La protezione dei dati personali in azienda: implicazioni di compliance e process management in un caso di videosorveglianza. I passaggi da seguire nella realizzazione del trattamento di dati personali nell’ambito della videosorveglianza negli ambienti di lavoro.

The protection of personal data is not the right to privacy, but the means by which society and organisations manage to guarantee and protect this fundamental personal right. This takes on a certain relevance in the information society. In order to achieve this and to keep the impacts of personal data processing acceptable, different perspectives must be brought together: the legal and regulatory perspective with that of project and process management, and the compliance perspective with that of risk management. Through a case study, we highlight the various steps that should be taken to design and conduct personal data processing, starting from the analysis of the context, through the identification of regulatory constraints, to the consequent theoretical and conceptual design, which influences the technical and practical design, which in turn influences the related processing risks. The case study recounts the creation from scratch of a video surveillance system in the working environment, which the company had to implement in order to comply with criteria imposed on customs security. This, however, had to be balanced with the provisions of the Workers' Statute, the GDPR and the Privacy Code. The whole process was carried out using as compliance parameters (mandatory) those described by the laws, considered in conjunction, and as tools the typical techniques of project and process management systems, such as the outcome framework of the Theory of Change, the BPMN language, the Perrow Diagram, the moments of sharing and communication between the company and the workers... In this way, the stakeholders' expectations were completely fulfilled and the video surveillance system, and the processing of personal data it entails, not only has a low negative impact on the rights and freedoms of those concerned, but is also well received by them. In other words, there are more advantages than disadvantages, with particular reference to the social level and the perspective of the persons concerned, which is far from the collective imagination and the presumption of law.

La protezione dei dati personali non è il diritto alla privacy, ma lo strumento con cui la società e le organizzazioni riescono a garantire e tutelare tale diritto fondamentale della persona. Cosa che assume una certa rilevanza nella società dell'informazione. Per raggiungere lo scopo e mantenere accettabili gli impatti dei trattamenti di dati personali, occorre far incontrare diverse prospettive: quella giuridica e normativa con quella della gestione dei progetti e dei processi, e quella della compliance con quella del risk management. Attraverso un caso di studio, si evidenziano i vari passaggi che si dovrebbero tenere per progettare e condurre un trattamento di dati personali, partendo dall'analisi del contesto, passando per l'individuazione dei vincoli normativi, per la conseguente progettazione teorica e concettuale, che influenza quella tecnico-pratica, che a sua volta influenza i rischi trattamento correlati. Nel caso di studio si racconta la creazione da zero di un impianto di videosorveglianza in àmbito lavorativo, che l'azienda ha dovuto implementare per rispettare criteri imposti in materia di sicurezza doganale. Ciò, comunque, ha dovuto essere contemperato con le previsioni dello Statuto dei lavoratori, del GDPR e del Codice privacy. L'intero percorso è stato portato avanti usando come parametri di conformità (inderogabili) quelli descritti dalle norme, considerate in combinato disposto, e come strumenti le tecniche tipiche dei sistemi di gestione dei progetti e dei processi, come l'outcome framework della Theory of change, il linguaggio BPMN, il Diagramma di Perrow, i momenti di condivisione e comunicazione tra l'azienda e i lavoratori... In questo modo, le aspettative degli stakeholders sono state completamente rispettate e l'impianto di videosorveglianza, ovvero i trattamenti di dati personali che sottende, non solo risulta avere un basso impatto negativo sui diritti e le libertà degli interessati, ma addirittura risulta avere un buon indice di gradimento da parte degli interessati. In altre parole, si notano più vantaggi che svantaggi, con particolare riferimento al piano sociale e alla prospettiva degli interessati, cosa che è ben distante dall'immaginario collettivo e dalla presunzione di legge.