Richieste di filmati CCTV secondo il GDPR: polizia, assicurazioni e diritto di accesso

Prima o poi, qualcuno ti chiederà le tue riprese CCTV. Potrebbe essere un agente di polizia che indaga su un'effrazione, un'assicurazione che elabora un sinistro, un avvocato che costruisce un caso, o semplicemente un cliente che vuole vedersi camminare nel tuo negozio. Ognuna di queste richieste è governata da una parte diversa del GDPR, e l'errore più comune in assoluto è trattarle tutte allo stesso modo: consegnare il file grezzo ed esporre ogni passante che si è trovato per caso nell'inquadratura.

Avvertenza legale: Questo contenuto è fornito a soli fini informativi generali e non costituisce consulenza legale. Le normative e le linee guida delle autorità di controllo variano a seconda della giurisdizione e si evolvono nel tempo. Consulta sempre un professionista legale o un esperto di protezione dei dati qualificato per ricevere consulenza specifica alla tua situazione.

TL;DR

• Richieste della polizia: in genere puoi divulgare senza consenso su una base giuridica (obbligo legale o legittimo interesse nella prevenzione del reato). Ottieni la richiesta per iscritto, condividi solo la finestra rilevante, registrala. La divulgazione della clip completa alla polizia è di solito accettabile: ciò che conta è la verifica, non la redazione.
• Richieste di accesso dell'interessato (articolo 15): chi è stato ripreso ha diritto a una copia delle riprese di se stesso. Hai un mese per rispondere. L'articolo 15, paragrafo 4, richiede di oscurare ogni altra persona identificabile prima della divulgazione: è la parte su cui le organizzazioni sbagliano di più.
• Assicurazioni, avvocati e altri soggetti privati: nessun diritto automatico alle riprese. Serve il consenso, una base giuridica legittima per la richiesta, o un'ordinanza del tribunale, e dovresti comunque minimizzare e oscurare i terzi.
• Esportare e oscurare a mano è il punto in cui la maggior parte delle piccole organizzazioni si blocca. Anonimizza automaticamente le riprese CCTV: rileva volti e targhe, mantieni visibile la persona giusta, pixela tutti gli altri.

Non tutte le richieste sono la stessa richiesta

Se gestisci una telecamera qualsiasi che cattura persone identificabili (l'ingresso di un negozio, l'atrio di un ufficio, una baia di carico di un magazzino, un complesso residenziale), sei, secondo il GDPR, un titolare del trattamento per quelle riprese. Questo status non crea solo obblighi su come registri e conservi il video; crea obblighi ogni volta che qualcuno ti chiede di consegnarlo.

I tre tipi di richiesta che incontrerai davvero sono:

1. Le forze dell'ordine, che indagano su un reato o un incidente.
2. La persona che compare nelle riprese, che esercita il proprio diritto di accesso.
3. Un terzo privato (un'assicurazione, un avvocato, un datore di lavoro, un vicino) che vuole le riprese per un sinistro, una controversia o un'indagine.

La base giuridica, la scadenza e il tuo obbligo di redazione sono diversi per ciascuno di essi. Sbaglia la categorizzazione e finirai per divulgare troppo (esponendo illecitamente i dati dei passanti) o troppo poco (mancando un obbligo di legge). Per il quadro di riferimento generale (base giuridica, conservazione, segnaletica e DPIA), consulta la nostra guida a GDPR e videosorveglianza: obblighi di conformità.

Richieste della polizia e delle forze dell'ordine

Questo è il caso di cui gli operatori CCTV si preoccupano di più e che comprendono meno. In pratica, è solitamente il più semplice.

In genere puoi divulgare le riprese alla polizia senza il consenso delle persone che vi compaiono, basandoti su una di due basi giuridiche previste dall'articolo 6 del GDPR:

• Obbligo legale (articolo 6, paragrafo 1, lettera c): se un'ordinanza di esibizione formale, un mandato o uno specifico obbligo di legge impongono la divulgazione, devi conformarti.
• Legittimo interesse (articolo 6, paragrafo 1, lettera f): per una richiesta investigativa informale ma genuina, sia il tuo interesse sia quello della polizia nella prevenzione o nell'indagine di un reato giustificano tipicamente la condivisione delle riprese rilevanti, a condizione che sia proporzionata.

Buona prassi, non solo minimo legale:

• Ottieni la richiesta per iscritto, identificando l'agente richiedente, il numero di pratica o di riferimento, e il motivo per cui servono le riprese.
• Condividi solo la finestra temporale e le telecamere effettivamente rilevanti, non la registrazione di un'intera giornata perché è più facile da esportare.
• Registra la divulgazione: data, agente, descrizione delle riprese, base giuridica invocata.

Non sei generalmente tenuto a oscurare i passanti prima di consegnare le riprese alla polizia per uno scopo investigativo lecito e documentato: una clip integrale e non modificata è spesso ciò che la rende utile come prova. L'obbligo su cui le persone inciampano qui non è la redazione, è la verifica: conferma che la richiesta sia autentica (una telefonata da qualcuno che afferma di essere un agente, senza alcun riscontro scritto, non basta) prima di divulgare qualsiasi cosa. Se operi nel Regno Unito, la stessa logica si applica quasi identicamente secondo il UK GDPR e le linee guida dell'ICO.

Richieste di accesso dell'interessato: quando è la persona nelle riprese a chiedere

Questo è il tipo di richiesta che causa davvero grattacapi operativi, e vale la pena rallentare su questo punto.

L'articolo 15 del GDPR dà a chiunque tratti i suoi dati personali (incluso chiunque il cui volto compaia nel tuo CCTV) il diritto di ottenerne una copia. Se un cliente, un dipendente o un passante chiede "posso avere le riprese di me di martedì pomeriggio," quella è una richiesta formale di accesso dell'interessato (SAR), che usi o meno quella frase esatta.

Da questo derivano due conseguenze:

Il termine di un mese parte immediatamente. L'articolo 12, paragrafo 3, ti dà un mese di calendario per rispondere dal giorno in cui arriva la richiesta, prorogabile fino a due mesi aggiuntivi solo per richieste complesse o ad alto volume, e devi informare il richiedente della proroga entro il primo mese, con una motivazione. "Ce ne occuperemo prima o poi" non è conforme.

L'articolo 15, paragrafo 4, è l'obbligo che conta di più. Il diritto di accesso non deve "pregiudicare i diritti e le libertà altrui." Una singola clip di venti minuti da una telecamera del piano vendita può facilmente contenere decine di altri clienti, oltre al personale che svolge le proprie mansioni, nessuno dei quali ha acconsentito a essere divulgato a un terzo. Non puoi legalmente consegnare una clip grezza che li identifica solo perché una persona al suo interno ha diritto ai propri dati.

In pratica questo significa: prima di rilasciare le riprese, devi individuare e oscurare ogni altra persona identificabile nell'inquadratura (volti e qualsiasi altro elemento che la identifichi), lasciando intatta l'immagine del richiedente. È esattamente il punto in cui la redazione manuale diventa un vero collo di bottiglia. Un'esportazione multi-telecamera di venti minuti può contenere centinaia di passanti in un pomeriggio affollato; sfocarli uno per uno, fotogramma per fotogramma, in un editor video generico è una giornata di lavoro per una richiesta a cui sei legalmente obbligato a rispondere entro un mese.

Assicurazioni, avvocati e altri soggetti privati

A differenza della polizia, un'assicurazione, la controparte legale o un investigatore privato non hanno alcun diritto automatico alle tue riprese CCTV. Ti serve una di queste:

• Consenso esplicito delle persone i cui dati verrebbero divulgati (raramente praticabile per i passanti).
• Una legittima pretesa legale, in cui condividere le riprese è necessario per accertare, esercitare o difendere quella pretesa.
• Un'ordinanza del tribunale o un procedimento legale formale che impone la divulgazione.

Anche quando si applica una di queste, lo stesso principio di minimizzazione dei dati dell'articolo 15, paragrafo 4, è buona prassi anche qui: condividi solo la finestra temporale rilevante, e oscura chiunque non sia parte della pretesa a meno che non ci sia una ragione specifica per cui debba restare visibile (ad esempio, è un testimone rilevante per la controversia). Tratta queste richieste con più scrupolo di un'indagine di polizia, non meno: un privato che chiede riprese di videosorveglianza è un vettore comune per chi va a pesca di informazioni a cui non ha diritto.

Come rispondere a una richiesta di riprese CCTV

Il flusso di lavoro ha la stessa forma indipendentemente da chi chiede; cambia solo la decisione di redazione.

1. Verifica l'identità e la base giuridica del richiedente. Conferma chi sta chiedendo e perché prima di toccare il registratore. Le richieste della polizia dovrebbero arrivare con un numero di pratica; le SAR richiedono la verifica dell'identità contro le riprese; assicurazioni e avvocati devono dimostrare il consenso, una base per la pretesa, o un'ordinanza.
2. Individua le riprese ed esporta solo la finestra rilevante. Recupera il canale della telecamera specifico e l'intervallo temporale. Un'esportazione più ristretta significa meno persone da oscurare e meno esposizione se qualcosa va storto a valle.
3. Identifica ogni terzo e dettaglio identificativo nell'inquadratura. Volti, targhe, badge, schermi, qualsiasi cosa identifichi qualcuno che non è il richiedente.
4. Oscura chiunque non abbia diritto a comparire. Pixela i passanti per una SAR mantenendo visibile il richiedente; oscura tutti i terzi per impostazione predefinita per assicurazioni, avvocati e altre richieste private.
5. Consegna il file in modo sicuro e registra la divulgazione. Nessun link aperto o email non cifrata per qualsiasi cosa contenga dati personali. Registra cosa hai condiviso, con chi, su quale base e quando.
6. Applica la tua politica di conservazione alle copie di lavoro. Una volta completata la divulgazione, elimina i file esportati e oscurati secondo il periodo di conservazione documentato: non lasciare che esportazioni ad hoc si accumulino fuori dalle tue normali regole di archiviazione CCTV.

Dove si inserisce Medianonymizer

Il passaggio 4 è quello che blocca la maggior parte delle piccole organizzazioni, perché "sfoca ogni passante tranne una persona, fotogramma per fotogramma, su una clip multi-telecamera in movimento" è esattamente il tipo di compito che crolla in un editor video generico.

L'anonimizzatore CCTV di Medianonymizer è costruito per quel lavoro specifico. Carica la tua clip esportata in un formato video comune, e l'IA rileva volti, targhe e testo a schermo in ogni fotogramma automaticamente. Rivedi i rilevamenti in un'anteprima, poi scegli la redazione selettiva: mantieni intatti i movimenti del richiedente e pixela tutti gli altri, oppure sfoca ogni persona identificabile se la divulgazione lo richiede. L'output è deterministico (i pixel segnalati vengono ri-codificati e distrutti, non coperti da un overlay che potresti rimuovere in seguito), il che conta se un giorno un'autorità di controllo chiede come è stata effettuata la redazione. Non serve alcun account, paghi per file (video da 4,99 €), e gestisce esportazioni lunghe (registrazioni fino a circa due ore) senza che tu debba toccare una timeline o un fotogramma chiave.

Questo non sostituisce la valutazione su chi ha diritto a cosa. Sostituisce il mascheramento manuale fotogramma per fotogramma che rende l'obbligo di redazione impossibile da rispettare entro una scadenza di un mese. Per lo stesso ragionamento applicato alla condivisione di riprese più ampia (con la stampa, in divulgazioni in stile FOIA, o per la formazione), consulta come anonimizzare video di sorveglianza CCTV.

Integra la procedura di richiesta nella tua politica CCTV

Una procedura per le richieste di riprese non dovrebbe essere improvvisata la prima volta che qualcuno chiede. Appartiene alla stessa politica CCTV che copre la tua segnaletica, la tua base giuridica e il tuo periodo di conservazione: chi riceve le richieste, come vengono verificate l'identità e la base giuridica, la redazione predefinita per ogni tipo di richiesta, e dove si trova il registro delle divulgazioni. Se non l'hai ancora documentato, la nostra guida a GDPR e videosorveglianza: obblighi di conformità copre il quadro completo, e il nostro confronto tra anonimizzazione e pseudonimizzazione spiega perché una redazione irreversibile (non una maschera reversibile) è ciò che porta davvero una divulgazione fuori dall'ambito del GDPR per chi la riceve.

Rispondi alla tua prossima richiesta CCTV senza il lavoro di redazione manuale

Che si tratti di un'indagine di polizia, di una richiesta di accesso dell'interessato, o di un sinistro assicurativo, la forma del problema è la stessa: esporta la finestra giusta, stabilisci chi ha diritto a cosa, e oscura tutti gli altri prima che esca dal tuo controllo.

Anonimizza un'esportazione CCTV ora →