Bodycam fai-da-te: perché la buona fede non basta quando si trattano dati personali
Alla luce dei recenti fatti di cronaca, è tornato al centro del dibattito l'utilizzo delle bodycam da parte degli appartenenti alle forze dell'ordine ed altri incaricati di pubblico servizio. Da più parti se ne sottolineano i vantaggi: maggiore trasparenza negli interventi, tutela degli operatori da accuse infondate, possibilità di ricostruire con maggiore precisione i fatti e acquisizione di elementi utili ai fini investigativi.
Ma accanto alla discussione sull'opportunità di dotare il personale di questi dispositivi emerge una domanda giuridicamente rilevante per chi presta servizio presso le forze dell’ordine: un agente può acquistare autonomamente una bodycam e utilizzarla durante il proprio servizio, senza una preventiva autorizzazione dell'amministrazione di appartenenza?
La questione non riguarda meramente l'impiego di una videocamera indossabile, ma investe anche un principio molto più ampio: un pubblico dipendente può decidere autonomamente di utilizzare strumenti privati per trattare dati personali nell'esercizio delle proprie funzioni istituzionali?
Non è un'attività privata, ma un trattamento svolto nell'esercizio di una funzione pubblica – E’ prima di tutto necessario chiarire un equivoco: quando un agente di polizia interviene durante il servizio, non agisce come un semplice cittadino che esercita la libertà di effettuare riprese in un luogo pubblico, ma opera quale appartenente a un'autorità pubblica, nell'ambito di specifiche funzioni attribuite dalla legge.
Le immagini raccolte da una bodycam possono contenere dati identificativi di cittadini, persone fermate, vittime, testimoni, minori, veicoli, targhe, luoghi privati e, in molti casi dati sensibili ed altre informazioni particolarmente delicate di cittadini. Si tratta quindi di un trattamento di dati personali effettuato per finalità di prevenzione, accertamento e repressione dei reati o di tutela dell'ordine e della sicurezza pubblica.
Per tali trattamenti non trova applicazione il GDPR, bensì la disciplina speciale contenuta nella Direttiva UE 2016/680 (cosiddetta "Law Enforcement Directive"), recepita nell'ordinamento italiano con il Dlgs 18 maggio 2018, n. 51, che disciplina il trattamento dei dati personali effettuato dalle autorità competenti per finalità di polizia e giustizia penale.
Come il GDPR, anche la Law Enforcement Directive impone che ogni trattamento sia fondato su una base normativa, persegua finalità determinate e sia effettuato nel rispetto dei principi di liceità, necessità, proporzionalità e sicurezza.
A tal proposito, è opportuno ricordare che l'autorità competente a vigilare sull'applicazione del Dlgs 51/2018 è il Garante per la protezione dei dati personali, al quale l'art. 37 del decreto attribuisce i poteri di controllo, indagine e intervento sui trattamenti di dati effettuati dalle autorità competenti per finalità di prevenzione, accertamento e repressione dei reati.
La buona fede dell'operatore non è sufficiente - Può accadere che un agente decida di acquistare una bodycam con finalità del tutto comprensibili: documentare gli interventi, tutelarsi da contestazioni o garantire maggiore trasparenza.
Tuttavia, nel trattamento dei dati personali, la buona fede non è sufficiente a rendere legittimo uno strumento utilizzato al di fuori delle procedure previste dall'amministrazione, che è tenuta a rispettare la normativa applicabile sulla protezione dei dati personali.
L'utilizzo di un dispositivo privato apre infatti numerosi interrogativi: chi ha autorizzato il trattamento di dati personali? chi ha verificato che il dispositivo rispetti adeguati requisiti di sicurezza? dove vengono memorizzati i filmati? sono presenti sistemi di cifratura? le registrazioni vengono automaticamente sincronizzate con servizi cloud del produttore? chi stabilisce i tempi di conservazione? Chi può accedere alle immagini? Come viene garantita la cancellazione dei dati quando non sono più necessari?
E ovviamente le risposte non possono essere lasciate all'iniziativa del singolo operatore o al suo buon senso.
Il problema del controllo del trattamento - Ogni trattamento di dati personali richiede un soggetto che ne mantenga il pieno controllo. Nel caso di una bodycam privata, il rischio è che le registrazioni vengano conservate nella memoria del dispositivo, trasferite sul computer personale dell'operatore oppure sincronizzate automaticamente su piattaforme cloud gestite da soggetti terzi, anche stabiliti fuori dall'Unione europea.
In una simile situazione l'amministrazione potrebbe non avere più il controllo effettivo del trattamento dei dati raccolti durante un'attività istituzionale. Ciò rappresenterebbe un problema non soltanto sotto il profilo della protezione dei dati personali, ma anche con riferimento alla sicurezza delle informazioni, alla gestione documentale e all'eventuale utilizzabilità delle registrazioni nell'ambito di procedimenti amministrativi o giudiziari.
La tutela delle prove richiede garanzie tecniche - Le immagini registrate durante un intervento possono assumere un rilevante valore probatorio. Proprio per questo motivo le soluzioni professionali adottate dalle amministrazioni prevedono normalmente sistemi di cifratura, registrazione degli accessi, protezione contro modifiche non autorizzate, tracciabilità delle operazioni e procedure rigorose per la conservazione dei filmati. Una bodycam acquistata sul mercato consumer potrebbe non offrire analoghe garanzie.
L'assenza di procedure formalizzate potrebbe inoltre rendere più difficile dimostrare l'integrità delle registrazioni, la loro autenticità e la corretta catena di custodia, aspetti particolarmente delicati qualora i filmati debbano essere utilizzati nell'ambito di procedimenti disciplinari o penali.
Un caso di una sorta di "shadow IT" nella pubblica amministrazione? Sotto un diverso profilo, l'utilizzo autonomo di bodycam private può essere letto come una particolare forma di shadow IT, vale a dire l'impiego di strumenti tecnologici non autorizzati dall'organizzazione.
Lo stesso problema si presenta quando un dipendente utilizza account di posta elettronica personali per attività lavorative, servizi cloud non approvati, applicazioni di messaggistica non autorizzate o strumenti di intelligenza artificiale nei quali vengono caricati documenti contenenti informazioni riservate.
In tutti questi casi il problema non è rappresentato dalla tecnologia in sé, ma dal fatto che essa viene impiegata al di fuori del sistema di regole, controlli e responsabilità definito dal titolare del trattamento.
Serve una disciplina chiara, non iniziative individuali - Tutto ciò non significa affatto che le bodycam siano uno strumento da guardare con diffidenza. Al contrario, l'esperienza internazionale dimostra come, se correttamente disciplinate, possano contribuire ad aumentare la trasparenza dell'azione amministrativa, rafforzare la fiducia dei cittadini e offrire una tutela anche agli stessi operatori di polizia e agli incaricati di pubblico servizio, riducendo il rischio di contestazioni infondate e favorendo una più accurata ricostruzione degli eventi.
Proprio perché il loro impiego comporta un trattamento sistematico di dati personali e può incidere su diritti e libertà fondamentali, la loro introduzione non può essere rimessa all'iniziativa del singolo agente.
Spetta invece all'amministrazione individuare i dispositivi da utilizzare, definire le finalità del trattamento, disciplinare le modalità di attivazione delle registrazioni, stabilire i tempi di conservazione, adottare adeguate misure di sicurezza e assicurare il rispetto dei principi di responsabilizzazione (accountability).
Solo all'interno di un quadro normativo e organizzativo chiaro le bodycam possono rappresentare uno strumento efficace di tutela sia per gli operatori sia per i cittadini.
La fiducia nelle istituzioni non si costruisce soltanto attraverso nuove tecnologie, ma anche garantendo che ogni trattamento di dati personali avvenga nel rispetto delle regole in materia di privacy applicabili, sotto il controllo dell'autorità competente e con adeguate garanzie per tutti gli interessati.
