Prescrizioni del Garante n. 123 del 13/04/2023

Comune di Bologna ed ENEA - sistema ShareArt nei musei civici

Il provvedimento riguarda il sistema "ShareArt", sviluppato da ENEA e sperimentato presso le Collezioni Comunali d’Arte di Bologna con la collaborazione dell’Istituzione Bologna Musei, organismo strumentale del Comune. L’istruttoria nasce da una segnalazione relativa all’uso di telecamere e algoritmi per analizzare il comportamento dei visitatori davanti alle opere d’arte.

Origine del procedimento e contenuto della segnalazione

Il Centro Hermes per la Trasparenza e i Diritti umani digitali segnala al Garante che il sistema sarebbe stato impiegato per misurare il gradimento delle opere e verificare anche il corretto uso di mascherina e distanziamento. Secondo la segnalazione, ShareArt rilevava automaticamente i volti che guardavano le opere e acquisiva informazioni sul percorso di avvicinamento, numero di osservatori, tempo e distanza di osservazione, genere, classe di età e stato d’animo. Venivano inoltre contestati possibili effetti discriminatori della classificazione di genere e carenze di trasparenza verso i visitatori.

Attività istruttoria e posizioni delle parti

Nel corso dell’istruttoria ENEA ha sostenuto che il sistema non trattasse dati personali, ma solo dati anonimi, poiché la face detection non consentirebbe l’identificazione delle persone e i frame sarebbero elaborati per circa 100 millisecondi nella memoria RAM, poi cancellati. Il Comune ha rappresentato che l’Istituzione Bologna Musei era stata coinvolta per favorire la sperimentazione scientifica e che l’iniziativa si era svolta in due fasi, con una prima fase di test e una eventuale seconda fase di sviluppo più ampio. Il Comune ha anche evidenziato di avere agito in buona fede, sulla base delle rassicurazioni ricevute da ENEA, e di aver sospeso la sperimentazione appena ricevuta la notifica del Garante.

Qualificazione del trattamento come trattamento di dati personali

Il Garante afferma che il sistema comporta un trattamento di dati personali. Richiama la definizione di dato personale dell’art. 4, par. 1, n. 1, GDPR e la giurisprudenza della Corte di giustizia secondo cui l’immagine del volto costituisce dato personale e la sua registrazione comporta trattamento di dati personali. Non rileva che il sistema non effettui face recognition o che il titolare non sia in grado di identificare direttamente gli interessati: anche l’acquisizione temporanea dei frame contenenti volti, ancorché per un tempo molto breve, integra trattamento. Il sistema, inoltre, non si limita a rilevare la presenza di volti, ma estrae anche informazioni su età, genere, direzione dello sguardo e, in prospettiva, stato d’animo.

Contitolarità tra Comune di Bologna ed ENEA

L’Autorità ritiene che Comune ed ENEA abbiano determinato congiuntamente finalità e mezzi del trattamento e siano pertanto contitolari ai sensi dell’art. 26 GDPR. Il progetto è stato realizzato attraverso un accordo di collaborazione, l’impiego di competenze e risorse di entrambe le parti e la messa a disposizione degli ambienti museali da parte del Comune. I risultati della sperimentazione erano funzionali sia agli interessi scientifici di ENEA sia alle esigenze del Comune di valorizzazione del patrimonio culturale. È irrilevante che il Comune non disponesse delle immagini o che il trattamento fosse articolato in fasi: la contitolarità può sussistere anche senza accesso diretto ai dati e anche quando i ruoli siano diversi lungo la catena del trattamento.

Assenza di base giuridica

Per i soggetti pubblici, il trattamento mediante dispositivi video è legittimo solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), e par. 3, GDPR, nonché dell’art. 2-ter Codice privacy nel testo applicabile ratione temporis. Il Garante rileva che il Comune non ha indicato alcuna norma di legge o di regolamento che prevedesse specificamente il trattamento in esame. Ne consegue la violazione dei principi di liceità, correttezza e trasparenza e l’assenza di un’idonea base giuridica.

Informativa ai visitatori

L’avviso collocato presso il museo informava in modo generico dell’uso del sistema, precisando che non vi era riconoscimento dei volti e che l’informazione utile era il numero di persone che guardavano l’opera. Tuttavia, il Garante osserva che tale avviso non soddisfaceva i requisiti dell’art. 13 GDPR, poiché mancavano tra l’altro:

• i dati di contatto dei contitolari;
• i dati di contatto dei rispettivi DPO;
• la base giuridica del trattamento;
• il periodo di conservazione dei dati o i criteri per determinarlo;
• l’indicazione completa dei diritti degli interessati.

Valutazione delle doglianze sul rischio discriminatorio

Quanto alla contestazione relativa alla possibile classificazione errata del genere e alla discriminazione delle persone non binarie o transgender, il Garante ritiene che, sulla base degli elementi acquisiti, il sistema non abbia concretizzato tale rischio in termini di decisioni con impatto diretto sugli interessati. La questione non assume quindi rilievo autonomo ai fini del dispositivo.

Valutazione finale, attenuanti e misura adottata

Pur dichiarando l’illiceità del trattamento, il Garante considera il caso complessivamente come violazione minore. Pesano in senso favorevole:

• l’assenza di dati biometrici o di categorie particolari;
• la brevissima permanenza delle immagini nei sistemi;
• la durata non eccessiva della sperimentazione e il contesto pandemico;
• il numero limitato di opere interessate;
• la colpa attenuata del titolare, che ha agito nella convinzione, seppur errata, della liceità del progetto;
• la collaborazione prestata dall’amministrazione;
• l’assenza di precedenti rilevanti.

In ragione di tali elementi, il Garante ritiene sufficiente un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza adottare ulteriori misure correttive, anche perché la condotta aveva già esaurito i suoi effetti.

Dispositivo

Il Garante:

• dichiara l’illiceità del trattamento di dati personali effettuato dal Comune di Bologna con il sistema ShareArt, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. e), 12, 13 e 26 GDPR, nonché dell’art. 2-ter Codice privacy nel testo previgente;
• ammonisce il Comune di Bologna ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• rileva i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

Rimedi

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.