La titolarità autonoma impone di ripensare accessi e responsabilità.
Il nuovo schema di protocollo distingue i trattamenti del Comune da quelli dell’Arma. Per gli enti locali, l’aggiornamento degli accordi richiede una revisione concreta dell’organizzazione e delle modalità di utilizzo delle immagini.
La condivisione delle immagini della videosorveglianza comunale con le forze di polizia rappresenta uno degli strumenti più utili della sicurezza integrata, ma anche più spinosi dal punto di vista della privacy. Dietro il collegamento tecnologico, si colloca infatti la necessità di individuare chi tratta i dati, per quali finalità e sotto quale responsabilità. Il nuovo schema di protocollo operativo tra Comuni e Arma dei Carabinieri interviene proprio su questo punto, superando il precedente modello della designazione dell’Arma come responsabile esterno del trattamento e riconoscendone la titolarità autonoma per le proprie finalità di polizia.
Il cambiamento merita attenzione perché rende più coerente la qualificazione privacy con le funzioni effettivamente esercitate dalle amministrazioni. Quando i Carabinieri utilizzano immagini per prevenire un reato, ricostruirne la dinamica o identificarne l’autore, operano nell’ambito delle proprie attribuzioni istituzionali. Non svolgono un servizio di trattamento dei dati per conto del Comune, né ricevono dall’ente locale le istruzioni sull’attività investigativa.
La figura del responsabile prevista dall’articolo 28 del GDPR presuppone, invece, un soggetto che tratta dati per conto del titolare e secondo le sue istruzioni. La contitolarità richiede una determinazione congiunta delle finalità e dei mezzi del trattamento: la semplice condivisione di un’infrastruttura non basta, da sola, a dimostrarla. La qualificazione dei ruoli deve quindi rispecchiare l’organizzazione concreta delle attività, anziché dipendere soltanto dalle formule inserite nell’accordo.
Il punto centrale è la distinzione tra le finalità. Il Comune tratta le immagini per le attività di sicurezza urbana ricondotte al GDPR; l’Arma le utilizza, nell’esercizio delle proprie competenze, per le finalità disciplinate dal decreto legislativo 18 maggio 2018, n. 51, che attua la direttiva europea sulla protezione dei dati nei trattamenti delle autorità competenti in materia penale. Lo stesso filmato può dunque essere interessato da operazioni soggette a regimi diversi, in funzione dello scopo perseguito e del soggetto che agisce.
La proprietà comunale delle telecamere e dei server non determina, pertanto, la titolarità di ogni successivo utilizzo delle immagini. Allo stesso tempo, riconoscere l’autonomia dell’Arma non libera il Comune dalle responsabilità relative alla raccolta, alla conservazione e alla messa a disposizione dei dati. Sul piano operativo, occorre individuare con precisione il passaggio tra questi trattamenti, evitando che la distinzione dei ruoli lasci scoperte proprio le attività svolte attraverso il sistema condiviso.
Lo schema attribuisce al Comune anche la titolarità degli ulteriori trattamenti effettuati dal proprio Corpo o servizio di polizia locale per le funzioni di polizia giudiziaria. Prevede inoltre autorizzazioni scritte, profili differenziati, credenziali individuali e annotazione delle operazioni e delle esigenze che le giustificano. La visione in diretta è collegata agli eventi o alle situazioni indicati negli allegati. La consultazione delle registrazioni e l’estrazione delle copie sono disciplinate separatamente.
Anche l’accesso diretto delle centrali operative richiede una traduzione concreta nelle configurazioni tecniche. Le autorizzazioni dovrebbero corrispondere alle funzioni effettivamente disponibili. Vedere una telecamera in diretta, ricercare una registrazione ed esportare un filmato sono operazioni diverse. La tracciabilità deve permettere di ricostruire chi ha agito e per quale esigenza, senza compromettere la riservatezza delle indagini. In questo quadro, la gestione delle abilitazioni, la loro revoca e il controllo dei log diventano elementi essenziali dell’attuazione dell’accordo.
La valutazione d’impatto costituisce un altro passaggio sostanziale. Lo schema distingue la DPIA comunale ai sensi dell’articolo 35 GDPR da quella dell’Arma prevista dall’articolo 23 del d.lgs. 51/2018, contemplando per quest’ultima una valutazione nazionale relativa a trattamenti omogenei. Questa soluzione va letta tenendo presente che le caratteristiche del singolo impianto devono essere effettivamente compatibili con il modello valutato. Per il Comune, il collegamento con soggetti esterni deve essere considerato nella valutazione del sistema e dei suoi rischi.
Il Garante ricorda, del resto, che la DPIA è sempre richiesta per la sorveglianza sistematica su larga scala di una zona accessibile al pubblico e può essere necessaria anche per sistemi integrati che collegano telecamere tra soggetti diversi. Una valutazione riferita a un impianto esclusivamente comunale deve quindi essere riesaminata quando cambiano in modo significativo accessi, collegamenti e modalità di utilizzo.
Occorre mantenere altrettanto alta l’attenzione sulla conservazione. Per la videosorveglianza comunale in luoghi pubblici o aperti al pubblico destinata alla sicurezza urbana, l’articolo 6, comma 8, del decreto-legge n. 11/2009 limita la conservazione ai sette giorni successivi alla rilevazione, facendo salve speciali esigenze di ulteriore conservazione. Questo termine riguarda l’archivio ordinario del sistema e va distinto dalla conservazione di una copia acquisita legittimamente per una specifica indagine. Il Garante ammette il prolungamento, ad esempio, per dare seguito a una richiesta dell’autorità giudiziaria o della polizia giudiziaria relativa a un’attività investigativa in corso.
La titolarità autonoma rende più leggibile anche la distribuzione delle responsabilità, ma il suo valore dipenderà dall’attuazione. Un sistema condiviso funziona correttamente quando ogni amministrazione può utilizzare le immagini necessarie alle proprie competenze e, nello stesso tempo, dimostrare la legittimità delle operazioni compiute. È su questa capacità organizzativa, oltre che sulla qualità delle telecamere, che si misura la solidità della videosorveglianza integrata.
