Un sistema di videosorveglianza GDPR-compliant non è un optional: è un obbligo legale per ogni azienda.

Quando entriamo in un’azienda per un sopralluogo, capita spesso che il titolare ci mostri con una certa soddisfazione le telecamere che ha già installato, e lo faccia con una frase che dovrebbe rassicurare: “Le vedo dal telefono, ovunque mi trovo”. Bene. Le vedi dal telefono. Ma la domanda vera, quella che quasi nessuno si pone al momento dell’acquisto, è un’altra: sei sicuro di essere l’unico a vederle? E quelle immagini — l’ingresso del magazzino, la cassa, i volti dei dipendenti e dei clienti — dove finiscono davvero quando escono dalla telecamera?

È una domanda che sembra tecnica e invece è tutta commerciale, perché riguarda un bene dell’azienda: i suoi dati. E la risposta, in troppi casi, è “non lo so”.

Il problema non è la marca. È quello che non controlli

Vogliamo togliere subito di mezzo un equivoco, perché è comodo ma è sbagliato. Il rischio non sta nel Paese stampato sulla scatola o nel marchio della telecamera. Lo stesso identico apparato può essere un sistema sicuro o una porta aperta sull’azienda. Questo è il nodo centrale della videosorveglianza GDPR: non basta installare una telecamera, bisogna sapere dove vanno i dati e a fare la differenza non è il prodotto: è come viene installato, dove appoggia i dati e chi risponde di lui.

Il vero problema ha un nome preciso, ed è la telecamera fuori controllo. È l’apparecchio economico comprato online per risparmiare, tolto dalla scatola e collegato da soli, che si accende, chiede una password banale — spesso mai cambiata — e comincia a funzionare. Sembra un affare. In realtà, in quel momento, chi lo ha installato ha appena collegato alla rete aziendale un dispositivo di cui non si sa bene dove mandi ciò che riprende, con chi comunichi durante il collegamento da remoto, e su quale server, in quale parte del mondo, si trovi la copia delle immagini.

Finché tutto va bene, non ci si accorge di nulla. Il conto arriva dopo.

Videosorveglianza GDPR: dove finiscono davvero le immagini

Molte telecamere di fascia bassa, per funzionare “comode” — quelle che si vedono subito dall’app, senza configurare niente — si appoggiano a un servizio cloud del produttore. Tradotto: le immagini non restano in azienda, transitano da un server che non gestisci tu e che spesso non sai nemmeno dove sia fisicamente. Non si sa come siano protette, se siano cifrate, per quanto tempo restino lì, chi vi possa accedere. È qui che entra in gioco la videosorveglianza GDPR: il regolamento obbliga il titolare a sapere dove sono i dati e chi vi accede.

E c’è un secondo rischio, ancora più concreto per un’azienda, che ci è capitato di riscontrare più di una volta. Quel cloud dipende dalla vita commerciale di chi l’ha creato. Se il produttore smette di aggiornare il prodotto, cambia politica o semplicemente sparisce dal mercato, quel server viene spento. Da un giorno all’altro l’app non si connette più, il collegamento da remoto muore, e restano delle telecamere che riprendono ma che, di fatto, non si controllano più. Non è un’ipotesi teorica: abbiamo acquisito clienti proprio perché il produttore aveva dismesso, senza preavviso, il servizio su cui si erano appoggiati, lasciandoli scoperti.

Un impianto professionale ragiona all’opposto: le immagini restano dove si decide, in locale o su un server noto e affidabile, la trasmissione è cifrata, e la continuità del servizio non dipende dagli umori commerciali di un’azienda dall’altra parte del mondo.

Videosorveglianza GDPR: la responsabilità è del titolare

In materia di videosorveglianza GDPR, il titolare del trattamento sei tu — non il produttore della telecamera.

Qui arriviamo al punto che trasforma tutto questo da questione tecnica a questione di responsabilità, e riguarda il titolare in prima persona.

Nel momento in cui si installano telecamere che riprendono persone — dipendenti, fornitori, clienti — si stanno trattando dati personali. E davanti alla legge, il responsabile di quel trattamento non è chi ha prodotto la telecamera né chi l’ha venduta: è il titolare dell’attività. È lui a dover sapere dove vanno quelle immagini, come sono protette, per quanto tempo vengono conservate e chi vi può accedere. È lui a dover esporre l’informativa, a rispettare i vincoli sul controllo dei lavoratori, a rispondere al Garante se qualcosa non torna.

Immagina di dover spiegare a un ispettore, o a un perito dopo un contenzioso, dove finiscono le immagini della tua videosorveglianza — e di non saperlo, perché la telecamera comprata online le manda a un server mai identificato, magari fuori dallo Spazio Economico Europeo. Non è una posizione difendibile. Ed è un’esposizione che ci si è presi da soli, per risparmiare qualche decina di euro su un apparato. Questo, a differenza di tante paure vaghe che circolano sull’argomento, è un fatto verificabile e concreto. Non dipende dalle intenzioni di nessuno: dipende da chi, per legge, deve rispondere. E quello è il titolare.

Non è paranoia, è governo del sistema

Che la domanda “dove vanno i miei dati” sia seria e non un allarmismo lo dimostra il fatto che, negli ultimi anni, è diventata un tema per governi e grandi organizzazioni in mezzo mondo, proprio riguardo agli apparati di sorveglianza collegati in rete. Ma la lezione da trarne non è “diffida di questa o quella marca”. È molto più utile e più vera: un sistema di videosorveglianza va governato, non solo acceso.

Governarlo significa poche cose, tutte alla portata di un installatore serio e nessuna alla portata di una scatola comprata online. Significa mettere le telecamere su una rete separata da quella dove girano il gestionale e i dati sensibili dell’azienda, così che un problema su un apparato non diventi un problema su tutto. Vuol dire anche cambiare le credenziali di fabbrica, cifrare la trasmissione, decidere consapevolmente se e come esporre l’impianto su internet. Comporta sapere, e mettere per iscritto, dove risiedono le registrazioni e per quanto. E significa, infine, avere qualcuno che risponde di tutto questo: un referente con nome, cognome e responsabilità, non un servizio anonimo.

È qui che si vede la differenza tra comprare una telecamera e installare un sistema di sicurezza. La telecamera si trova ovunque. Il controllo, la configurazione corretta e la responsabilità di chi ci mette la faccia, no.

Due tasselli aiutano a completare il quadro, ed entrambi meritano lo stesso livello di attenzione. Da un lato la componente antintrusione dell’impianto, che segue una propria norma tecnica di riferimento. Dall’altro un aspetto che in azienda si sottovaluta quasi sempre: quanto la qualità reale delle immagini dipenda da come lo spazio è illuminato di notte, il momento in cui la videosorveglianza serve davvero.

In conclusione

Vedere le immagini dal telefono non vuol dire avere il controllo del proprio impianto. Anzi, spesso è proprio la comodità immediata a nascondere il fatto che quel controllo, senza accorgersene, è stato ceduto a qualcun altro. E per un’azienda i dati della videosorveglianza non sono un dettaglio: sono un bene da proteggere e una responsabilità di cui risponde il titolare.

Se la tua azienda ha già un impianto e non sapresti dire con certezza dove finiscono le immagini, o se stai valutando la videosorveglianza per la tua attività e vuoi partire con il piede giusto, possiamo verificarlo insieme. In un sopralluogo gratuito controlliamo com’è configurato quello che c’è, dove viaggiano i dati, se il sistema è conforme e difendibile, e cosa serve per riportarlo sotto il tuo controllo. Perché la telecamera giusta, installata nel modo giusto, deve fare una cosa sola: guardare quello che serve a te, e non farlo guardare a nessun altro.

Gaetano Marchese, titolare di MS Sistemi