La recente pronuncia del Garante sul caso Lidl – relativa alla gestione delle richieste di accesso ai dati personali contenuti nei sistemi di videosorveglianza – offre spunti molto utili anche per le pubbliche amministrazioni, che sempre più spesso ricevono istanze di accesso alle immagini da parte di cittadini.
Nel caso di specie, il Garante ha analizzato l’esposto proposto da un cliente coinvolto in un diverbio con alcuni dipendenti e che aveva chiesto più volte alla società, via PEC, di accedere alle immagini di videosorveglianza che lo riguardavano e di conservarle per eventuali azioni legali. La società, pur avendo tutti gli elementi per intervenire, non aveva bloccato i filmati e le immagini erano state cancellate automaticamente, rendendo impossibile ogni successivo accesso.
Uno dei principi chiave: l’accesso ai dati personali non coincide con le altre forme di accesso
Il Garante ribadisce che l’accesso alle immagini di videosorveglianza costituisce un diritto dell’interessato ai sensi degli artt. 15 e 12, par. 2 del GDPR.
Per gli enti pubblici questo comporta un punto fondamentale: la richiesta deve essere trattata come una precisa istanza di accesso ai dati personali, non come un accesso civico generalizzato e non come un accesso documentale ai sensi della legge 241/1990.
È possibile che, nella pratica, la richiesta si avvicini a un accesso agli atti (ad esempio quando l’interessato chiede le immagini per tutelare un proprio interesse giuridicamente rilevante), ma l’ente deve comunque puntualizzare la natura della richiesta e applicare il quadro del GDPR, che prevale quando l’oggetto è un dato personale.
In concreto, l’amministrazione deve: verificare l’identità del richiedente, indipendentemente dal canale utilizzato; accertare la sua presenza nelle immagini, perché il diritto riguarda esclusivamente i dati personali dell’interessato; non consegnare immagini che mostrano terzi identificabili, salvo oscuramento o altri accorgimenti tecnici idonei.
Tempi di conservazione: il limite invalicabile
Nel caso Lidl, il Garante ha censurato la mancata risposta entro i termini e la conservazione non corretta delle immagini. Per gli enti pubblici è essenziale ricordare che le immagini vanno conservate solo per il tempo strettamente necessario (di norma 24–72 ore, comunque non oltre i 7 giorni salvo esigenze particolari); se le immagini non esistono più, l’ente deve comunicarlo tempestivamente al richiedente; non è possibile estendere i tempi di conservazione per “agevolare” l’accesso.
Risposta all’interessato: deve essere completa, chiara e documentata
Al di là della puntuale ricostruzione del diritto di accesso sancito dall’articolo 15 del GDPR, la censura del Garante nel caso Lidl contiene un insegnamento che riguarda da vicino anche le pubbliche amministrazioni: il titolare del trattamento non può adottare un atteggiamento passivo, burocratico o eccessivamente formalistico quando riceve una richiesta di esercizio dei diritti da parte di un interessato.
Nel caso esaminato, la società aveva a disposizione tutte le informazioni necessarie per bloccare tempestivamente i filmati rilevanti, ma ha scelto di non intervenire perché l’utente non aveva utilizzato il modulo “preferito” dal titolare.
Per il Garante, questo comportamento è contrario allo spirito del GDPR: la forma non può mai prevalere sulla sostanza del diritto.
Questo principio vale pienamente anche per gli enti pubblici. Le PA devono riconoscere e trattare qualsiasi richiesta, indipendentemente dal canale utilizzato.
Il Comitato europeo per la protezione dei dati (EDPB), tra l’altro, già nel 2022, ha chiarito che i titolari devono progettare flussi interni capaci di: intercettare qualsiasi richiesta di esercizio dei diritti, anche se informale; instradarla immediatamente verso l’ufficio competente; garantire una risposta tempestiva, entro i termini dell’art. 12 GDPR; non subordinare la trattazione all’uso di moduli o canali prestabiliti.
Per un ente pubblico questo significa che una richiesta inviata via PEC, e-mail ordinaria, sportello, telefono o presentata verbalmente va comunque riconosciuta come esercizio di un diritto GDPR; inoltre, i moduli messi a disposizione dall’ente possono facilitare la gestione, ma non possono diventare un requisito obbligatorio; infine, l’ente deve attivarsi anche quando la richiesta è incompleta, aiutando l’interessato a integrarla, non respingendola.
Gli strumenti messi a disposizione semplificano, ma non condizionano
Il GDPR è chiaro: gli articoli 15–21 riconoscono diritti che l’interessato può esercitare senza formalità, purché sia identificabile e la richiesta sia comprensibile.
Per gli enti pubblici i moduli possono risultare sono utili per standardizzare, ma non possono essere un filtro; la PA deve sempre privilegiare la tutela del diritto, non la rigidità procedurale, l’assenza del modulo non può giustificare ritardi, silenzi o risposte tardive.
L’insegnamento operativo per le PA
Il caso Lidl evidenzia un punto cruciale per le amministrazioni pubbliche: serve una procedura interna che garantisca la presa in carico immediata di qualsiasi richiesta GDPR, indipendentemente dal canale o dalla forma.
In concreto, ogni ente dovrebbe definire un flusso interno chiaro per la gestione delle richieste di accesso, rettifica, cancellazione, opposizione e limitazione; formare gli uffici affinché riconoscano subito una richiesta GDPR, anche se informale; evitare risposte burocratiche del tipo “utilizzi il modulo”, sostituendole con un supporto attivo all’interessato; garantire che la richiesta arrivi rapidamente al DPO o all’ufficio competente, se necessario; documentare ogni passaggio, così da dimostrare la diligenza dell’ente in caso di verifica.
Cosa devono fare gli enti pubblici alla luce della pronuncia
La decisione del Garante è un’occasione per verificare che il sistema di videosorveglianza dell’ente sia pienamente conforme. In particolare: aggiornare l’informativa e renderla facilmente visibile; verificare i tempi di conservazione e la loro effettiva applicazione; predisporre una procedura interna per gestire le richieste di accesso ai sensi del GDPR; assicurare che le immagini possano essere oscurate quando necessario; formare il personale che gestisce le richieste, distinguendo chiaramente tra accesso ai dati personali e accesso civico.
Conclusioni
Il caso Lidl non riguarda direttamente la PA, ma il principio affermato dal Garante è pienamente applicabile agli enti pubblici: la tutela dei diritti degli interessati non può essere ostacolata da formalismi o rigidità procedurali. Le amministrazioni devono dotarsi di flussi interni capaci di riconoscere e gestire tempestivamente qualsiasi richiesta, anche quando non proviene dai canali “preferiti” o non utilizza i moduli predisposti.
Una gestione proattiva, chiara e non burocratica è oggi un requisito essenziale per garantire conformità al GDPR e tutela effettiva dei diritti dei cittadini.
