Quali sono le parti interessate chiave del GDPR correlate alla video sorveglianza?

Quando si tratta di GDPR e video sorveglianza, esistono tre classi di parti interessate. Questa sezione del documento definisce ogni parte interessata e descrive le rispettive responsabilità rispetto al GDPR.

Interessato

L'interessato è qualsiasi persona i cui dati personali vengono raccolti, conservati o trattati.

Gli interessati sono gli oggetti visualizzati della video sorveglianza, sia intenzionali che accidentali.

Gli interessati sono anche qualsiasi persona registrata coinvolta nel funzionamento del VMS, ad esempio, operatori o guardie di terze parti nominate.

L'obiettivo chiave del GDPR è salvaguardare i dati personali di questi interessati.

Diritti dell'interessato

Gli articoli da 12 a 23 del GDPR riguardano i diritti dell'interessato.

  • Sezione 1: Trasparenza e modalità
    • Articolo 12: Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti dell'interessato
  • Sezione 2: Informazione e accesso ai dati personali
    • Articolo 13: Informazioni da fornire qualora i dati personali siano raccolti presso l'interessato
    • Articolo 14: Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l'interessato
    • Articolo 15: Diritto di accesso dell'interessato (vedere Diritto di accesso)
  • Sezione 3: Rettifica e cancellazione
  • Sezione 4: Diritto di opposizione e processo decisionale automatizzato relativo alle persone fisiche
    • Articolo 21: Diritto di opposizione
    • Articolo 22: Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione
  • Sezione 5: Limitazioni
    • Articolo 23: Limitazioni

Di questi, i diritti più pertinenti nel contesto di video sorveglianza sono:

Il diritto all'informazione (articoli da 12 a 14 e 34, GDPR )

L'articolo 12 riguarda trasparenza e modalità, mentre l'articolo 13 e 14 concerne informazioni e accesso ai dati personali. Questi articoli forniscono all'interessato la capacità di essere informato in merito a quali dati personali vengono raccolti e per quanto tempo vengono conservati. Nel contesto del VMS, vedere Appendice: Avviso sul posto.

L'articolo 34 fornisce all'interessato il diritto di essere informato in caso di una violazione dei dati se probabilmente determinerà un alto rischio per i diritti e le libertà dell'interessato stesso.

Il diritto di accesso (articolo 15, GDPR )

Questo diritto assegna all'interessato la capacità di ottenere l'accesso ai suoi dati personali in fase di trattamento, ad esempio, le sue videoregistrazioni.

All'interessato viene concesso il diritto di chiedere a un'azienda informazioni su quali dati personali che lo riguardano vengono trattati e il motivo di tale trattamento.

Il diritto alla cancellazione ("diritto all'oblio") (articolo 17, GDPR )

Questo diritto fornisce all'interessato la capacità di chiedere l'eliminazione dei suoi dati. Nel contesto del VMS, la cancellazione in base alle richieste dell'interessato è eccezionale dovuta agli interessi del titolare del trattamento e ai periodi di conservazione brevi. Vedere Appendice: Finalità e criteri della video sorveglianza ed Eliminazione parziale di registrazioni video in Appendice: Il sistema Milestone XProtect VMS e il GDPR.

Il diritto di opposizione (articolo 21, GDPR )

Questo diritto fornisce all'interessato la capacità di opporsi al trattamento dei suoi dati personali. Nel contesto del VMS, altri interessi come interessi legittimi (rilevamento delle frodi, salute e sicurezza), obbligo giuridico (contabilità, antiriciclaggio) o anche adempimento contrattuale (contratti di lavoro) potrebbero prevalere sugli interessi e sui diritti dell'interessato. In tutti i casi, ciò deve essere completamente trasparente in modo che l'interessato possa sapere e opporsi. Se l'interessato si oppone, il titolare del trattamento deve valutare l'obiezione o altrimenti potrebbe incorrere in una sanzione.

Richiesta dell'interessato

L'azienda deve disporre di una procedura per la gestione delle richieste dei diritti dell'interessato, ad esempio eseguire il diritto di richiesta di accesso. Tale richiesta deve essere gestita entro un intervallo di tempo ragionevole. In base all'articolo 12 (3) del GDPR, ciò avviene "senza indebito ritardo e in ogni caso entro un mese dal ricevimento della richiesta". Si consiglia di utilizzare un modello di richiesta dell'interessato per documentare tali richieste, poiché può essere essenziale in un caso del GDPR con le autorità nazionali di protezione dei dati. Per un modello di esempio di una richiesta dell'interessato, vedere il modello di richiesta dell'interessato di Milestone.

La Politica di video sorveglianza descrive la richiesta dell'interessato (consultare Appendice: Finalità e criteri della video sorveglianza).

Cosa sono i dati personali?

Per essere conformi al GDPR, occorre sapere cosa sono i dati personali e limitare la raccolta ai soli dati necessari.

Secondo la normativa, i dati personali sono qualsiasi informazione correlata a una persona identificata o identificabile.

Una persona identificabile è qualcuno che può essere identificato direttamente o indirettamente, per riferimento a un identificatore come:

  • Un nome
  • Un numero di identificazione
  • Dati posizione
  • Identificatore online come indirizzi IP o identificatore di cookie
  • Dati utente
  • Immagini video
  • O per uno o più fattori specifici dell'identità fisica, fisiologica, genetica, mentale, economica, culturale o sociale di tale persona

I dati personali sono qualsiasi tipo di informazione che direttamente o indirettamente può essere utilizzata per identificare una persona fisica (interessato). Sono i dati che possono essere utilizzati per identificare gli oggetti visualizzati della video sorveglianza, sia che si tratti di dati raccolti intenzionalmente che accidentalmente.

I dati personali protetti dal GDPR sono:

  • Dati trattati dal prodotto IT o dal servizio basato sull'IT (ad esempio, nome e indirizzo di una persona, immagine video, dati di pagamento, dati sanitari).
  • Dati generati accidentalmente quando viene utilizzato il prodotto o il servizio (ad esempio, dati sull'utilizzo, file di registro, dati statistici, dati per l'autorizzazione, dati di configurazione). Possono essere i dati personali degli utenti del servizio, i dati personali delle persone che utilizzano il prodotto o il servizio (possono includere sia il personale del fornitore di servizi che il personale degli utenti del prodotto o del servizio) o dati di configurazione pertinenti per la privacy (vedere Titolare del trattamento).

I dati personali sono definiti come qualsiasi informazione correlata a una persona fisica identificata o identificabile o l'interessato, ad esempio:

  • Nome completo
  • Indirizzo dell'abitazione
  • Indirizzo email
  • Numero di telefono
  • Dati posizione
  • Identità digitale
  • Targa del veicolo
  • Numero di patente del conducente
  • Numeri di carte di credito
  • Informazioni identificabili, immagini, ecc., come registrazioni video e fermi immagine
  • Attività utente, come quelle nei file di registro

Questi dati non sono necessariamente solo una relazione diretta con l'oggetto. I dati personali possono anche essere un quasi-identificatore. I quasi-identificatori sono parti di informazioni che non sono di per sé identificatori univoci ma sono sufficientemente ben correlati a qualcosa in modo da poterli unire con altri quasi-identificatori per creare un identificatore univoco. I quasi-identificatori sono particolarmente importanti quando si tratta di categorie speciali dei dati personali.

Le categorie speciali dei dati personali includono i dati che indicano origine razziale ed etnica, opinioni politiche, credi religiosi o filosofici, appartenenza a sindacati, dati genetici, dati biometrici, dati riguardanti lo stato di salute o dati relativi alla vita o all'orientamento sessuale, ad esempio:

  • Anamnesi
  • Dati biometrici (inclusi foto, video, impronte digitali)
  • Fedina penale
  • Identità razziale o etnica
  • Informazioni genetiche
  • Opinioni e impegni politici
  • Credi religiosi o filosofici
  • Storia e orientamento sessuali

Questi sono i dati personali potenzialmente raccolti da un sistema di video sorveglianza:

Quali tipi di descrizioni dei dati personali, memorizzati da XProtect, rientrano nell'ambito del GDPR?

I dati personali sono qualsiasi tipo di informazione che direttamente o indirettamente può essere utilizzata per identificare una persona fisica (interessato). Possono essere flussi di video sorveglianza, una singola immagine o una sequenza di video combinata con informazioni sull'ubicazione provenienti da telecamere e/o mappe a più livelli, un'integrazione di controllo accesso che identifica una carta d'accesso personale e che la combina con un'ubicazione specifica o dati derivanti dalla funzione di riconoscimento del numero di targa (License Place Recognition, LPR) con o senza eventuali dati sull'ubicazione.

Per categorie speciali dei dati personali si intende quando la video sorveglianza è vicina a ospedali (dati correlati alle informazioni sanitarie) e carceri (condanne penali), riguarda l'attività politica (appartenenza ad associazioni), l'attività religiosa o immagini che rivelano l'orientamento sessuale (ad esempio, locali gay).

Per dati personali si intendono anche i dati utente (operatore, supervisore e amministratore), attività e registrazione attività utente. Include i registri utente personali di XProtect Smart Client, comprese le etichette temporali di connessione/disconnessione e la registrazione attività utente di flussi video, audio o metadati a cui si è avuto accesso, nonché la riproduzione e l'esportazione delle registrazioni.

Per assicurarsi di non violare i diritti personali, vedere Rischi inerenti con l'uso del VMS.

Titolare del trattamento

Nel contesto della video sorveglianza, i titolari del trattamento possiedono e utilizzano i sistemi di video sorveglianza. I titolari del trattamento sono l'ente giuridico che raccoglie, tratta e condivide i dati sull'interessato.

Quali sono le responsabilità del titolare del trattamento

I titolari del trattamento sono tenuti a rispettare i principi di protezione dei dati e adempiere ad alcuni obblighi specifici. Il titolare del trattamento deve implementare misure tecniche e organizzative appropriate per garantire ed essere in grado di dimostrare che il trattamento venga eseguito in conformità al GDPR. Ciò include anche:

  • Applicazione e gestione di procedure e politiche di sicurezza delle informazioni per proteggere i dati personali. Tali procedure e politiche interne devono essere approvate al livello più alto all'interno dell'organizzazione e pertanto essere vincolanti per i tutti i membri del personale.
  • Visualizzazione di una panoramica dei flussi di trattamento e dei registri dei dati personali, ad esempio registro delle attività di trattamento (articolo 30, GDPR) e un elenco di sistemi e archivi che gestiscono i dati personali (il sistema VMS XProtect e altri sistemi che contengono dati personali come registri del personale, contratti del responsabile del trattamento, ecc., incluse informazioni su come e dove avviene il flusso dei dati personali). Per un modello di esempio di un Registro delle attività di trattamento, consultare il modello di Registro delle attività di trattamento.
  • Implementazione di meccanismi che eseguono procedure e politiche interne, incluse le procedure di reclamo, per rendere effettive tali politiche. Include la creazione di un corso di formazione di sensibilizzazione sulla protezione dei dati e istruzioni per il personale. Il corso di formazione di sensibilizzazione è disponibile all'indirizzo https://www.milestonesys.com/solutions/services/learning-and-performance/.
  • Definizione della Politica di video sorveglianza (consultare Appendice: Finalità e criteri della video sorveglianza). Questa politica deve fare riferimento alle leggi interne sulla video sorveglianza.
  • Esecuzione delle valutazioni dell'impatto sulla protezione dei dati, in particolare per alcune operazioni di trattamento dei dati ritenute in grado di porre rischi specifici per i diritti e le libertà degli interessati, ad esempio, in virtù delle loro natura, del loro ambito o della loro finalità (Appendice: Valutazione dell'impatto sulla protezione dei dati).
  • Garanzia della trasparenza di queste misure adottate relativamente agli interessati e al pubblico in generale. I requisiti di trasparenza contribuiscono alla responsabilità dei titolari del trattamento (ad esempio, pubblicazione delle informative sulla privacy su Internet, trasparenza relativa alle procedure di reclami interne e pubblicazione in report annuali).
  • Pubblicazione dell'informativa del diritto all'informazione (consultare Appendice: Avviso sul posto). Questa informativa informa gli individui interessati dalla finalità della sorveglianza, chi conserva i dati raccolti (titolare del trattamento) e la politica di conservazione.
  • Assegnazione della responsabilità della protezione dei dati alle persone designate con responsabilità diretta della conformità alle leggi sulla protezione dei dati da parte delle loro organizzazioni. In particolare, nominare il responsabile della protezione dei dati (RDP).

Responsabile della protezione dei dati (RDP)

Ogni organizzazione deve disporre di un RPD incaricato o almeno un responsabile per la privacy assegnato.

Dall'inizio, i piani per installare o aggiornare un sistema di video sorveglianza devono essere comunicati all'RPD.

L'RPD deve essere consultato in tutti i casi e in maniera tempestiva per tutte le questioni correlate alla protezione dei dati personali trattati quando viene fornito o utilizzato il servizio.

L'RPD deve essere coinvolto in tutte le fasi del processo decisionale.

Le responsabilità dell'RPD includono:

  • Partecipare alla definizione della finalità aziendale della video sorveglianza, ad esempio, prevenzione del crimine, rilevazione di frodi, verifica della qualità del prodotto o salute e sicurezza a livello pubblico e così via.
  • Fornire commenti sulla bozza della Politica di video sorveglianza dell'organizzazione, inclusi gli allegati (consultare Appendice: Finalità e criteri della video sorveglianza) e correggere eventuali errori e suggerire miglioramenti
  • Assistere nelle comunicazioni con le autorità di protezione dei dati nazionali o regionali
  • Controllare i contratti con terze parti durante la condivisione di dati. Ossia, mantenimento e gestione del contratto del responsabile del trattamento (vedere Appendice: Contratto del responsabile del trattamento)
  • Stilare report di conformità ed eseguire verifiche per ottenere la certificazione di terze parti che approva le misure interne adottate per garantire che la conformità gestisca, protegga e tuteli i dati personali in maniera efficiente
  • Memorizzare e assicurarsi che il registro delle attività di trattamento e le valutazione dell'impatto sulla protezione dei dati (vedere Appendice: Valutazione dell'impatto sulla protezione dei dati) vengano aggiornati ogni volta che vengono apportate al VMS modifiche pertinenti alla protezione dei dati. Per un modello di esempio di un Registro delle attività di trattamento, consultare il modello di Registro delle attività di trattamento.

Ruolo dei titolari del trattamento

Le seguenti sezioni descrivono le responaibilità dei rispettivi titolari del trattamento:

Funzionario di sicurezza (supervisore del VMS)

I supervisori o i funzionari di sicurezza sono responsabili dell'applicazione di un ambiente conforme al GDPR. I funzionari di sicurezza devono:

Gestione delle autorizzazioni dell'utente

Chi deve accedere alle risorse del VMS

Le organizzazioni devono:

  • Limitare l'accesso utente a un numero ridotto di individui chiaramente identificati in base alla necessità di conoscere.
  • Gestire i registri di attività e accessi utente.

Le autorizzazioni di accesso devono essere limitate a un numero ridotto di individui chiaramente identificati in base alla rigorosa necessità. Assicurarsi che gli utenti autorizzati possano accedere solo ai dati a cui le autorizzazioni di accesso si riferiscono. I criteri di controllo accesso devono essere definiti seguendo il principio del “privilegio minimo”: l'autorizzazione di accesso deve essere concessa agli utenti solo per quelle risorse che sono strettamente necessarie per svolgere i loro compiti.

Durante la condivisione di un computer, Milestone consiglia agli operatori del VMS di non condividere l'account di accesso in Windows. Ciascun operatore deve disporre di un account individuale.

Inoltre, gli operatori del VMS non devono selezionare l'opzione che consente di memorizzare la password al momento di accedere al sistema VMS.

Solo il funzionario di sicurezza, l'amministratore di sistema o altri membri del personale specificamente nominati dal funzionario di sicurezza per questa finalità devono essere in grado di concedere, modificare o annullare le autorizzazioni di accesso di eventuali persone. Qualsiasi concessione, alterazione o annullamento delle autorizzazioni di accesso deve avvenire secondo i criteri stabiliti nella Politica di video sorveglianza (consultare Appendice: Finalità e criteri della video sorveglianza).

Le persone che dispongono di autorizzazioni di accesso devono sempre essere individui chiaramente identificabili. Ad esempio, non devono essere allocati nomi utente e password generici o comuni a una società di sicurezza esternalizzata che impiega diverse persone per lavorare per l'organizzazione.

La Politica di video sorveglianza deve chiaramente specificare e documentare l'architettura tecnica del sistema di video sorveglianza, chi ha accesso al video di sorveglianza e per quale finalità e in cosa consistono tali autorizzazioni di accesso. In particolare, occorre specificare chi ha l'autorizzazione di:

  • Visualizzare o accedere al video in tempo reale
  • Azionare le telecamere PTZ (Pan/Tilt/Zoom)
  • Visualizzare o accedere al video registrato
  • Esportare registrazioni e audit trail
  • Eliminare o rimuovere dispositivi (telecamere) ed eliminare eventuali registrazioni
  • Alterare eventuali dati dopo la configurazione iniziale

Inoltre, è necessario assicurarsi che solo coloro che necessitano dell'accesso alle seguenti funzioni del VMS ottengano queste autorizzazioni:

  • Amministrare il VMS
  • Creare/Modificare/Visualizzare/Eliminare i segnalibri
  • Creare/Modificare/Visualizzare/Eliminare le protezioni prove
  • Rimuovere maschere privacy
  • Esportare nei percorsi definiti (ad esempio, esportare solo il formato XProtect, con crittografia, su un'unità condivisa)
  • Leggere i registri attività utente
  • Avviare/Arrestare la registrazione
  • Creare/Modificare/Eliminare/Attivare/Bloccare/Rilasciare le preimpostazioni PTZ
  • Creare/Modificare/Eliminare/Avviare/Arrestare gli schemi di ronda PTZ
  • Autorizzazioni per audio, metadati, I/O ed eventi

Formazione sulla protezione dei dati

Tutto il personale con autorizzazioni di accesso, incluso il personale esternalizzato che svolge le operazioni CCTV giornaliere o la manutenzione del sistema, deve seguire un corso di formazione sulla protezione dei dati e deve aver acquisito familiarità con le disposizioni del GDPR nella misura pertinente ai suoi compiti. La formazione deve prestare particolare attenzione alla necessità di impedire la divulgazione del video di sorveglianza a chiunque diverso da individui autorizzati.

La formazione del personale è obbligatoria e deve includere:

  • Sicurezza informatica
  • Esportazione dei dati del VMS
  • Video push

La formazione deve tenersi quando viene installato un nuovo sistema, quando vengono apportate modifiche significative al sistema, quando un nuovo dipendente entra a far parte all'organizzazione e periodicamente successivamente a intervalli regolari. Per i sistemi esistenti la formazione iniziale deve tenersi durante il periodo di transizione e periodicamente successivamente a intervalli regolari.

Per ulteriori informazioni sul GDPR per l'operatore del VMS, vedere la Guida alla privacy in base al GDPR di Milestone per operatori del VMS e il corso di e-learning sul GDPR (Regolamento generale sulla protezione dei dati) di Milestone per operatori del VMS.

Amministratore di sistema del VMS

Gli amministratori di sistema sono responsabili della configurazione dell'ambiente di sistema conforme al GDPR. Gli amministratori di sistema, tra le altre cose, svolgono quanto segue:

  • Applicare e mantenere un livello di sicurezza generale alto. Per ulteriori informazioni su come proteggere le installazioni XProtect VMS dagli attacchi informatici, consultare la Guida al rafforzamento.
  • Applicare un criterio per garantire la sicurezza della password
  • Condurre verifiche della sicurezza
  • Assicurarsi che i dispositivi registrino in base alla finalità definita, ad esempio, in base a evento, movimento, sempre attivi e così via
  • Assicurarsi che il periodo di conservazione dei registri attività utente e delle registrazioni sia impostato in base alle legge locale e alla finalità definita del VMS
  • Garantire la gestione degli utenti (aggiungere o rimuovere utenti)
  • Assicurarsi, per quanto riguarda le telecamere, di seguire le leggi sulla privacy e di non registrare le aree con divieto di registrazione; mascherare tali aree per escluderle
  • Contattare il responsabile della protezione dei dati (RPD) se si sospetta una non conformità al GDPR, ad esempio, nel caso di una violazione dei dati dei materiali video (vedere Appendice: Conformità al GDPR)

Operatore del VMS

Gli operatori del VMS devono seguire le procedure e le istruzioni di lavoro durante l'accesso ai dati nel sistema, ad esempio, durante la visualizzazione o l'esportazione di video e così via.

Per essere conformi al GDPR, gli operatori devono disporre di quanto segue:

  • Una descrizione generale del GDPR e le regole per l'esportazione dei dati
  • Formazione sul GDPR

    Gli operatori devono disporre di formazione adeguata sul sistema di video sorveglianza per garantire che la privacy e altri diritti fondamentali degli interessati ripresi dalle telecamere non vengano violati. Devono essere istruiti in merito a quali Politiche di video sorveglianza definire (ad esempio, procedure di consegna delle prove video), chi contattare in caso di dubbi (persone da contattare per l'escalation come il supervisore o il responsabile della protezione dei dati) e così via (consultare Funzionario di sicurezza (supervisore del VMS)).

    Per ulteriori informazioni sul GDPR per l'operatore del VMS, vedere la Guida alla privacy in base al GDPR di Milestone per operatori del VMS e il corso di e-learning sul GDPR (Regolamento generale sulla protezione dei dati) di Milestone per operatori del VMS.

Gestione dei dati esportati

L'esportazione viene eseguita quando si è verificato un incidente che richiede la condivisione della prova con le autorità. Se si dispone delle autorizzazioni utente per esportare la prova, si ha la responsabilità nel gestirla. Il motivo per cui sono dati sensibili è dovuto sia al contenuto sia al fatto che i dati escono dal sistema di sorveglianza. Molto probabilmente, si è verificato un incidente che può coinvolgere l'attività criminale. Potrebbero esserci anche dettagli privati sensibili nella prova. Quando si esportano, i dati vengono di solito memorizzati su un supporto di memorizzazione rimovibile dello stesso tipo (unità USB, disco ottico, ecc.).

Se tali dati finiscono nelle mani sbagliate, la privacy degli interessati nella prova andrebbe persa.

Occorre una procedura chiara per l'esportazione della prova, che includa:

  • Chi può esportare la prova
  • Dove viene conservata la prova finché non viene consegnata alle autorità
  • Chi dispone dell'accesso
  • Quali formati si devono utilizzare
  • Se deve essere applicata la crittografia (fortemente consigliata)
  • Quando viene distrutta la prova

I titolari del trattamento devono adottare misure tecniche e organizzative per proteggere i dati che escono da Milestone XProtect VMS. Tali misure potrebbero essere:

  • Limitare l'autorizzazione per esportare video e registri attività utente solo al personale speciale
  • Considerare la crittografia dei dati prima o dopo la loro esportazione
  • Applicare maschere privacy prima di esportare i dati video, laddove appropriato
  • Proteggere fisicamente i supporti rimovibili con i dati personali in essi contenuti
  • Stabilire politiche per garantire che i dati personali vengano eliminati dai supporti in base al periodo di conservazione
  • Tenere un registro di supporti rimovibili; chi ha esportato quali dati nei supporti? A chi sono stati inoltrati o per quale finalità? Il destinatario è stato informato di distruggere i supporti o di tornarvi dopo che la finalità è stata raggiunta? Ecc.
  • Utilizzare criteri di gruppo Windows per disabilitare le porte USB o l'accesso ai supporti sui PC client
  • Monitorare i registri attività utente per eventi di esportazione non autorizzati
  • Far rispettare ai dipendenti la politica sulla protezione dei dati
  • Purificare correttamente i supporti o eliminarli fisicamente se la purificazione non è possibile (ad esempio, DVD)

Qualora sia necessario oscurare parti della visuale di una telecamera da una sequenza video che verrà condivisa con terzi, l'operatore VMS dovrebbe utilizzare la funzione di esportazione da Smart Client anziché da XProtect Web Client, poiché XProtect Web Client non supporta la mascheratura privacy.

Per ulteriori informazioni sulla gestione delle esportazione dei dati, vedere il corso di e-learning del GDPR di Milestone per operatori del VMS.

Gestione dei dati esportati nelle notifiche ed e-mail

Oltre alle esportazioni, i dati possono essere estratti dal VMS anche tramite allegati alle notifiche. Le notifiche sono messaggi e-mail inviati all'indirizzo e-mail specificato. Durante la creazione di una notifica, l'amministratore può scegliere di includere una serie di istantanee o un'AVI di una sequenza. Poiché le istantanee e le sequenze AVI allegate presenti nelle notifiche escono dal VMS, sono fuori del controllo del VMS per quanto riguarda l'accesso utente e la conservazione. Si consiglia di non allegare immagini o sequenze AVI alle notifiche e-mail. Se sono necessari allegati, occorre almeno assicurarsi che esistano procedure e controlli organizzativi per chi riceve i messaggi e-mail e per come vengono gestiti.

Gli operatori del VMS che usano un dispositivo mobile devono essere consapevoli che le gallerie multimediali sui propri dispositivi possono essere memorizzate con back-up automatici sui server di Google o di Apple, se l'opzione è configurata sul dispositivo. In questo caso, qualora il dispositivo contenesse immagini di persone fisiche identificabili potrebbe verificarsi un illegittimo trasferimento dei dati verso un paese terzo.

Per regolare la situazione, si dovranno forzare le dovute politiche di privacy e sicurezza sul software Mobile Device Management (MDM) e stabilire protezioni come indicato in Criteri per proteggere l'uso dei dispositivi mobili.

Oltre a tutto questo bisognerà implementare un processo chiaro per quanto riguarda le:

  • Dove vengono conservati i dati

    Assicurarsi che i server e-mail di invio e ricezione siano sotto il controllo dell'organizzazione che è il titolare del trattamento/responsabile del trattamento della video sorveglianza. In particolare, i destinatari non devono essere account e-mail gratuiti come Gmail o Hotmail e così via.

  • Chi dispone dell'accesso

  • Quali formati si devono utilizzare

  • Se deve essere applicata la SMTP crittografia?

    Utilizzare un server di posta SMTP/SMTPS. È necessario crittografare la connessione tra il VMS e i server di posta in uscita, nonché tra i server SMTP di invio e ricezione.

  • Quando vengono distrutti i dati

    Milestone consiglia di allineare il periodo di conservazione dei dati video nelle caselle postali in uscita e in entrata con il periodo di conservazione del database di supporti o con il periodo di conservazione di allarmi che potrebbero essere attivati dagli stessi eventi che hanno causato la notifica.

    Il periodo di conservazione nelle caselle postali deve essere limitato a un periodo che sia ragionevole per la finalità alla base del processo di notifica.

    Milestone consiglia di utilizzare solo caselle postali del titolare del trattamento/responsabile del trattamento e di configurare l'eliminazione automatica dei messaggi e-mail al termine del periodo di conservazione definito.

    I titolari del trattamento/responsabili del trattamento devono assicurarsi che queste caselle postali non vengano automaticamente archiviate dal sistema e-mail.

Considerazioni sulla protezione prove

Grazie alla funzionalità di protezione prove, gli operatori del cliente possono proteggere le sequenze video dall'eliminazione, ad esempio se necessario durante un'indagine o un processo.

Quando i dati sono protetti non possono essere eliminati, né automaticamente dal sistema allo scadere del tempo di conservazione predefinito, né in altre situazioni, e neanche manualmente dagli utenti del cliente. Né il sistema né gli utenti potranno eliminare i dati fintanto che un utente dotato di autorizzazioni sufficienti non sbloccherà la protezione.

Le registrazioni devono essere protette solo finché vi è un motivo valido per conservarle, ad esempio un'indagine in corso. La conservazione delle registrazioni a tempo indeterminato è in conflitto con il GDPR.

Considerazioni sul video push

Il video push consente all'operatore di eseguire lo streaming di video live da uno smartphone al VMS.

È probabile che il video push sia più invadente dei sistemi di sorveglianza fissi più standard a causa della sua mobilità.

Prima di decidere di utilizzare un sistema con questa funzionalità, è importante giustificarne l'utilizzo e considerare se è proporzionato o meno, necessario e soddisfa un'esigenza sociale urgente. Si consiglia di eseguire una valutazione dell'impatto sulla protezione dei dati per dimostrare che questo è il caso. Consultare Appendice: Valutazione dell'impatto sulla protezione dei dati.

Quando si utilizzano i dispositivi con funzionalità di video push, è importante sapere quando registrare o meno. È anche importante utilizzare questi dispositivi solo all'interno di strutture definite dell'installazione di video sorveglianza, ossia l'area coperta con la segnaletica. Pertanto è importante che venga visualizzata una segnaletica chiara, ad esempio sull'uniforme di una persona, per mostrare come avviiene tale registrazione.

Gli operatori che utilizzano questi dispositivi devono seguire un corso di formazione su dove questa funzione può essere utilizzata e su come rispettare la privacy delle persone registrate con video push, ad esempio evitando di registrare le persone in situazioni private o vulnerabili. Consultare Formazione sulla protezione dei dati.

Violazione dei dati personali

Il GDPR definisce una "violazione dei dati personali" come "violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o comunque elaborati".

Nel caso di una violazione della sicurezza, l'RDP deve determinare se avvisare l'autorità di protezione dei dati e gli interessati coinvolti, ai sensi degli articoli 33 e 34 del GDPR.

Ai sensi dell'articolo 33 (1) del GDPR:

Nel caso di una violazione dei dati personali, il titolare del trattamento senza eccessivo ritardo e, laddove possibile, non oltre 72 ore dal momento in cui ne è venuto a conoscenza, comunicherà la violazione dei dati personali all'autorità di controllo competente ai sensi dell'articolo 55, a meno che non risulti improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche. Laddove la notifica all'autorità di controllo non sia stata presentata entro 72 ore, sarà accompagnata dai motivi del ritardo.

Se ritenuto necessario, il titolare del trattamento deve pubblicare la notifica di violazione dei dati entro 72 ore dall'avvenuta rilevazione della violazione (consultare Violazione dei dati personali). Per un modello di esempio di una notifica di violazione dei dati, vedere il modello di notifica di violazione dei dati di Milestone. Gli interessati devono essere avvisati anche se la violazione dei dati personali "probabilmente determinerà un alto rischio per i diritti e le libertà degli individui".

I responsabili del trattamento che subiscono una violazione dei dati personali devono avvisare il titolare del trattamento, ma altrimenti non hanno altro obbligo di notifica o segnalazione ai sensi del GDPR.

Per informazioni sulle altre responsabilità dell'RPD, vedere Titolare del trattamento.

Responsabile del trattamento

Se un'organizzazione ha esternalizzato tutte o parte delle attività di video sorveglianza a una terza parte (un responsabile del trattamento), deve comunque conformarsi al GDPR come titolare del trattamento. Ad esempio, gli addetti alla sicurezza che si occupano del monitoraggio della video sorveglianza live nell'area della reception di un'organizzazione che lavora per privati a cui l'organizzazione ha esternalizzato il compito del monitoraggio live. In questo caso, l'organizzazione deve assicurarsi che gli addetti alla sicurezza svolgano le loro attività in conformità al GDPR.

Per essere conformi al GDPR, i responsabili del trattamento di terze parti (escluse le forze dell'ordine) devono: