Il terreno si sposta ora sul piano del controllo dei dati.
Dalla Redazione
Un nuovo parere non favorevole del Garante conferma le difficoltà nell’utilizzo delle bodycam per finalità di polizia giudiziaria. Ma il vero problema non sembra essere lo strumento in sé, visto che sotto osservazione finiscono soprattutto cloud, crittografia, fornitori e trasferimenti internazionali dei dati.
Prima Bergamo, ora Brescia. Per le bodycam della Polizia locale utilizzate nell’ambito delle attività di polizia giudiziaria la strada continua a essere decisamente in salita. Con il provvedimento n. 425 dell’11 giugno 2026, il Garante per la protezione dei dati personali ha espresso parere non favorevole sulla valutazione d’impatto presentata dal Comune di Brescia relativa all’utilizzo di videocamere operative individuali da parte degli agenti della Polizia locale.
Una decisione che merita particolare attenzione perché arriva a pochi mesi dal precedente riguardante il Comune di Bergamo e contribuisce a delineare un orientamento ormai sufficientemente chiaro dell’Autorità. Il punto fondamentale, però, deve essere chiarito immediatamente. il Garante non afferma che le bodycam siano vietate alla Polizia locale e neppure mette in discussione, in linea generale, la possibilità di utilizzarle per attività di polizia giudiziaria. Il problema è molto più complesso e, probabilmente, anche più difficile da risolvere.
Il vero terreno di confronto si sta infatti spostando dalla liceità astratta dello strumento alla capacità dell’amministrazione di mantenere un controllo effettivo sull’intera infrastruttura tecnologica attraverso la quale vengono raccolti, cifrati, trasmessi, conservati e successivamente utilizzati i filmati.
Brescia aveva già corretto la DPIA
La vicenda assume particolare rilievo perché quella esaminata dal Garante non era la prima versione della valutazione d’impatto predisposta dal Comune. L’Autorità aveva già formulato il 10 giugno 2025 numerose osservazioni, evidenziando criticità riguardanti, tra l’altro, la base giuridica del trattamento, le garanzie per i lavoratori, la durata di conservazione dei log, la valutazione della larga scala del trattamento, l’eventuale presenza di funzionalità di intelligenza artificiale e diversi aspetti tecnici relativi alla sicurezza informatica.
Il Comune aveva quindi rielaborato la propria DPIA, recependo una parte significativa delle indicazioni ricevute. Nonostante ciò, le modifiche non sono state sufficienti. Ed è proprio questo elemento a rendere particolarmente significativo il provvedimento: superati o comunque affrontati molti degli aspetti organizzativi e documentali, sono rimaste sul tavolo le questioni strutturali legate alla tecnologia utilizzata.
Il trattamento progettato da Brescia riguardava l’impiego delle bodycam durante eventi che richiedono l’esercizio delle funzioni di polizia giudiziaria, allo scopo di raccogliere e conservare elementi di prova audio-video o fotografici relativi a condotte penalmente rilevanti. Ci troviamo quindi pienamente nel campo di applicazione del d.lgs. 18 maggio 2018, n. 51, che disciplina il trattamento dei dati personali effettuato dalle autorità competenti per finalità di prevenzione, indagine, accertamento e perseguimento dei reati. Ed è proprio questa qualificazione a rendere particolarmente stringenti le garanzie richieste.
Uno dei passaggi più importanti riguarda la crittografia. Il Garante rileva che le chiavi crittografiche utilizzate sia per garantire la riservatezza delle registrazioni memorizzate sulle bodycam sia per la conservazione dei dati sulla piattaforma cloud risultavano conosciute esclusivamente dal produttore. Una situazione che, secondo l’Autorità, non consentiva al Comune di escludere che il fornitore del servizio potesse accedere ai dati in chiaro.
La questione è tutt’altro che meramente tecnica. Se il Comune è titolare del trattamento, deve poter dimostrare di esercitare un effettivo governo sui dati trattati. Diventa quindi problematico affidare registrazioni potenzialmente contenenti immagini, conversazioni, condotte penalmente rilevanti e altri elementi destinati a entrare in procedimenti giudiziari a un sistema nel quale il controllo delle chiavi di cifratura rimane sostanzialmente nelle mani del produttore. La crittografia, in altre parole, non è sufficiente se il soggetto che dovrebbe essere escluso dalla conoscibilità dei dati possiede gli strumenti necessari per renderli nuovamente intelligibili. Ed è probabilmente questo uno degli insegnamenti più importanti del provvedimento.
Cloud e trasferimenti verso Paesi terzi
Il secondo grande problema riguarda la dimensione internazionale dell’infrastruttura. Il Comune, secondo il Garante, non aveva adeguatamente verificato l’assenza del rischio di trasferimento dei cosiddetti content data verso Paesi terzi. La questione diventa ancora più delicata perché il concetto di trasferimento non coincide necessariamente con la collocazione fisica del server.
Come già chiarito dall’Autorità nel caso Bergamo, anche l’accesso remoto ai sistemi da parte di soggetti stabiliti fuori dall’Unione europea può assumere rilevanza sotto questo profilo. Per un Comune, quindi, non è sufficiente ricevere dal fornitore l’indicazione che il data center si trova nell’Unione europea. Occorre comprendere chi possa tecnicamente accedere ai dati, da quale Paese, con quali credenziali, per quali attività di assistenza e manutenzione e attraverso quali società appartenenti alla catena contrattuale. È una verifica particolarmente complessa per amministrazioni che acquistano prodotti tecnologici già strutturati e inseriti in ecosistemi cloud internazionali.
Non esistono soltanto i filmati
Altro elemento estremamente interessante riguarda i cosiddetti non-content data. L’attenzione dell’amministrazione tende comprensibilmente a concentrarsi sulle immagini registrate dalla bodycam. Ma attorno al filmato viene generata una quantità considerevole di ulteriori informazioni: log, identificativi degli utenti, dati relativi ai dispositivi, informazioni sull’accesso alla piattaforma e altri metadati tecnici.
Anche questi sono dati personali e devono essere governati. Il Garante contesta al Comune di non aver acquisito dal responsabile del trattamento informazioni sufficienti sul trattamento di questi dati e di non aver verificato adeguatamente l’eventuale trasferimento degli stessi verso Paesi terzi. Un richiamo particolarmente importante perché dimostra come la DPIA non possa limitarsi alla semplice descrizione del ciclo di vita del filmato. Occorre ricostruire l’intera impronta digitale prodotta dal sistema.
Le criticità non finiscono qui. Il Garante rileva anche l’insufficiente valutazione dei soggetti ai quali il responsabile del trattamento può affidare ulteriori attività. In altri termini, non basta conoscere il fornitore con il quale il Comune stipula il contratto. Occorre sapere quali altre società intervengano materialmente nell’erogazione del servizio cloud, nell’assistenza tecnica, nella gestione dell’infrastruttura o in altre componenti del trattamento e verificare le garanzie offerte da ciascuna di esse.
Nel provvedimento di Brescia l’Autorità evidenzia addirittura che non risultavano completamente chiariti i rapporti, le sinergie e i collegamenti tra una delle società coinvolte e una società statunitense, la cui informativa cloud risultava richiamata dalla piattaforma utilizzata dal Comune. È qui che il tema della sovranità digitale dell’amministrazione smette di essere un’espressione teorica e diventa un problema operativo.
Prima le bodycam, poi la privacy
Ma forse il passaggio più interessante dell’intero provvedimento riguarda la sequenza temporale delle decisioni. Dagli atti risulta infatti che il Comune aveva acquistato 35 dispositivi con le relative licenze software e la soluzione cloud già nel giugno 2022, quindi prima della consultazione preventiva sottoposta al Garante. Il dato è significativo. Il rischio è quello di procedere secondo una logica purtroppo ancora frequente nella pubblica amministrazione: prima si individua e si acquista la tecnologia, successivamente si cerca di adattare ad essa la disciplina privacy.
Ma il principio di privacy by design richiede esattamente il contrario. La valutazione dei rischi dovrebbe concorrere alla scelta della soluzione tecnologica, non limitarsi a giustificarla successivamente.
Se la DPIA viene redatta quando il prodotto è già stato acquistato, le licenze sono state sottoscritte e l’architettura cloud è ormai definita, diventa estremamente difficile intervenire sulle criticità strutturali. Una clausola del regolamento interno può essere modificata. Un tempo di conservazione può essere ridotto. Una procedura di accesso può essere corretta. Molto più difficile è cambiare l’architettura crittografica proprietaria di un prodotto o impedire accessi internazionali derivanti dalla struttura organizzativa del fornitore. Ed è esattamente qui che la privacy by design mostra la propria concreta rilevanza.
Bergamo e Brescia: due decisioni che indicano una direzione
Il precedente di Bergamo rende il quadro ancora più chiaro. Con il provvedimento n. 191 del 12 marzo 2026, il Garante aveva già espresso parere sfavorevole sulla DPIA relativa alle bodycam della Polizia locale bergamasca. Anche in quel caso l’Autorità aveva concentrato particolare attenzione sulla soluzione cloud, sulle misure di sicurezza, sulla gestione delle chiavi crittografiche e sul rischio di accessi ai dati da Paesi terzi.
Il Garante aveva inoltre formulato un’osservazione particolarmente significativa: la soluzione tecnica e la modalità di fruizione cloud sembravano essere state considerate dall’amministrazione come un presupposto sul quale costruire la DPIA, anziché come il risultato della preventiva valutazione e comparazione delle possibili soluzioni tecnologiche.
Brescia sembra quindi confermare un orientamento che ormai difficilmente può essere considerato episodico. Per le amministrazioni che intendono utilizzare bodycam nell’ambito delle attività di law enforcement non è sufficiente predisporre un buon regolamento. Serve conoscere e governare l’intera filiera tecnologica.
Ma esiste un’altra strada
Questo non significa, tuttavia, che le bodycam siano destinate a scomparire dalle divise della Polizia locale. Gli stessi provvedimenti del Garante dimostrano che occorre distinguere nettamente le finalità. Una cosa è utilizzare sistematicamente la bodycam per raccogliere prove nell’ambito delle attività di polizia giudiziaria. Altra cosa è utilizzarla come strumento finalizzato principalmente alla tutela dell’incolumità dell’operatore, da attivare quando l’agente si trova esposto a situazioni di pericolo, aggressione o minaccia.
In quest’ultima ipotesi il quadro giuridico cambia. Il Garante ha recentemente ribadito che, quando le bodycam sono utilizzate per prevenire e documentare situazioni di pericolo per chi le indossa, trovano applicazione il GDPR e le disposizioni relative agli strumenti tecnologici utilizzati nell’ambiente di lavoro, compreso l’articolo 4 dello Statuto dei lavoratori. Non si tratta comunque di una scorciatoia. Restano necessari l’accordo sindacale o la diversa procedura prevista dalla legge, una corretta informativa, la valutazione d’impatto quando necessaria, tempi di conservazione proporzionati, regole precise sull’attivazione e adeguate misure di sicurezza.
Il recente provvedimento del Garante relativo al Comune di Cogoleto dimostra, ad esempio, che neppure il consenso degli operatori può sostituire le garanzie previste dall’articolo 4 della legge n. 300/1970. Ma si tratta certamente di un percorso giuridicamente diverso e, in molti contesti operativi, probabilmente più coerente con la reale esigenza che ha spinto molti Comandi ad acquistare questi dispositivi: proteggere gli operatori durante gli interventi più problematici.
Dopo Bergamo e Brescia sarebbe quindi semplicistico concludere che il Garante sia contrario alle bodycam della Polizia locale. La conclusione corretta sembra un’altra. Più aumenta la delicatezza della finalità per cui il dispositivo viene utilizzato, maggiore deve essere il controllo dell’amministrazione sull’intera infrastruttura tecnologica.
Quando la bodycam diventa uno strumento sistematicamente destinato alla raccolta di prove nell’ambito delle attività di polizia giudiziaria, non basta più sapere dove vengono conservati i filmati. Il Comune deve conoscere chi controlla le chiavi crittografiche, chi può accedere ai dati, dove si trovano i soggetti che possono effettuare tali accessi, quali metadati vengono generati, quali società partecipano al trattamento e quali eventuali trasferimenti internazionali possano verificarsi. Una verifica che deve essere effettuata prima dell’acquisto. Ed è forse proprio questa la lezione più importante che arriva dai due provvedimenti del 2026.
Per acquistare una bodycam non basta più verificare risoluzione, autonomia, robustezza e prezzo. Prima ancora del capitolato tecnico occorre costruire un vero e proprio capitolato privacy e cybersecurity, pretendendo dal fornitore informazioni dettagliate sull’architettura del sistema, sulla gestione delle chiavi, sui sub-responsabili, sui flussi internazionali e sugli accessi tecnici. Altrimenti il rischio è quello che Bergamo e Brescia hanno sperimentato direttamente: acquistare una tecnologia perfettamente funzionante dal punto di vista operativo, per scoprire soltanto dopo che la sua architettura non consente al Comune di dimostrare quel controllo effettivo sui dati che la normativa europea pretende dal titolare del trattamento.
Le bodycam, dunque, non sono necessariamente fuori gioco. Ma per quelle destinate alla polizia giudiziaria, oggi, la partita si gioca molto più nel cloud che sulla divisa dell’agente.
