GDPR e videosorveglianza pubblica: conformità e best practice

Il GDPR nella videosorveglianza pubblica

Il Regolamento UE 2016/679 ha rivoluzionato l’approccio alla videosorveglianza: da attività “discrezionale” ad attività soggetta a rigore documentale, accountability del titolare e diritti degli interessati. Nel settore pubblico (comuni, regioni, enti) la conformità è particolarmente critica perché la base giuridica è diversa da quella privata (compito di interesse pubblico vs legittimo interesse) e i rischi reputazionali sono alti.

Base giuridica per PA

Art. 6(1) GDPR prevede le basi giuridiche. Per la PA in videosorveglianza si utilizzano tipicamente:

• Art. 6(1)(c) “obbligo legale”: quando esiste norma specifica (es. aree sensibili)
• Art. 6(1)(e) “compito di interesse pubblico”: sicurezza urbana, tutela del patrimonio comunale, prevenzione vandalismi

La base “consenso” (6(1)(a)) non è applicabile: non si può chiedere consenso a chi attraversa uno spazio pubblico. La base “legittimo interesse” (6(1)(f)) è esclusa per la PA secondo art. 6(1).

Principi fondamentali applicati

1. Liceità, correttezza, trasparenza

• Base giuridica esplicita, non inferita
• Informativa accessibile e comprensibile
• Cartelli in loco

2. Limitazione finalità

• Definire in delibera comunale le specifiche finalità
• Non usare video per scopi ulteriori (es. sanzioni amministrative) senza base autonoma

3. Minimizzazione

• Solo dati necessari
• Privacy zones per aree private
• Evitare zoom inutili

4. Esattezza

• Timestamp corretto (NTP)
• Integrità chain-of-custody

5. Limitazione conservazione

• Retention giustificata (tipicamente 24-168 ore)
• Cancellazione automatica
• Eccezioni per indagini in corso

6. Integrità e riservatezza

• Cifratura in transito e a riposo
• Controllo accessi
• Audit log
• Protezione fisica server/NVR

7. Responsabilizzazione

• Registro dei trattamenti
• DPIA
• DPO
• Formazione personale

DPIA: elementi chiave per videosorveglianza pubblica

Il Data Protection Impact Assessment deve includere:

• Descrizione sistema: telecamere, software, archiviazione
• Flusso dati: chi li raccoglie, elabora, conserva, condivide
• Valutazione necessità e proporzionalità
• Identificazione rischi
• Misure di mitigazione
• Consultazione DPO
• Aggiornamenti

DPO per PA

Per amministrazioni pubbliche il DPO è obbligatorio (art. 37 GDPR). Può essere:

• Interno (dipendente con competenze privacy)
• Esterno (consulente contrattualizzato)
• Condiviso tra più enti piccoli

Nomina con atto formale, pubblicata su Amministrazione Trasparente.

Diritti degli interessati

I cittadini ripresi hanno diritti specifici:

• Art. 15 Accesso: copia dei video in cui appaiono
• Art. 17 Cancellazione: “diritto all’oblio” (limitato da esigenze pubbliche)
• Art. 18 Limitazione: pausa trattamento in caso di contestazione
• Art. 21 Opposizione: in caso di interesse legittimo (raro in PA)

Segnalazione violazioni (Data breach)

Se un incidente compromette i dati video:

• Notifica al Garante entro 72 ore (art. 33 GDPR)
• Comunicazione agli interessati se alto rischio (art. 34)
• Documentazione interna del breach

Cooperazione con Forze dell’Ordine

Forze di Polizia statali possono accedere ai video con:

• Richiesta formale motivata
• Riferimento normativo (codice procedura penale, legge pubblica sicurezza)
• Verbale di acquisizione

La PA titolare registra ogni accesso nel proprio audit log.

Integrazione sistemi smart e Home Assistant

Molti piccoli comuni integrano videosorveglianza con sistemi smart city (illuminazione intelligente, sensori ambientali). Home Assistant può servire da hub locale per amministrazioni che non vogliono dipendere da cloud esteri. La configurazione conforme GDPR richiede rete isolata, accessi auditati, retention programmata. La complessità suggerisce affidarsi a system integrator che garantiscano privacy by design.

Sanzioni

• Amministrative: fino a 20 milioni o 4% fatturato annuo
• Per PA: fino a 2 milioni (limiti specifici)
• Penali: responsabilità dirigenti per gestione illecita
• Reputazionali: pubblicazione sanzione sul sito Garante

Best practice per comuni

• Regolamento comunale dedicato
• Formazione annuale personale autorizzato
• Audit periodici DPO
• Verifica ogni 2 anni DPIA
• Test breach simulati
• Contratti con fornitori (DPA art. 28)
• Privacy zones aggiornate ad ogni variante urbanistica
• Retention misurabile con report automatici

FAQ

Quanto tempo per preparare la DPIA di un nuovo sistema?

Un mese tipicamente. Più breve se ci sono DPIA simili da adattare.

Chi può fare DPIA?

Il titolare (Comune) con consulenza DPO. Può delegare a consulente privacy esperto.

Cartelli con QR sono conformi?

Sì, anzi raccomandati: rimandano a informativa estesa su sito ufficiale. Cartello fisico deve avere anche testo chiave.

Si possono condividere i video con altri comuni?

Solo con specifica base giuridica (convenzione, legge). Non ammesso condividere “per cortesia”.

Cloud di provider USA conforme?

Difficile: servono Standard Contractual Clauses + DPA + analisi impatto trasferimento. Dopo Schrems II, PA preferiscono hosting UE/Italia.

Quanti anni indietro si può recuperare un video?

Solo entro la retention definita. Dopo, il dato è cancellato per legge.

Riprese di dipendenti comunali?

Richiedono art. 4 Statuto Lavoratori: accordo sindacale o autorizzazione INL.