Come requisito minimo, ogni organizzazione che tratta dati personali dovrà designare uno o più responsabili per verificare che siano gestiti in conformità al GDPR e alla politica dell'azienda (il numero di incaricati dipende dalle dimensioni dell'impresa e dalla quantità di dati personali raccolti e trattati). Inoltre, per alcune organizzazioni il GDPR richiede la nomina formale di un responsabile della protezione dei dati (DPO, Data Protection Officer) per tali attività.

​

Sono inoltre previsti cambiamenti nel processo amministrativo. Ai sensi del GDPR, le organizzazioni devono tenere registri dettagliati e accurati delle attività di trattamento dei dati. È obbligatorio registrare una serie di dati tra cui (a titolo esemplificativo):

• la categoria di persone alla quale si riferiscono i dati personali trattati (es. clienti, dipendenti, visitatori in negozio, ecc.);

• Le finalità per le quali si utilizzano i dati personali;

• L'eventuale trasferimento dei dati personali ad altre aziende e/o fuori dall'Unione europea;

• Il periodo di conservazione dei dati personali;

• Le misure adottate dall'organizzazione per ogni singola attività di trattamento dei dati per garantire la conformità al GDPR

Quanto elencato sopra è rilevante per la videosorveglianza archiviata.

​

Le organizzazioni sono obbligate a spiegare perché una telecamera si trovi in un particolare punto, che cosa viene ripreso e perché. Nel caso della videosorveglianza, è necessario esporre opportuni cartelli nell'area monitorata e in quelle circostanti.

Il titolare del trattamento può essere obbligato a condurre una valutazione d'impatto sulla protezione dei dati (DPIA, Data Protection Impact Assessment) prima di installare una telecamera in un luogo pubblico. La valutazione deve includere (voci da stabilire specificamente a seconda dei casi):

​

• Descrizione sistematica delle operazioni di trattamento previste e delle finalità del trattamento

• Valutazione della necessità e della proporzionalità delle operazioni di trattamento in rapporto alle finalità

• Valutazione dei rischi per i diritti e la libertà delle persone

• Misure previste per contrastare tali rischi, compresi meccanismi e garanzie per assicurare la protezione dei dati personali e la conformità al GDPR (tenendo in considerazione i diritti e gli interessi legittimi delle persone e di altre figure coinvolte)

 

Uno dei punti fermi del nuovo regolamento è che le persone monitorate devono essere pienamente informate sul tipo di dati conservati e sulle modalità di utilizzo.

Il regolamento definisce chiaramente alcune regole basilari sulla crittografia e sulle modalità di protezione dei dati. Il fatto che i dati siano disponibili sotto forma di video non altera questo requisito.

​

Le aziende che archiviano i video, dunque, hanno responsabilità chiare per quanto riguarda la custodia dei dati personali e devono adottare misure efficaci per prevenire gli accessi non autorizzati. Questo significa che è importante definire per iscritto chi avrà accesso alle telecamere e alle registrazioni.

​

Le organizzazioni devono anche prevedere un'apposita procedura se una persona sceglie di esercitare il suo diritto ad accedere ai dati personali o ne richiede la cancellazione. In tal modo, possono rispettare la scadenza di un mese entro la quale devono soddisfare queste richieste, come previsto dal GDPR. In questi casi è ragionevole aspettarsi che il richiedente fornisca informazioni accurate per individuare i dati, indicando ad esempio un intervallo temporale preciso e il luogo in cui sono state acquisite le riprese.

​

Le aziende devono adottare misure efficaci per prevenire gli accessi non autorizzati ai dati personali che custodiscono. Le strategie utilizzate da ogni azienda varieranno in base alle singole criticità; tuttavia, in tutti i casi le aziende dovranno svolgere controlli di sicurezza efficaci, adottare prassi ottimali e aggiornate per la cyber security e lavorare con partner affidabili che forniscano hardware/software sicuri e un'assistenza completa.