr. istanza cit., p. 4).
Il dispositivo è altresì predisposto per:
c. effettuare, contestualmente al verificarsi di ciascuno evento qualificato come significativo, la registrazione dell'audio mediante un microfono (disattivabile) "posizionato nella parte interna del corpo macchina" (cfr. Manuale d'uso Roadscan DTW, p. 9 e comunicazione 31.8.2012, p. 3);
d. attivare, mediante il sistema Gps (Global positioning system), la modalità denominata "Digital image tachonograf" (D.I.T.), che permette di "memorizzare e visualizzare su mappa tutti gli itinerari percorsi dai mezzi permettendone un'efficiente razionalizzazione" (cfr. Manuale d'uso Roadscan DTW, p. 19).
1.2. Secondo quanto prospettato:
a. il trattamento di dati personali in esame avrebbe lo scopo di "supportare la ricostruzione cinematica dei sinistri che coinvolgono gli autobus di proprietà di ATB" e quindi, "salvaguardare i beni patrimoniali dell'azienda da comportamenti fraudolenti posti in essere da terzi o dal proprio personale" nonché, indirettamente, "accrescere la sicurezza degli utenti e del personale dipendente" (cfr. istanza cit., p. 3). L'adozione di tale dispositivo contribuirebbe, infatti, alla ricostruzione della dinamica di eventuali sinistri o di eventi imprevisti occorsi ai mezzi di trasporto. Ciò potrebbe comportare il trattamento di dati riferiti ai soggetti a vario titolo coinvolti nell'evento (quali passeggeri trasportati, conducenti, anche di altri veicoli, pedoni etc.), per finalità di tutela dei diritti, anche in vista della produzione in giudizio degli elementi di prova costituiti dalle immagini e dei dati memorizzati;
b. le informazioni registrate potranno essere successivamente trattate sia estraendo dal dispositivo la scheda contenente le registrazioni, mediante una "apposita chiave di sicurezza", sia visualizzando le immagini corredate dagli ulteriori dati relativi ai parametri di guida sopra menzionati, sul PC di un incaricato del trattamento, "previa autenticazione informatica e mediante un sistema di autorizzazione messa in atto da parte del responsabile del trattamento o da persona da questo formalmente incaricata" (istanza cit., p. 4);
c. le operazioni di trattamento potranno essere effettuate unicamente da soggetti designati responsabili o incaricati del trattamento ai sensi degli artt. 29 e 30 del Codice (istanza cit., p. 4);
d. i dati raccolti potranno essere comunicati all'autorità giudiziaria o alla polizia giudiziaria che ne facciano richiesta. In caso di sinistro, copia della registrazione "relativa esclusivamente all'evento denunciato" potrà altresì essere comunicata alla compagnia assicurativa al fine di "supportare la ricostruzione cinematica dei sinistri che coinvolgono gli autobus […] e per consentire la determinazione del grado di responsabilità a carico del conducente" (istanza cit., p. 6);
e. le sole immagini registrate concernenti eventi significativi relativi a "sinistri da circolazione" verranno conservate per due anni, coincidente con il termine di prescrizione previsto dall'art. 2947, comma 2, cod. civ. (istanza cit., p. 1);
f. la società intende rendere l'informativa agli interessati, anche in forma semplificata, mediante un modello, da apporre sui propri mezzi, che ingloba un pittogramma recante (tra l'altro) la dizione "QUESTO AUTOBUS HA INSTALLATO UN DISPOSITIVO PER LA RICOSTRUZIONE DEGLI INCIDENTI" (cfr. allegati alla comunicazione del 3 settembre 2012).
2. Protezione dei dati personali, registrazione di immagini e localizzazione dei veicoli
2.1. Il funzionamento del dispositivo in esame comporta il trattamento di dati personali riferiti ad una pluralità di soggetti.
Le registrazioni acquisite, sia le immagini che gli ulteriori dati ad esse associati in corrispondenza del verificarsi di un evento ritenuto significativo, possono fornire informazioni, anzitutto, sul comportamento tenuto dal conducente del veicolo in un intervallo temporale precedente e successivo al verificarsi di eventi "anomali" pari, secondo quanto dichiarato, ai 20 secondi precedenti e 20 secondi successivi all'evento ovvero in corrispondenza dell'attivazione manuale del dispositivo (in tal senso, rispetto ai dati rilevati in occasione di sinistri da una società che gestisce linee di trasporto pubblico mediante analogo dispositivo di registrazione e trasmissione dei dati installato sui propri veicoli – c.d. event data recorder –, v. già Provv. 5 giugno 2008, in www.garanteprivacy.it, doc. web n. 1531604).
Ma, nel caso di specie, il trattamento di dati personali può altresì riguardare categorie ulteriori di soggetti a vario titolo coinvolti nell'evento oggetto di registrazione e riprodotti nelle immagini registrate: tali possono essere i passeggeri, i conducenti di altri veicoli o altre persone presenti sulla sede stradale.
A tali trattamenti, suscettibili di riguardare soggetti identificati o comunque identificabili, trova quindi applicazione la disciplina contenuta nel Codice e, ai sensi dell'art. 11, comma 1, lett. a) del Codice, dovranno altresì essere salvaguardate (come peraltro prefigurato dalla società istante) le garanzie previste a tutela dei lavoratori dall'art. 4 della legge n. 300/1970 (in merito, v. pure International Working Group on Data Protection in Telecommunications, Working Paper, Event Data Recorders (EDR) on Vehicles Privacy and data protection issues for governments and manufacturers, adottato il 4 aprile 2011, in http://www.datenschutz-berlin.de/attachments/795/675.42.10.pdf?1308146250).
3. Liceità, finalità, pertinenza e non eccedenza del trattamento effettuato attraverso il dispositivo "Roadscan DTW"
3.1. Le finalità del trattamento, così come rappresentate dalla società (v. punto 1.2), risultano lecite. Il dispositivo in esame – che, come visto, registra e, limitatamente ad eventi ritenuti significativi, conserva documentazione utile ai fini dell'accertamento di dinamiche e condotte connesse alla circolazione dei veicoli aziendali nello svolgimento del servizio di trasporto pubblico – consente, in base a quanto dichiarato, la ricostruzione della dinamica di eventuali sinistri e, quindi, il successivo utilizzo per finalità di tutela dei diritti dei dati rilevati come elementi di prova.
Sotto diverso profilo, con particolare riferimento alla finalità inizialmente dichiarata di "salvaguardare i beni patrimoniali dell'azienda da comportamenti fraudolenti posti in essere da terzi o dal proprio personale", la società ha precisato che le informazioni riferibili ai conducenti dei veicoli, conformemente a quanto previsto dall'art. 4, legge n. 300/1970, non saranno utilizzate per finalità di controllo a distanza dell'attività degli stessi, né "potranno essere utilizzati per provvedimenti disciplinari nei confronti del personale dipendente sia nel caso in cui si trovi alla guida del mezzo, sia nel caso in cui si trovi sull'autobus in qualità di trasportato" (comunicazione 31.8.2012, p. 1). In proposito, l'accordo stipulato dalla società con le rappresentanze sindacali in data 13 marzo 2012 (relativo, più in generale, all'utilizzo di sistemi di videosorveglianza), già prevede che, fatto salvo l'esito del presente procedimento di verifica preliminare davanti al Garante, le parti procederanno ad una sua integrazione con riferimento alle "modalità di trattamento dei […] dati mediante apposito allegato" (cfr. art. 14 dell'all. 2 all'istanza del 19.3.2012).
La società, come dalla stessa dichiarato, procederà quindi ad integrare l'accordo sindacale già concluso o comunque ad espletare le procedure previste dall'art. 4, secondo comma, della legge n. 300/1970.
3.2. Con riguardo all'osservanza dei principi di necessità nonché di pertinenza e non eccedenza (artt. 3 e 11, comma 1, lett. d), del Codice), il trattamento dei dati personali sopra indicati per la finalità di tutela dei diritti – rispetto al quale non è peraltro necessario il consenso degli interessati ai sensi dell'art. 24, comma 1, lett. f), del Codice – appare conforme al principio di liceità, anche in considerazione degli accorgimenti adottati in relazione alle riprese visive registrate rispetto alle quali, come dichiarato, la società:
a. limiterà l'angolazione di ripresa, escludendone il conducente del veicolo (v. punto 1.1);
b. predisporrà soluzioni tecniche affinché, in caso di utilizzo delle immagini per le finalità dichiarate, risultino offuscati "i volti dei soggetti non coinvolti" mediante un "preventivo intervento di face blurring attraverso un applicativo software" (comunicazione 31.8.2012, p. 2).
3.3. Limitatamente ai sinistri verificatisi, e nel perseguimento della finalità di tutela dei diritti, la società potrà comunicare i dati rilevati mediante il dispositivo in esame all'istituto assicuratore, ai sensi dell'art. art. 24, comma 1, lett. g), del Codice, anche in assenza del consenso degli interessati. Ciò per effetto del presente provvedimento che, in applicazione della disciplina sul c.d. bilanciamento di interessi, individua un legittimo interesse dell'assicuratore della responsabilità civile connessa circolazione di veicoli nei cui confronti possono essere fatti valere i diritti ai sensi degli artt. 144 ovvero 149, d. lg. 7 settembre 2005, n. 209 (Codice delle assicurazioni private).
3.4. Non risulta, invece, conforme a quanto disposto dall'art. 11 del Codice e, segnatamente, ai principi di liceità, pertinenza e non eccedenza, la raccolta e successiva registrazione delle riprese audio, in assenza di idonei e comprovati elementi (allo stato non desumibili in atti) circa la necessità del trattamento di tali ulteriori informazioni in relazione alle finalità perseguite, anche considerati i possibili riflessi penali della registrazione della voce delle persone a bordo del veicolo (cfr. artt. 617, 617 bis e 623 bis c.p.; in merito, con riferimento a registrazioni effettuate da telecamere corredate da sistema di ripresa audio, cfr. Provv. 4 ottobre 2012, doc. web n. 2066968; Provv. 2 ottobre 2008, doc. web n. 1581352).
3.5. Considerato che, da quanto risulta in atti, il dispositivo che si intende installare comporta comunque il trattamento di dati relativi alla localizzazione del veicolo, la società è tenuta a notificare il trattamento ai sensi dell'art. 37, comma 1, lett. a), del Codice.
3.6. Con riferimento alla rappresentata necessità di conservare i dati trattati per ventiquattro mesi, in relazione al termine previsto dall'art. 2947, comma 2, cod. civ. per far valere pretese connesse al verificarsi di danni prodotti dalla circolazione di veicoli, si ritiene che tale richiesta – valutata alla luce delle specifiche finalità connesse all'adozione del dispositivo in esame – non si ponga in contrasto con i principi di necessità, proporzionalità, finalità e correttezza posti dal Codice (artt. 3 e 11 del Codice). La società dovrà predisporre meccanismi di integrale cancellazione automatica delle informazioni allo scadere del termine previsto per la conservazione dei dati.
3.7. Si prende atto, infine, che la società ha dichiarato di non intendere attivare, al momento, la menzionata funzionalità D.I.T. (v. punto 1.1, lett. d) – che consente di "rilevare ogni 10 secondi la posizione e la velocità del mezzo" (istanza 19.3.2012, p. 5) –, la quale "potrà essere eventualmente gestita" nell'ambito di progetti orientati al miglioramento della sicurezza stradale e che comunque, in tale eventualità, i dati saranno trattati "in forma anonima e non utilizzat[i] per procedure disciplinari a carico del personale" (istanza cit., p. 5).
4. Correttezza nelle operazioni di trattamento e informativa degli interessati
4.1. Al fine di dare piena attuazione al principio di correttezza (art. 11, comma 1, lett. a), del Codice) i trattamenti in esame devono essere chiaramente riconoscibili agli interessati, i quali devono essere posti nella condizione di conoscere agevolmente le specifiche finalità perseguite dal titolare del trattamento, quali informazioni personali a loro riferite sono raccolte e registrate nonché la logica del trattamento effettuato.
La società deve pertanto rendere interamente "trasparenti" i trattamenti che intende effettuare mediante il dispositivo in esame tenendo conto delle diverse categorie di individui che possono risultarne interessati, enunciando chiaramente finalità e modalità del trattamento, in particolare in caso di sinistri.
A tal fine, una puntuale informativa, comprensiva di tutti gli elementi contenuti nell'art. 13 del Codice, dovrà essere fornita ai dipendenti della società, con particolare riferimento ai conducenti dei veicoli.
4.2. Del pari, adeguata informativa dovrà essere resa nei confronti dell'utenza e della collettività che pure potrebbe essere interessata dai trattamenti in esame. A tal fine, il Garante ritiene che, ai sensi dell'art. 13, comma 3, del Codice, debba essere utilizzato un modello semplificato di informativa:
a. inglobato in un pittogramma o una stilizzazione, di esplicita e immediata comprensione, al fine di informare gli interessati che, in corrispondenza di un sinistro, le immagini sono registrate dal titolare del trattamento e
b. collocato sui veicoli dotati del dispositivo in esame con formato e posizionamento tale da essere chiaramente visibile da parte degli interessati (anzitutto gli utenti del servizio, ma pure la collettività).
La società dovrà integrare l'informativa resa nella descritta forma semplificata, nei confronti della clientela, mediante apposita informazione relativa al trattamento in esame, dandone conto nella documentazione contenente le condizioni generali di contratto nonché, nell'interesse della generalità degli interessati, pubblicando una dettagliata descrizione dei trattamenti effettuati mediante al dispositivo in esame sul sito web istituzionale della società, con modalità tali da risultare chiaramente ed immediatamente visibile.
Il Garante auspica inoltre che, prima che i trattamenti in esame abbiano inizio, la società predisponga, anche mediante il proprio servizio di comunicazione con il pubblico, un'adeguata campagna informativa.
5. Adempimenti ulteriori e misure di sicurezza
5.1. Resta fermo che:
a. l'esame dei dati memorizzati in caso del verificarsi di un evento significativo dovrà essere consentito, per il perseguimento della finalità perseguita, ai soli responsabili o incaricati del trattamento con riguardo alla gestione dei sinistri designati ai sensi degli artt. 29 e 30 del Codice che possono prenderne legittimamente conoscenza, in ragione delle mansioni svolte o degli incarichi affidati;
b. gli interessati potranno esercitare i diritti di cui agli artt. 7 ss. del Codice in relazione ai dati personali che li riguardano rilevati mediante il dispositivo in esame. In presenza di una richiesta di accesso da parte dell'interessato oppure di richiesta da parte dell'autorità giudiziaria, la società potrà assicurare la disponibilità dei dati raccolti, evitandone l'automatica cancellazione alla scadenza del periodo di conservazione previsto;
c. dovranno essere adottate le misure di sicurezza previste dagli artt. 31 ss. del Codice al fine di preservare l'integrità dei dati trattati e prevenire l'accesso agli stessi da parte di soggetti non autorizzati. Il dispositivo utilizzato deve pertanto offrire una garanzia rigorosa di affidabilità ed integrità dei dati, anche sulla base di eventuali certificazioni od omologazioni. In questa cornice, la società deve farsi rilasciare dall'installatore, e conservare, l'attestato di cui alla regola n. 25 del disciplinare tecnico in materia di misure minime di sicurezza (Allegato "B" al Codice).
5.2. Restano salve le disposizioni che potranno essere adottate, sentito il Garante, ai sensi dell'art. 49, l. 29 luglio 2010, n. 120 (Disposizioni in materia di sicurezza stradale) nonché dell'art. 32, commi 1-bis e 1-ter, d.l. 24 gennaio 2012, n. 1 (Disposizioni urgenti per la concorrenza, lo sviluppo delle infrastrutture e la competitività), convertito con modifiche con l. 24 marzo 2012, n. 27.
TUTTO CIÒ PREMESSO IL GARANTE
a conclusione della verifica preliminare ai sensi dell'art. 17 del Codice relativa ai trattamenti descritti in narrativa che verranno effettuati da ATB Servizi s.p.a. mediante il dispositivo denominato "Roadscan DTW" per le finalità sopra indicate, prende atto delle operazioni di trattamento di dati personali dichiarate della società che potranno essere effettuate, fermo restando che:
1. la società, come dalla stessa dichiarato, dovrà procedere ad integrare l'accordo sindacale già concluso o comunque ad espletare le procedure previste dall'art. 4, secondo comma, della legge n. 300/1970 (punto 3.1);
2. il trattamento dei dati personali non dovrà avere ad oggetto le riprese audio (punto 3.4);
3. la società dovrà notificare al Garante il trattamento, con specifico riferimento ai dati relativi alla localizzazione (punto 3.5);
4. i dati raccolti in occasione di un sinistro potranno essere conservati sino alla scadenza del termine di prescrizione di eventuali azioni connesse al verificarsi di sinistri in occasione dell'effettuazione del servizio di trasporto pubblico. La società predisporrà meccanismi di integrale cancellazione automatica delle informazioni allo scadere del termine previsto per la conservazione dei dati (punto 3.6);
5. i dati relativi alla localizzazione, ove necessari nell'ambito di progetti orientati al miglioramento della sicurezza stradale, dovranno essere opportunamente anonimizzati ed utilizzati in forma aggregata (punto 3.7);
6. ai dipendenti della società, con particolare riferimento ai conducenti dei veicoli, unitamente agli elementi previsti dall'art. 13 del Codice, dovranno essere forniti compiuti ragguagli sulla natura dei dati trattati e sulle caratteristiche del dispositivo, tenuto conto della finalità mediante lo stesso perseguita (punto 4.1);
7. all'utenza e alla generalità dei soggetti che possono essere interessate dal trattamento in esame dovrà essere fornita, ai sensi dell'art. 13, comma 3, del Codice, un'informativa conforme al modello semplificato descritto in motivazione, al fine di rendere nota l'effettuazione di un trattamento di dati personali mediante rilevazione delle immagini in caso di sinistro (punto 4.2);
8. l'informativa resa nella descritta forma semplificata, dovrà essere integrata, nei confronti della clientela, mediante apposita informazione relativa al trattamento in esame, dandone conto nella documentazione contenente le condizioni generali di contratto nonché, nell'interesse della generalità degli interessati, pubblicando una dettagliata descrizione dei trattamenti effettuati mediante al dispositivo in esame sul sito web istituzionale della società, con modalità tali da risultare chiaramente ed immediatamente visibile (punto 4.2);
9. quale misura opportuna (ai sensi dell'art. 154, comma 1, lett. c), del Codice, prima che i trattamenti in esame abbiano inizio, la società dovrà predisporre un'adeguata campagna informativa (punto 4.2).
10. l'accesso ai dati trattati dovrà essere consentito ai soli soggetti che, in ragione delle mansioni svolte o degli incarichi affidati, possono prenderne legittimamente conoscenza (punto 5.1);
11. la società dovrà farsi rilasciare e conservare l'attestato di cui alla regola n. 25 del disciplinare tecnico in materia di misure minime di sicurezza (Allegato "B" al Codice) (punto 5.1).
Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.
Roma, 29 novembre 2012
IL PRESIDENTE
Soro
IL RELATORE
Califano
Fonte Garante Privacy
