Prescrizioni del Garante n. 122 del 13/04/2023

Enea – sistema ShareArt nei musei civici di Bologna

Il provvedimento riguarda il sistema "ShareArt" sviluppato da Enea e sperimentato nelle Collezioni Comunali d’Arte di Palazzo D’Accursio in collaborazione con l’Istituzione Bologna Musei. Il Garante è intervenuto a seguito di una segnalazione che denunciava un uso di telecamere e algoritmi per misurare il gradimento delle opere e raccogliere informazioni sui visitatori.

Origine del procedimento e istruttoria

La segnalazione descriveva un sistema capace di rilevare automaticamente i volti rivolti verso le opere e di acquisire dati sul percorso di avvicinamento, numero di persone, tempo e distanza di osservazione, genere, classe di età e stato d’animo. L’istruttoria ha incluso richieste di informazioni a Enea e al Comune, memorie difensive e un’audizione dell’ente di ricerca. Le parti hanno sostenuto che il sistema non trattasse dati personali, perché i frame sarebbero stati elaborati istantaneamente e trasformati in dati numerici anonimi.

Trattamento di dati personali tramite dispositivi video

Il Garante ha respinto la tesi dell’anonimato sin dalla raccolta. Ha affermato che il dato iniziale era l’immagine del volto del visitatore, acquisita in un frame e mantenuta nella memoria volatile per un tempo brevissimo, ma comunque sufficiente a integrare un trattamento di dati personali. È stato richiamato il principio secondo cui l’immagine di un volto è un dato personale e la sua elaborazione tramite dispositivi video costituisce trattamento, indipendentemente dal fatto che il titolare non conosca l’identità dell’interessato o non persegua il riconoscimento biometrico. Il sistema, pur non essendo finalizzato alla face recognition, eseguiva face detection e ricavava anche informazioni su età, genere e alcuni elementi emotivi.

Contitolarità tra Enea e Comune

Il Garante ha ritenuto che Enea e il Comune avessero determinato congiuntamente finalità e mezzi del trattamento, configurando una contitolarità ai sensi dell’art. 26 GDPR. Il progetto era stato attuato nei musei comunali sulla base di un accordo di collaborazione, con apporto congiunto di competenze, risorse, scelta delle attività e condivisione dei benefici scientifici e dei risultati aggregati. È stato evidenziato che la contitolarità non richiede necessariamente pari accesso ai dati, e che anche la sola messa a disposizione degli spazi museali e l’autorizzazione all’uso dei dispositivi rendevano il Comune parte essenziale del trattamento.

Assenza di base giuridica

Esclusa l’applicabilità di un trattamento lecito ai sensi dell’art. 6, par. 1, lett. e), GDPR, l’Autorità ha osservato che l’ente non ha indicato una norma di legge o di regolamento che prevedesse specificamente quel trattamento di immagini dei visitatori. Le norme richiamate da Enea sulla propria missione istituzionale sono state giudicate troppo generiche e non idonee a fondare un trattamento così invasivo. Il Garante ha anche escluso che fosse dimostrata la necessità del trattamento per finalità di ricerca scientifica in senso tecnico, evidenziando che il progetto non appariva strutturato come un progetto di ricerca specifico con garanzie adeguate per gli interessati.

Mancata proporzionalità e minimizzazione

Anche sotto il profilo della necessità e proporzionalità, il Garante ha ritenuto che il sistema non fosse giustificato. Condizionare la fruizione di opere d’arte pubbliche all’acquisizione e all’analisi dei volti dei visitatori è stato considerato eccessivo rispetto al fine di ottenere dati sulle modalità di osservazione. L’Autorità ha osservato che l’obiettivo avrebbe potuto essere perseguito con modalità meno invasive, ad esempio limitando il sistema a sale specifiche, a opere non permanenti o a finestre temporali con adesione volontaria e adeguato preavviso.

Informativa insufficiente

È stata accertata anche la violazione degli artt. 12 e 13 GDPR. Il cartello esposto presso la biglietteria informava in modo generico dell’uso del sistema e del fatto che non venissero registrate immagini, ma non conteneva tutti gli elementi richiesti: non indicava chiaramente che era in corso un trattamento di dati personali, né forniva base giuridica, dati di contatto dei contitolari e dei rispettivi DPO, tempi di conservazione e diritti degli interessati. Per questo il trattamento è stato ritenuto non trasparente.

Valutazione sulla discriminazione e sulle misure adottate

La segnalazione lamentava anche possibili effetti discriminatori della classificazione per genere. Il Garante ha però escluso che, nel caso concreto, il sistema avesse prodotto decisioni idonee a incidere sui diritti delle persone o a determinare discriminazioni. Il trattamento non è stato qualificato come trattamento di dati biometrici o di categorie particolari di dati ai sensi dell’art. 9 GDPR.

Esito e misura adottata

L’Autorità ha dichiarato l’illiceità del trattamento e ha ammonito Enea, quale titolare del trattamento, per la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. e), 12, 13 e 26 GDPR, nonché dell’art. 2-ter del Codice privacy nel testo applicabile ratione temporis. Non sono state adottate ulteriori misure correttive, anche perché la condotta aveva esaurito i suoi effetti. La scelta dell’ammonimento è stata giustificata con la brevità del trattamento, il contesto pandemico, il numero limitato di opere interessate, la buona fede dell’ente, la collaborazione prestata e l’assenza di precedenti violazioni rilevanti.

Impugnazione

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.