La videosorveglianza è un’attività già da tempo entrata a far parte della nostra quotidianità; tuttavia, l’evoluzione tecnologica e l’avvento dell’intelligenza artificiale pongono nuovi interrogativi su quali sono i limiti che questa debba incontrare. Gli interessi in gioco sono, da un lato quello della sicurezza economica e sociale, dall’altro il rispetto dei diritti e delle libertà fondamentali della persona; attraverso la registrazione di immagini audio e video di persone che si spostano in ambienti pubblici, infatti, è possibile raccogliere un’enorme quantità di dati personali, che possono includere anche informazioni sensibili, per esempio le opinioni politiche sindacali o il credo religioso di chi partecipa a eventi pubblici. Sempre più spesso nei contesti urbani, alle richieste di maggiore sicurezza e di miglioramento della convivenza civile, le autorità pubbliche cercano di rispondere attraverso sistemi di videosorveglianza evoluti. Quali sono i confini legittimi di tali attività? Attualmente in Italia l’utilizzo di tali sistemi incontra dei limiti a livello normativo e per effetto di specifici interventi del Garante per la protezione dei dati personali.
Nel 2021, la Legge 205 (legge di conversione del cd. Decreto Capienze) ha sospeso, fino all’entrata in vigore di una specifica legge in materia, e comunque fino al 31 dicembre 2023, l’installazione e l’utilizzazione di impianti di videosorveglianza con riconoscimento facciale in luoghi pubblici o aperti al pubblico, da parte di autorità pubbliche o soggetti privati. La moratoria non riguarda i trattamenti effettuati dalle autorità competenti a fini di prevenzione e repressione dei reati o di esecuzione di sanzioni penali di cui al decreto legislativo 51/2018[1].
E’ notizia di questi giorni l’arresto di un cittadino polacco accusato di aver aggredito una turista israeliana nella stazione di Roma Termini. L’identificazione è stata resa possibile dal software per il riconoscimento dei volti Sari Enterprise, utilizzato dalla Polizia. Come riferito dalle testate giornalistiche, grazie ad un singolo frame il software impiega un minuto ad individuare qualcuno nel proprio database, contenente 10 milioni di identità e 17 milioni di foto. Tale software ha lo scopo di automatizzare le ricerche che fino a poco tempo fa venivano svolte tramite interrogazione manuale dagli operatori di polizia attraverso il sistema AFIS-SSA, ovvero il sistema di ricerca nell’archivio dei soggetti fotosegnalati. L’identificazione è avvenuta grazie al software, ma anche grazie all’attività degli operatori che – tra i sospetti indicati dal sistema sulla base di un indice di somiglianza – hanno valutato altri fattori (abbigliamento, vicinanza al luogo ecc.) ed individuato il sospettato. Successivamente l’aggressore è stato fermato su un treno da una coppia di carabinieri.
Sotto il profilo della normativa privacy l’utilizzo del software SARI, in uso dal 2018, non aveva ricevuto osservazioni da parte del Garante, non trattandosi di un nuovo trattamento ma di una nuova modalità di trattamento di dati biometrici, già prevista e disciplinata. Anche attività di polizia di questo tipo, tuttavia, incontrano alcune limitazioni; il 25 marzo 2021 il Garante per la protezione dei dati personali ha reso un parere sul sistema Sari Real Time del Ministero dell’Interno – Dipartimento delle Pubblica sicurezza. Il sistema, progettato come soluzione mobile, oltre a svolgere attività di videosorveglianza, consente di analizzare in tempo reale i volti delle persone riprese confrontandoli con quelli contenuti in una banca dati denominata “whatch-list” e di generare un alert diretto agli operatori.
Tale trattamento racchiude una serie di caratteristiche che rende il suo utilizzo potenzialmente rischioso per gli interessati: si tratta di un trattamento automatizzato, svolto su larga scala, che ricorre a dati biometrici e può riguardare persone non oggetto di “attenzioni” da parte della Polizia che si trovino in spazi pubblici.
Nel parere citato il Garante rileva che il trattamento dei dati di videosorveglianza raccolte per finalità di prevenzione di reati e minacce della sicurezza pubblica ed indagine, accertamento e perseguimento i reati anche per conto dell’autorità giudiziaria, è soggetto al D.Lgs. 51/2018. In particolare, gli articoli 5 e 7 del Decreto prescrivono – rispettivamente per i dati comuni e per i dati particolari – che il trattamento di dati personali da parte degli organi di Polizia siano previsti dal diritto dell’Unione, da legge o, se la legge lo prevede, da regolamento (o nel caso dell’articolo 5 anche da atto amministrativo generale). In assenza di tale base di liceità il Garante ha espresso parere non favorevole al trattamento svolto mediante Sari Real Time.
In considerazione delle limitazioni che i sistemi di videosorveglianza evoluti incontrano nel nostro ordinamento recentemente il Garante ha aperto un’istruttoria nei confronti di due Comuni; la prima riguarda il Comune di Lecce, che ha annunciato di voler dare l’avvio ad un sistema che prevede l’impiego di tecnologie di riconoscimento facciale; la seconda istruttoria riguarda il comune di Arezzo dove – a partire dal 1° dicembre 2022 – è prevista la sperimentazione di un sistema basato su occhiali dotati di telecamere a raggi infrarossi da utilizzare per rilevare le infrazioni dal numero di targa e verificare la validità dei documenti del guidatore. Nel caso del Comune di Arezzo l’attenzione del Garante sarà rivolta anche ad aspetti legati al rispetto delle garanzie previste dalla disciplina privacy e dallo Statuto dei lavoratori nei confronti dei lavoratori che utilizzano tali sistemi.
In conclusione, l’attività di videosorveglianza, specialmente se di tipo evoluto (come quella che include il riconoscimento facciale), comporta un trattamento di dati personali molto delicato che richiede il bilanciamento delle esigenze di sicurezza con la tutela dei diritti delle persone. E’ auspicabile che tale bilanciamento venga effettuato in sede parlamentare, grazie ad una normativa ad hoc. In ogni caso qualsiasi iniziativa di videosorveglianza, per non tradursi in un’attività di sorveglianza indiscriminata, deve rispettare i principi dettati dalla normativa in materia di protezione dei dati personali, dalla necessità e proporzionalità, alla minimizzazione, alla limitazione della conservazione, al rispetto degli obblighi informativi. Last but not least, prima di iniziare un trattamento di videosorveglianza il titolare è tenuto a svolgere una valutazione d’impatto sulla protezione dei dati ai sensi degli articoli 35 e 36 del GDPR.
Autore: Chiara Acciaioli
[1] D.Lgs. 18 maggio 2018 n. 51 Attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorita’ competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonche’ alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.
