[doc. web n. 1893742]

Videosorveglianza. Verifica preliminare richiesta da Eni S.p.A. - 15 marzo 2012

Registro dei provvedimenti
n. 102 del 15 marzo 2012

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

Nella riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti, e del dott. Daniele De Paoli, segretario generale;

Esaminata la richiesta di verifica preliminare presentata da Eni S.p.A. ai sensi dell´art. 17 del d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

Visti gli atti d´ufficio;

Esaminata la documentazione acquisita agli atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO

1. L´istanza della società.

Con comunicazione datata 19 luglio 2011 la società Eni S.p.A., in ossequio a quanto prescritto nel provvedimento in materia di videosorveglianza dell´8 aprile 2010, ha presentato una richiesta di verifica preliminare (art. 17 del Codice) in vista dell´istallazione di due sistemi di videosorveglianza c.d. intelligente rispettivamente presso il sito di Roma, Palazzo Eni, piazzale Enrico Mattei 1 e presso quello di San Donato Milanese, 1° Palazzo Uffici/Denti, Piazza Ezio Vanoni 1, attualmente protetti da un "sistema integrato di security che comprende organizzazione, procedure e strumenti, ivi inclusi i sistemi di videosorveglianza".

La società ha evidenziato che, costituendo l´energia uno dei settori di maggiore rilevanza strategica sia per le politiche nazionali che nell´ambito delle relazioni internazionali, le infrastrutture delle compagnie operanti nel settore "oil & gas" costituiscono attualmente degli obiettivi primari per tutte le forme di minaccia non convenzionale, tra cui, segnatamente, possibili azioni terroristiche e di sabotaggio.

In particolare, la sede di piazzale Mattei in Roma ed il comprensorio di San Donato Milanese (MI), in quanto siti direzionali ospitanti i vertici aziendali, costituirebbero i centri nevralgici dell´azienda dal punto di vista gestionale-operativo, istituzionale e simbolico, sicché anche alla luce del clima di latente minaccia cui sono attualmente esposte in questo momento storico le compagnie del settore energetico in generale ed Eni in particolare, sussisterebbe il concreto pericolo di divenire bersaglio di azioni criminose (danneggiamenti, minacce, attentati), con gravi rischi per l´incolumità dei dipendenti e per il patrimonio della società.

Perciò, al fine di salvaguardare le proprie risorse, la gestione e lo sviluppo delle proprie attività di business e di prevenire i rischi incombenti, Eni avrebbe deciso di dotarsi di strutture fisiche e strumenti tecnologici ed organizzativi in grado di garantire un adeguato livello di sicurezza.

In proposito la società ha riferito che le uniche difese di tipo fisico di cui essa attualmente si avvale per prevenire indebiti accessi all´interno dei siti in questione sono costituite, per la sede di Roma, da una recinzione metallica e da una barriera vegetale (siepe) e, per la sede di San Donato Milanese, da una semplice barriera vegetale. Inoltre, al fine di incrementare il livello di sicurezza degli impianti è stato predisposto un sistema di videosorveglianza che si avvale di telecamere poste lungo tutta la recinzione.

Ciò nonostante, la società ha evidenziato che tale modello tecnico organizzativo, pur permettendo un totale controllo visivo dell´intero perimetro, presenta lacune tali da compromettere l´efficacia dell´attività di controllo, sicché recentemente, anche a seguito del diffuso aumento delle minacce rivolte nei confronti delle proprie sedi, ha ritenuto necessario aumentare il livello di sicurezza dei siti attraverso l´implementazione di un sistema automatico di rilevazione delle intrusioni che andrebbe a supportare il sistema di videosorveglianza già adottato. In particolare, ai dispositivi di ripresa esistenti verrebbero abbinati software di "analisi della scena", in grado di "facilita(re) e rende(re) effettivo il mantenimento della sicurezza" a fronte di un "innalzamento del livello di minaccia", "costituendo anche un valido supporto per le Forze di Polizia che dovessero essere chiamate ad intervenire".

2. Le modalità di funzionamento del sistema

Come riferito in precedenza, il sistema di sicurezza di cui attualmente si avvalgono le sedi Eni interessate è costituito soltanto da barriere passive perimetrali (una recinzione metallica e una barriera vegetale nella sede di Roma; una sola barriera vegetale nella sede di San Donato Milanese), corredate da alcune telecamere poste ad una distanza di circa 60-70 metri l´una dall´altra, che consentono la visione delle immagini rilevate mediante il successivo utilizzo di appositi videoregistratori digitali. Più esattamente, il sistema di TVCC è composto da: telecamere (fisse e ad inseguimento) per la sorveglianza perimetrale di tipo day&night, dotate di uscita analogica ed impiegate anche presso i varchi di accesso per il controllo delle targhe delle autovetture in entrata e in uscita; telecamere tipo "dome" con sistema autotracking (per l´inseguimento di oggetti, persone o veicoli che abbiano fatto scattare l´allarme), dotate di uscita analogica; telecamere fisse a 360° per la videosorveglianza delle aree perimetrali interne; telecamere da interno per la sorveglianza della sala apparati e della control room.

A supporto di tale impianto di videosorveglianza, Eni intenderebbe attivare un sistema automatico di rilevazione delle intrusioni basato su attività di video-analisi, il quale sarebbe in grado di supportare fino a dieci funzioni contemporanee per ogni telecamera, inviando, contemporaneamente, lo streaming video ai server di registrazione posti all´interno della sala appositamente predisposta per ospitare gli encoder.

In altri termini, le telecamere ad inseguimento (speed dome) eseguirebbero, in situazione di normalità, una scansione panoramica della zona di competenza e, grazie alla modalità di video-analisi, in caso di intrusione, si orienterebbero verso la zona interessata per seguire e registrare l´evento. Tra le funzionalità che verrebbero configurate, vi sarebbero, in particolare, le seguenti: object classification, che permetterebbe di distinguere, all´interno di un´immagine, persone, veicoli, animali e altri oggetti che non appartengono propriamente alla struttura della scena; single-multi tripwire event detection, che consentirebbe di rilevare il superamento, da parte di un oggetto in movimento, di una linea virtuale precedentemente definita all´interno del campo visivo della telecamera; enter-exit event detection, che sarebbe in grado di  rilevare il momento in cui un particolare tipo di oggetto, proveniente da una qualunque direzione all´interno del campo visivo della telecamera, entrasse o uscisse da una zona di interesse precedentemente individuata.

Alle predette funzioni di video-analisi corrisponderebbero una serie di azioni/risposte automatizzate.

Dal punto di vista tecnico, la funzione di video-analisi associata al sistema di videosorveglianza renderebbe possibile discriminare diversi tipi di evento, generando, nel caso in cui vi fosse un tentativo di effrazione, un messaggio di allarme. Tale messaggio sarebbe interpretato dal sistema TVCC che, immediatamente, porrebbe il personale di sorveglianza in grado di visualizzare le immagini della zona interessata dall´evento e di seguirne l´evoluzione. Su ogni telecamera verrebbero applicati dei "filtri privacy" che, in caso di ripresa di aree non pertinenti all´area di controllo (luoghi di lavoro e aree esterne al perimetro dei siti Eni), sarebbero in grado di oscurare le immagini relative a tali zone applicando una maschera grigia su di esse e impedendo, quindi, agli operatori la loro visione.

Inoltre, la società ha riferito di voler attivare anche un sistema di rilevazione dei transiti e di lettura delle targhe che non si interfaccerebbe con alcuna banca dati SCNTT (Sistema Centralizzato Nazionale Targhe e Transiti), ma solo con una lista di targhe "autorizzate" da Eni (c.d. white list), che verrebbero censite su richiesta degli stessi dipendenti interessati. Il sistema acquisirebbe l´immagine della targa del veicolo in transito, convertirebbe l´immagine in una stringa testuale recante la sequenza di lettere e numeri che compongono la targa acquisita e confronterebbe la suddetta stringa di testo con quelle presenti nella lista di Eni delle targhe autorizzate (white list). Tale lista verrebbe "caricata" direttamente sul sistema di videosorveglianza, permettendo così di discriminare gli accessi dei veicoli autorizzati da quelli non autorizzati. In caso di accesso di un´autovettura autorizzata, il sistema riconoscerebbe la targa del veicolo e rileverebbe la sua corrispondenza con quella inserita nella white list, senza effettuare alcuna videoregistrazione. Invece, ove accedesse ai siti un´autovettura non autorizzata, allora il sistema, non riconoscendo la targa rilevata tra quelle presenti nella white list, attiverebbe la videoregistrazione dell´avvenuto transito. Gli operatori che avrebbero accesso agli archivi di sistema (7  per la sede di San Donato Milanese e 5 per la sede di Roma) sarebbero muniti di specifica abilitazione mediante "utenza e password", in linea con le procedure di sicurezza aziendali.

Il sistema di videosorveglianza sarebbe costruito in modo da registrare tutte le immagini rilevate (eccetto quelle relative alle targhe c.d. "autorizzate", verificate dal citato sistema di lettura targhe) su supporti digitali attraverso apparecchiature informatiche denominate Digital Video Recorder (DVR); le registrazioni sarebbero conservate per un periodo non superiore a sette giorni, trascorso il quale verrebbero cancellate automaticamente.

La società ha dichiarato che i sistemi di registrazione digitale delle immagini (DVR) saranno custoditi in locali a ciò appositamente adibiti, ai quali potrà accedere solo personale in possesso di una chiave fisica e di un documento di riconoscimento aziendale (DRA) da sottoporre ad apposito lettore. Le chiavi delle serrature saranno custodite dal personale di vigilanza che traccerà manualmente, su apposito registro, tutti gli accessi, annotando il nome, il cognome, la data, l´ora di prelievo e di consegna delle immagini, nonché la firma del personale preventivamente autorizzato che abbia fatto esplicita richiesta di utilizzo delle stesse.

Per accedere alle immagini occorrerà la presenza di almeno due persone dotate di specifiche credenziali (username e password).

Per quanto riguarda l´informativa, la società ha dichiarato che verranno utilizzati cartelli che, per formato e posizionamento, risulteranno chiaramente visibili prima che gli interessati entrino nel raggio di azione delle telecamere.

Eni S.p.a., infine, ha dichiarato di aver designato "responsabile del trattamento" sia la società di vigilanza, sia la società di manutenzione dei sistemi di videosorveglianza.

I dipendenti di Eni S.p.a. e quelli della società di vigilanza autorizzati all´utilizzo del sistema ed alla eventuale visione delle immagini registrate saranno designati "incaricati" dai rispettivi responsabili del trattamento. Analoga designazione spetterà anche ai dipendenti della società di manutenzione del sistema che, nello svolgimento delle rispettive mansioni, dovessero risultare –anche solo in via teorica- in condizione di poter prendere visione delle immagini stesse.

3. Presupposti di liceità del trattamento.

Il sistema c.d. intelligente che Eni S.p.A intende adottare deve essere valutato alla luce dei principi di necessità, proporzionalità, finalità e correttezza posti dal Codice (artt. 3 e 11 del Codice), espressamente richiamati anche nel Provvedimento generale in materia di videosorveglianza dell´8 aprile 2010.

In particolare, secondo tale provvedimento "in linea di massima tali sistemi devono considerarsi eccedenti rispetto alla normale attività di videosorveglianza, in quanto possono determinare effetti particolarmente invasivi sulla sfera di autodeterminazione dell´interessato e, conseguentemente, sul suo comportamento. Il relativo utilizzo risulta comunque giustificato solo in casi particolari, tenendo conto delle finalità e del contesto in cui essi sono trattati, da verificare caso per caso sul piano della conformità ai principi" posti dagli artt. 3 e 11 del Codice.

In ragione di ciò, è importante tenere conto del fatto che, attualmente, le infrastrutture delle compagnie operanti nel settore energetico –tra cui le sedi di Eni S.p.a. – costituiscono concreti obiettivi per azioni di sabotaggio e di terrorismo. Tale considerazione, del resto, è frutto di un´attenta analisi effettuata non solo a livello legislativo (vedi il decreto legislativo 11 aprile 2011, n. 61, attuativo della direttiva 2008/114/CE, che ha individuato nelle infrastrutture del settore energetico una potenziale "criticità", anche di rilievo comunitario), ma anche amministrativo (si vedano, in tal senso, la previsione di cui al Decreto del Ministero dell´Interno 1 dicembre 2010, n. 269, Allegato D, sez. III, punto 3.b.1, che definisce "obiettivi sensibili" le aziende pubbliche o private del settore energetico, nonché la direttiva del prefetto di Ravenna, proc. 2011-5811/Area 1^ OSP del 21/12/2011, che ha espressamente riconosciuto le sedi Eni di Ravenna "obiettivi sensibili").

Inoltre, la stessa Eni S.p.a., con comunicazione del 30 gennaio 2012, ha riferito che, nel periodo intercorrente tra l´ottobre 2010 ed il dicembre 2011, alcune azioni violente hanno riguardato anche alcuni Eni Energy Store ed altri tipi di assets aziendali, tra cui alcune sedi diverse da quelle in oggetto.

Ciò premesso, è possibile ritenere che i siti di Roma e di San Donato Milanese, proprio perché destinati ad ospitare i vertici aziendali e, quindi, il cuore operativo ed istituzionale dell´azienda, siano anch´essi effettivamente esposti al concreto rischio di soggiacere a possibili azioni dimostrative da parte di gruppi terroristici.

Del resto, l´esistenza di una situazione di rischio presso la sede di Piazzale Mattei a Roma è stata ammessa anche dall´Ufficio territoriale del governo di Roma che, nel 2002, riconoscendo l´esistenza di gravi problemi di sicurezza anche in ragione del clima politico presente nel contesto politico nazionale ed internazionale, ha avallato l´adozione di misure interdittive atte a limitare la pubblica transitabilità nelle aree ad essa antistanti (prot. 9634/1572/02 Gab OSP del 26 agosto 2002). La persistenza di tale condizione di rischio, poi, risulta confermata anche dal recente provvedimento adottato dal Prefetto di Roma che, nel luglio 2010, nel valutare le condizioni dell´area circostante Piazzale Mattei, ha espressamente attestato "il permanere delle esigenze di tutela della sicurezza" della sede Eni ivi ubicata (prot. 130788 del 26 luglio 2010).

Un´identica situazione di rischio è risultata presente presso il comprensorio Eni di San Donato Milanese. In proposito, il Prefetto di Milano, rilevando che gli assets di Eni "costituiscono potenziale obiettivo del terrorismo internazionale" e, in genere, di iniziative ostili, ha dichiarato la necessità di proteggere adeguatamente quelli più sensibili, imponendo ad Eni di dotarsi, tra l´altro, di "strumenti idonei a contenere il livello di rischio", di validi sistemi di protezione perimetrale e di "sistemi di videosorveglianza intelligente che consentano l´analisi della scena anche a supporto delle stesse Forze di polizia"(prot. 12b2/09007582 N.C. Div. Gab. del 26/03/2011).

Per quanto concerne la possibilità di ricorrere, presso detti siti, ad idonee misure organizzative alternative ai sistemi c.d. intelligenti, Eni ha rappresentato che le attuali forme di protezione poste a loro difesa (barriere passive perimetrali corredate da normali telecamere), pur permettendo il totale controllo visivo del perimetro, presentano alcuni limiti obiettivi che rischiano di compromettere l´efficacia della vigilanza, soprattutto per la difficoltà di controllare contemporaneamente e manualmente un elevato numero di telecamere (cfr. comunicazione Eni del 30 gennaio 2012, allegato B).

Pertanto, Eni, avendo anche registrato un incremento di atteggiamenti minacciosi nei confronti delle sue sedi, ha ritenuto opportuno, per aumentare il livello di sicurezza, sviluppare un sistema di rilevazione delle intrusioni mediante video-analisi, in grado di rilevare automaticamente le intrusioni.

Ad avviso di questa Autorità, la delicatezza del settore produttivo in cui Eni S.p.a. si trova ad operare, unitamente alle concrete situazioni di rischio esistenti presso i siti di Roma e di San Donato Milanese, espressamente acclarate a più riprese dagli organi istituzionalmente preposti, permette di ravvisare una situazione assai peculiare che giustifica l´adozione di standard di sicurezza di livello superiore alla media.

Circa le caratteristiche tecniche dell´impianto che Eni intenderebbe adottare, le telecamere, grazie alla possibilità di discriminare diversi tipi di evento, riuscirebbero a rilevare automaticamente comportamenti o eventi anomali, orientandosi verso la zona interessata per seguire e registrare l´evento. In concreto, grazie all´interconnessione tra il sistema TVCC, il sistema anti-intrusione ed il sistema di controllo degli accessi, ad ogni tentativo di effrazione si genererebbe un messaggio di allarme, che metterebbe il personale di sorveglianza, posizionato presso la sala di controllo locale, in grado di visualizzare le immagini della zona interessata dall´evento e di seguirne l´evoluzione.

Il personale esterno della società incaricata della vigilanza visionerebbe le immagini in real time attraverso terminali video situati in appositi locali a ciò dedicati e non esposti alla visione di terzi.
L´accesso alle postazioni da cui risulterebbe possibile vedere le immagini in diretta e accedere alle registrazioni sarebbe permesso solo a soggetti dotati di una credenziale di accesso individuale (chiave fisica e DRA per l´accesso ai locali, username e password in caso di accesso alla visualizzazione dei DVR). Inoltre, le operazioni di visualizzazione delle registrazioni e/o di manutenzione del sistema non potrebbero essere svolte da una sola persona.

La durata della conservazione delle immagini sarebbe limitata ad una sola settimana, con successiva loro cancellazione automatica una volta trascorso il predetto periodo.
Infine, Eni ha dichiarato che, in relazione alle possibili implicazioni inerenti il controllo a distanza dei lavoratori, sarebbe stato già firmato uno specifico accordo sindacale previsto dall´art. 4, comma 2 della legge n. 300/1970 (richiamato dall´art. 114 del Codice) sia con le R.S.U Eni Corporate di Roma, piazzale Mattei, in data 25 gennaio 2012, sia con le R.S.U. Eni Corporate di San Donato Milanese, in data 26 gennaio 2012 (cfr. comunicazione Eni del 30 gennaio 2012, allegato C).

Ciò premesso, si ritiene che all´esito dell´istruttoria siano emersi elementi che inducono a considerare il trattamento effettuato attraverso l´impianto di videosorveglianza intelligente come conforme ai principi posti dagli artt. 3 e 11 del Codice.

In particolare, l´innalzamento del livello della minaccia, la vulnerabilità dei siti in questione e la ridotta efficacia delle protezioni e dei sistemi di sicurezza esistenti valgono a giustificare l´attivazione di un sistema di video-analisi a supporto dei dispositivi di ripresa attualmente in uso che, consentendo una rilevazione automatica delle intrusioni, risulti effettivamente in grado di prevenire accessi non autorizzati alla struttura e, quindi, di scongiurare – o, quantomeno, di ridurre significativamente - il rischio di atti vandalici, attentati o danneggiamenti in grado di porre in grave pericolo la sicurezza dei siti di Roma e di San Donato Milanese e l´incolumità del personale ivi impiegato.

In tal senso, del resto, depongono anche le riferite valutazioni provenienti dagli organi istituzionali che, nel corso degli ultimi anni, hanno constatato a più riprese il permanere di esigenze di sicurezza presso i siti in questione, sollecitando la società ad adottare efficaci strumenti di protezione (quali quello oggetto della presente verifica preliminare) in grado di consentire una migliore analisi della scena anche a supporto delle forze dell´ordine.

Pertanto, alla luce degli elementi acquisiti e delle dichiarazioni rese (sulla cui veridicità la società ha assunto ogni responsabilità ai sensi dell´art. 168 del Codice) e delle specifiche modalità di funzionamento dell´impianto, volto a tutelare il patrimonio aziendale e la sicurezza dei dipendenti all´interno del sito di Roma e di San Donato Milanese, questa Autorità ritiene che la richiesta di verifica preliminare avanzata da Eni S.p.A. possa essere accolta a condizione che:

a) il trattamento delle immagini si mantenga aderente alle finalità di tutela del patrimonio aziendale e della sicurezza dei dipendenti e si svolga nel rispetto delle modalità indicate da Eni S.p.A. con note del 19 luglio 2011, 30 gennaio e 14 febbraio 2012;

b) l´impresa di vigilanza esterna sia preventivamente nominata responsabile del trattamento e questa, a sua volta, nomini incaricati del trattamento i  propri dipendenti.

c) le utenze per l´accesso alle immagini siano individualmente assegnate agli incaricati del trattamento specificamente nominati da Eni e dalla società di vigilanza (cfr. Disciplinare tecnico in materia di misure di sicurezza, punto 3, all. B) del Codice);

d) l´informativa agli interessati venga resa attraverso supporti che, per formato e posizionamento, siano chiaramente visibili prima che gli interessati entrino nel raggio d´azione delle telecamere.

TUTTO CIÒ PREMESSO, IL GARANTE,

ai sensi dell´art. 17 del Codice, a conclusione della verifica preliminare relativa all´utilizzo del sistema di videosorveglianza c.d. "intelligente" che Eni S.p.A. intende adottare, per finalità connesse alla tutela del patrimonio aziendale e della sicurezza dei lavoratori, presso i siti di Roma, palazzo Eni, Piazzale Mattei 1 e di San Donato Milanese, Palazzo Denti, Piazza Ezio Vanoni 1, prende atto delle modalità del  trattamento dei dati personali ad esso connesso, prescrivendo che:

a) il trattamento delle immagini si mantenga aderente alle finalità di tutela del patrimonio aziendale e della sicurezza dei dipendenti e si svolga nel rispetto delle modalità indicate da Eni S.p.A. con note del 19 luglio 2011, 30 gennaio e 14 febbraio 2012;

b) l´impresa di vigilanza esterna sia nominata responsabile del trattamento e questa, a sua volta, nomini incaricati del trattamento i  propri dipendenti.

c) le utenze per l´accesso alle immagini siano individualmente assegnate agli incaricati specificamente nominati da Eni e dalla società di vigilanza (cfr. – Disciplinare tecnico in materia di misure di sicurezza, punto 3 all. B) del Codice);

d) l´informativa agli interessati venga resa attraverso supporti che, per formato e posizionamento, siano chiaramente visibili prima che gli interessati entrino nel raggio d´azione delle telecamere. 

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all´autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all´estero.

Roma, 15 marzo 2012

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE
De Paoli