Sicurezza e telecamere: la sperimentazione sulla videosorveglianza tramite AI deve avere basi giuridiche robuste

Sicurezza e telecamere: la sperimentazione sulla videosorveglianza tramite AI deve avere basi giuridiche robuste

Ma anche un’adeguata valutazione preventiva di impatto privacy

Sbaglia il sindaco che tappezza la città di telecamere, dotate anche di microfoni, senza valutare tutti i rischi per le libertà e i diritti fondamentali delle persone. Ed, in particolare, senza aver redatto un’adeguata valutazione di impatto sul corretto trattamento dei dati personali che in certi casi richiede anche la raccolta delle opinioni dei cittadini.

di   Stefano Manzelli

Lo ha chiarito il Garante per la protezione dei dati personali con il severo provvedimento n. 5 dell'11 gennaio 2024.

Il Comune di Trento ha attivato, con il supporto di una fondazione, la sperimentazione di tre sistemi di intelligenza artificiale, finanziati nell'ambito dei programmi di ricerca dell'Unione europea, che implicano la raccolta di informazioni in luoghi pubblici attraverso telecamere di videosorveglianza e microfoni, al fine di catturare ed elaborare situazioni di pericolo per la pubblica sicurezza.

All'uscita della notizia sui media il Garante ha avviato un'istruttoria che si è conclusa con l'applicazione di una pesante sanzione amministrativa per illecito trattamento dei dati personali.

Il corposo provvedimento dell'Autorità mette in luce una serie di criticità poste in essere dal Comune trentino. Ma apre anche la strada a molti interrogativi in termini di corretta gestione dei sistemi di videosorveglianza urbana. Ed in particolare sul ruolo del Sindaco come autorità locale, alle prese con le mutate esigenze digitali della sicurezza urbana.

In estrema sintesi i tre progetti, attualmente bloccati, hanno lo scopo di sviluppare soluzioni tecnologiche volte a migliorare la sicurezza in ambito urbano. Il progetto "marvel" prevede l'acquisizione di filmati catturati sulle strade unitamente all'audio connesso ad alcuni dispositivi. Il progetto "protector", terminato il 30 aprile 2023, prevedeva oltre all'acquisizione di filmati anche la raccolta sui social di messaggi d'odio mentre il progetto denominato "precrisis" di fatto non è mai stato effettivamente attivato.

In relazione ai primi due progetti il Collegio ha individuato una serie di criticità. Le censure avanzate dall'autorità vanno dalla mancata concreta anonimizzazione dei dati catturati alla liceità e correttezza del trattamento. Ma è sicuramente sulla base giuridica dell'originale trattamento e sulla inadeguatezza della valutazione di impatto che sono scattate le critiche più importanti.

Secondo il Comune il progetto persegue finalità di ricerca scientifica che sono attribuite all'ente locale dall'art. 2 della legge regionale n. 2/2018 e dallo statuto comunale. Il provvedimento specifica invece che queste disposizioni «attribuiscono al comune una competenza del tutto generica e meramente programmatica». Quindi il trattamento dei dati personali effettuati con strumenti sperimentali, a parere del Collegio, è stato effettuato in carenza di un quadro giuridico idoneo, non potendo il Comune neppure innestare questa sperimentazione nel quadro giuridico previsto in materia di tutela della sicurezza urbana.

L'art. 5, comma 2, lett. a), d.l. 20 febbraio 2017, n. 14, specifica infatti il Garante, «consente ai Comuni l'installazione di sistemi di videosorveglianza ai soli fini di prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria, previa stipula di un accordo per l'attuazione della sicurezza urbana con la prefettura territorialmente compente». Tale disciplina di settore - che in ogni caso non contempla l'utilizzo di microfoni per l'acquisizione del segnale audio - prevede, pertanto, uno specifico vincolo di finalità del trattamento, non essendo, pertanto, di regola ammesso l'utilizzo delle immagini di videosorveglianza, da parte degli Enti locali, per finalità di trattamento ulteriori, specialmente nel caso in cui esso si ponga in contrasto con la ragionevole aspettativa degli interessati.

Il Comune ha, altresì, invocato l'art. 2-ter, comma 1-bis, del codice, sul presupposto che i trattamenti posti in essere siano necessari per l'esercizio delle funzioni istituzionali dell'ente. A tal proposito, deve evidenziarsi che tale disposizione del codice impone comunque il rispetto dell'articolo 6 del regolamento e, pertanto, anche i requisiti di qualità della base giuridica di cui ai parr. 2 e 3, che, come sopra detto, non si rinvengono nelle generiche disposizioni indicate dal Comune. L'art. 2-ter del codice non trova poi, in ogni caso, applicazione al trattamento di dati relativi a categorie particolari.

Un'ulteriore censura del Collegio riguarda le carenze delle informative di primo e secondo livello messe a disposizione degli interessati. L'ambiguità declinata dal titolare del trattamento tra finalità di ricerca scientifica e tutela della sicurezza urbana, a parere del Garante, emerge anche in questa fase dell'istruttoria.

Ma è soprattutto sulla valutazione di impatto privacy che tutte le carenze progettuali ed organizzative del Comune trovano una sintesi. Oltre a non essere stato messo a disposizione dell'organo di controllo un documento firmato e con data certa, la traccia di DPIA fornita al Collegio non contiene «alcuna valutazione in merito alla necessità e proporzionalità dei trattamenti in relazione alle finalità e in particolare non illustra le ragioni per le quali il Comune non avrebbe potuto condurre i progetti di ricerca scientifica in questione in ambienti urbani simulati, ovvero senza raccogliere e trattare i dati personali delle persone realmente presenti nella pubblica via oppure senza trattare determinate tipologie di dati caratterizzati da particolare delicatezza, come il contenuto delle conversazioni. La valutazione d'impatto si limita poi a considerare unicamente le possibili violazioni o minacce della sicurezza dei dati, peraltro in riferimento a sistemi informatici e banche dati che non sono chiaramente individuati e descritti, risultando l'analisi effettuata del tutto generica e avulsa dagli effettivi mezzi del trattamento, anche molto sofisticati sotto il profilo tecnologico, impiegati nei due progetti in questione, risultando, pertanto, impossibile comprendere l'effettivo rischio incombente in termini di sicurezza dei dati e l'idoneità delle misure attuate dal titolare per mitigare lo stesso. Il documento non prende, invece, in alcun modo in considerazione gli altri rischi per i diritti e le libertà degli interessati non connessi alla sicurezza fisica e logica dei dati, specialmente per quanto concerne le possibili conseguenze per gli interessati derivanti dal trattamento di informazioni particolarmente delicate quali il contenuto delle conversazioni, i dati relativi a reati e quelli relativi alle convinzioni religiose. Né vengono analizzate le misure adottate per mitigare tali rischi. Infine, si ritiene che, tenuto conto della particolare invasività dei trattamenti relativi alla captazione dell'audio nella pubblica via e della conseguente compressione dei diritti e delle libertà fondamentali degli interessati, il Comune avrebbe dovuto previamente raccogliere le opinioni della cittadinanza in merito all'iniziativa che si intendeva intraprendere».

La complessa vicenda è destinata ad ulteriori sviluppi. Tecnicamente il Comune ha strategicamente sbagliato anche nell'evitare di coinvolgere il Commissariato di governo ponendo in essere una sperimentazione interferente con una materia, quella della sicurezza pubblica, che esula dalla competenza diretta del Sindaco. E per non aver effettuato una valutazione di impatto, con consultazione preventiva al Garante, praticamente obbligatoria in caso di impiego di tecnologie così invasive. Dall'altra parte, però, le indicazioni dell'autorità in materia di videosorveglianza urbana sono ferme al 2010. E i provvedimenti sanzionatori che si sono succeduti in questi anni non sono molto utili per indicare alle amministrazioni locali ed in particolare ai Comuni la corretta declinazione operativa della disciplina generale sulla protezione dei dati personali in materia di sicurezza urbana alla luce, oltre che del Gdpr, anche del d.lgs. n. 51/2018 che ha dato attuazione alla direttiva 2016/680.