Consultazione preventiva per adozione della DPIA n. 743 del 04/12/2025

Comune di Pescara: parere non favorevole sulla DPIA del sistema body cam per la Polizia locale

Il Garante per la protezione dei dati personali ha esaminato la quarta versione della valutazione di impatto presentata dal Comune di Pescara per l’introduzione di videocamere operative individuali (body cam) in dotazione agli agenti della Polizia locale. Il procedimento origina da una serie di interlocuzioni precedenti, nelle quali l’Ufficio aveva già segnalato rilevanti criticità tecniche e giuridiche nelle versioni antecedenti della DPIA.

Oggetto e finalità del trattamento

La soluzione è stata progettata per consentire la registrazione di immagini e video nell’ambito di attività di pubblica sicurezza, prevenzione e repressione dei reati, polizia giudiziaria e tutela dell’incolumità degli operatori e delle persone coinvolte. L’uso delle body cam è previsto in luoghi pubblici o aperti al pubblico, in alcuni casi anche in luoghi privati, al verificarsi di situazioni di pericolo, di criticità o di specifiche attività operative di polizia giudiziaria. Le registrazioni possono essere utilizzate come fonte di prova e anche per l’esercizio del diritto di difesa dell’operatore o delle vittime di reato.

Soggetti coinvolti e organizzazione del trattamento

Il titolare del trattamento è il Comune di Pescara. Il Comandante del Corpo di Polizia locale opera quale soggetto autorizzato al trattamento sulla base di delega del Sindaco; gli agenti designati possono usare le body cam solo nei casi di effettiva necessità; la visione delle immagini è riservata a soggetti diversi da quelli che hanno effettuato la ripresa e il riversamento. È previsto anche un responsabile del trattamento per il servizio cloud, regolato da apposito contratto.

Base giuridica e quadro normativo richiamato

La DPIA indica come basi giuridiche l’art. 6, par. 1, GDPR e l’art. 1, comma 2, del d.lgs. 51/2018, richiamando inoltre il d.l. 14/2017, gli artt. 55 e 234 c.p.p., l’art. 10, comma 6-quater, del d.l. 14/2017 e il d.P.R. 15 gennaio 2018, n. 15. Il Garante ha però rilevato che il trattamento rientra nel campo di applicazione del solo d.lgs. 51/2018, sicché il persistente riferimento al GDPR e al d.P.R. 15/2018 genera incertezza sul regime applicabile e sulla corretta impostazione della valutazione di impatto.

Conservazione dei dati e gestione dei log

Le immagini vengono conservate in cloud qualificato AGID e, secondo la DPIA, cancellate entro 24 ore se non riguardano reati; in caso di riprese rilevanti per fatti di reato, la cancellazione avviene entro 7 giorni, salvo diversa disposizione dell’autorità giudiziaria. Sono previste anche cancellazioni tempestive per registrazioni accidentali o avviate in assenza dei presupposti. Tuttavia, il Garante ha contestato il mancato inserimento di un termine certo per la conservazione dei file di log, compresi quelli relativi alle operazioni di cancellazione, aspetto già segnalato in precedenza.

Valutazioni tecniche e criticità sulla sicurezza

L’Autorità ha ritenuto che la documentazione tecnica prodotta fosse ancora insufficiente per una valutazione compiuta, nonostante il sistema del fornitore sia qualificato come SaaS nel catalogo ACN. Non risultano chiariti in modo adeguato l’architettura del sistema, i protocolli e gli algoritmi di sicurezza, le modalità di cifratura e di gestione delle chiavi, l’eventuale autenticazione multifattoriale, i backup, le postazioni client, l’accesso remoto e i meccanismi di integrità dei dati. Inoltre, il Garante ha osservato che non è stata documentata una vera valutazione comparativa tra soluzioni di mercato, nonostante l’elevato rischio del trattamento.

Presenza di sim nelle body cam e profili di trasferimento extra-UE

È stata confermata la presenza di sim nelle videocamere, ma senza chiarimenti sulle ragioni tecniche di tale scelta. Più in generale, il sistema è interamente cloud e il fornitore è una società statunitense; ciò ha indotto il Garante a rilevare che l’eventuale accessibilità dei dati da parte di soggetti stabiliti fuori dall’Unione europea potrebbe integrare un trasferimento verso Paesi terzi. In mancanza di elementi tecnici sufficienti, in particolare sulla gestione delle chiavi crittografiche e sulla possibilità che il fornitore acceda ai dati in chiaro, non è stato possibile escludere la violazione dell’art. 31, comma 1, lett. b), del d.lgs. 51/2018.

Esito del procedimento

Alla luce delle criticità residue, il Garante ha espresso, ai sensi dell’art. 24, comma 5, del d.lgs. 51/2018, parere non favorevole sulla DPIA del Comune di Pescara relativa all’impiego delle body cam da parte della Polizia locale. Il provvedimento non contiene una sanzione, ma un esito negativo della valutazione preventiva richiesta dall’amministrazione.