Ordinanza ingiunzione o revoca n. 5 del 11/01/2024

Comune di Trento - trattamenti di dati nei progetti "Marvel" e "Protector"

Il provvedimento riguarda il Comune di Trento, nell’ambito di due progetti europei di ricerca e sperimentazione basati su sistemi di intelligenza artificiale per la sicurezza urbana e, nel caso di "Protector", anche per l’analisi di contenuti social relativi a temi religiosi. Il Garante ha esaminato i trattamenti svolti con il supporto della Fondazione Bruno Kessler, qualificando il Comune come titolare e la Fondazione come responsabile.

Origine del procedimento e trattamenti contestati

L’Autorità è intervenuta a seguito di notizie di stampa e di richieste di informazioni ex art. 157 del Codice privacy. I trattamenti esaminati hanno riguardato:

• filmati acquisiti da telecamere di videosorveglianza installate in spazi pubblici;
• registrazioni audio raccolte tramite microfoni installati sulla pubblica via nel progetto "Marvel";
• messaggi/commenti pubblicati su Twitter/X e YouTube nel progetto "Protector";
• successiva condivisione dei dati tra partner di progetto, Commissione europea e revisori, secondo quanto dichiarato dal Comune.

Qualificazione soggettiva: titolare e responsabile

Il Garante ha ritenuto che il Comune avesse esercitato un’influenza determinante sulle finalità e sui mezzi del trattamento, partecipando alla definizione operativa dei progetti e mettendo a disposizione territorio, impianti e infrastrutture. La Fondazione è stata considerata responsabile del trattamento, in posizione servente rispetto agli obiettivi progettuali e con compiti tecnico-operativi legati all’implementazione delle soluzioni di anonimizzazione e delle piattaforme software.

Trattamento dei dati e inidoneità dell’anonimizzazione

L’Autorità ha ritenuto che i dati inizialmente raccolti fossero dati personali a tutti gli effetti e che le tecniche adottate non avessero prodotto un’effettiva anonimizzazione.

Per l’audio di "Marvel", la sostituzione della voce o l’alterazione del segnale non eliminavano il contenuto semantico delle conversazioni, che poteva contenere elementi identificativi o informazioni su terzi, oltre a non escludere dati particolarmente delicati.

Per i video di "Marvel" e "Protector", l’offuscamento di volti e targhe non escludeva la re-identificazione tramite elementi di contesto, caratteristiche fisiche, localizzazione delle telecamere o incrocio con altre informazioni disponibili.

Per Twitter/X, la sostituzione degli username con identificativi casuali è stata qualificata come pseudonimizzazione, non anonimizzazione. Di conseguenza, i dati restavano soggetti alla disciplina del GDPR.

Base giuridica e violazione del principio di liceità

Il Comune aveva ricondotto i trattamenti alle norme su sicurezza urbana e funzioni amministrative locali, invocando anche l’art. 2-ter del Codice, nonché il quadro di ricerca scientifica. Il Garante ha escluso che tali riferimenti costituissero una base giuridica sufficientemente specifica, chiara e prevedibile, come richiesto dagli artt. 6 e 9 GDPR e dalla giurisprudenza europea richiamata nel provvedimento.

In particolare, il trattamento in questione non poteva essere giustificato dalle disposizioni sulla videosorveglianza per sicurezza urbana, poiché:

• quelle norme sono finalizzate alla prevenzione e al contrasto della criminalità diffusa e predatoria;
• non contemplano l’impiego di microfoni per captare audio;
• non autorizzano l’uso dei dati per finalità ulteriori, come l’addestramento di algoritmi di IA.

Il Garante ha inoltre rilevato che il Comune non aveva dimostrato di essere un ente di ricerca né di operare tramite un ufficio di statistica, con conseguente inapplicabilità delle regole deontologiche richiamate dal Comune come parametro di liceità. Sono state quindi contestate violazioni degli artt. 5, par. 1, lett. a), 6, 9 e 10 GDPR e degli artt. 2-ter, 2-sexies e 2-octies del Codice.

Trasparenza e informative agli interessati

Il provvedimento dedica ampio spazio alle carenze informative. Il Garante ha ritenuto che:

• l’informativa di primo livello non spiegasse correttamente la finalità di ricerca scientifica, facendo invece ritenere che il trattamento fosse riconducibile alla sola sicurezza urbana;
• non fosse adeguatamente indicato che i microfoni potessero captare conversazioni;
• i tempi di conservazione indicati nei cartelli fossero incoerenti con la disciplina applicabile e con la reale dinamica dei trattamenti;
• il cartello non richiamasse in modo sufficiente i diritti degli interessati né indicasse chiaramente dove reperire l’informativa estesa;
• l’informativa di secondo livello non descrivesse adeguatamente i microfoni, l’audio delle conversazioni, né i trattamenti su Twitter/X e YouTube;
• non fossero chiaramente indicate le comunicazioni a partner, Commissione europea e revisori;
• mancasse l’esplicito riferimento al diritto di proporre reclamo all’autorità di controllo.

Il Garante ha quindi ravvisato la violazione degli artt. 13 e 14 GDPR e, per la complessiva opacità del trattamento, anche dell’art. 5, par. 1, lett. a).

Comunicazione dei dati a terzi

Il Comune aveva dichiarato che i dati anonimi o pseudonimi erano condivisi con i partner dei progetti e, per "Protector", anche con la Commissione europea e i revisori. Poiché le tecniche di anonimizzazione non sono state ritenute efficaci e i dati Twitter/X restavano personali, la comunicazione è stata giudicata illecita in assenza di base giuridica. Il Garante ha inoltre rilevato che, nel caso di Twitter/X, la rete di utenti visualizzata in chiaro per alcune forze di polizia implicava anche la conoscibilità di messaggi d’odio in ambito religioso, con conseguente trattamento di dati relativi a reati e a convinzioni religiose.

Valutazione d’impatto sulla protezione dei dati

Secondo il Garante, il Comune era obbligato a svolgere una DPIA prima di avviare i trattamenti, trattandosi di sorveglianza sistematica di zone accessibili al pubblico, su larga scala, con nuove tecnologie e con dati ad alto rischio.

Il documento prodotto dal Comune è stato ritenuto insufficiente perché:

• privo di data certa e di sottoscrizione valida;
• riferito solo ai sistemi di videosorveglianza intelligente, non anche ai trattamenti social;
• privo di una puntuale descrizione dei progetti "Marvel" e "Protector";
• carente nella valutazione di necessità e proporzionalità;
• limitato a profili di sicurezza informatica, senza analizzare i rischi per i diritti e le libertà degli interessati;
• privo di un’adeguata considerazione delle misure di mitigazione;
• non preceduto da una reale consultazione della cittadinanza, che il Garante avrebbe ritenuto opportuna vista l’invasività del trattamento audio.

È stata quindi dichiarata la violazione dell’art. 35 GDPR.

Esiti sul piano sanzionatorio e correttivo

Il Garante ha dichiarato l’illiceità del trattamento e ha archiviato solo alcuni profili specifici, in particolare:

• la contestazione relativa all’art. 28 GDPR, ritenuta superata dalla produzione di un atto di nomina della Fondazione accettato da quest’ultima;
• il profilo relativo alla mancata accessibilità effettiva dei dati alla Polizia locale, sul rilievo che non vi fosse stato un uso operativo dei dati al di fuori del progetto.

Per il resto, ha ordinato:

• il divieto di ulteriore trattamento dei dati personali raccolti nei progetti "Marvel" e "Protector";
• la cancellazione di tali dati;
• la comunicazione al Garante, entro 30 giorni, delle misure adottate.

Ha inoltre applicato una sanzione amministrativa pecuniaria di 50.000 euro, ritenuta proporzionata e dissuasiva, e ha disposto la pubblicazione del provvedimento sul sito dell’Autorità.

Criteri di quantificazione della sanzione

Nella quantificazione il Garante ha considerato la gravità elevata della violazione, dovuta a:

• trattamenti svolti in luoghi pubblici;
• uso di audio e video senza piena consapevolezza degli interessati;
• coinvolgimento di dati relativi a reati e a convinzioni religiose;
• impatto potenzialmente significativo sulla libertà di manifestazione del pensiero, di riunione e di religione.

Sono state però valutate come attenuanti:

• la durata limitata delle registrazioni effettivamente acquisite;
• la circostanza che non vi fosse acquisizione continua;
• la buona fede del Comune, che aveva fatto affidamento sul DPO e sulla consulenza tecnica della Fondazione;
• le iniziative di pubblicità e divulgazione adottate;
• l’esistenza di uno schema di DPIA e del parere del DPO, seppur non sufficiente a integrare una DPIA valida.

Il provvedimento richiama infine la possibilità di ricorso dinanzi all’autorità giudiziaria ordinaria nei termini di legge.