Consultazione preventiva per adozione della DPIA n. 425 del 11/06/2026

Comune di Brescia – parere non favorevole sulla DPIA per body cam della Polizia locale

Il Garante per la protezione dei dati personali esamina la nuova versione della valutazione di impatto (DPIA) presentata dal Comune di Brescia per l’impiego di videocamere indossabili da parte degli agenti della Polizia locale. Il procedimento nasce da una precedente interlocuzione con l’Ufficio del Garante, che aveva già segnalato varie criticità; la nuova versione, pur migliorativa, viene comunque ritenuta non conforme sotto profili essenziali.

Contesto, finalità e base giuridica

Il trattamento riguarda l’utilizzo delle body cam nel corso di eventi connessi all’esercizio di funzioni di polizia giudiziaria, con finalità di raccolta e conservazione di elementi di prova audio-video o fotografici relativi a condotte illecite penalmente rilevanti. La base giuridica viene individuata nell’art. 5, primo comma, lett. a), della legge 7 marzo 1986, n. 65, e nell’art. 57 del d.P.R. n. 447/1988, mentre l’intero impianto è ricondotto al d.lgs. 18 maggio 2018, n. 51, attuativo della direttiva (UE) 2016/680.

Ruoli del trattamento, autorizzazioni e informativa

Il titolare del trattamento è il Comune di Brescia; il Comandante pro tempore del Corpo di Polizia locale è indicato come designato dal titolare. La società che fornisce la piattaforma cloud è nominata responsabile del trattamento. Gli operatori di Polizia locale sono preventivamente formati e autorizzati mediante regole scritte e disciplinare operativo.

Gli operatori del Corpo, in quanto dipendenti comunali, sono anche interessati del trattamento quando la ripresa li coinvolge. Per tale profilo il Garante rileva che il Comune ha predisposto un’informativa distinta, oltre ad aver stipulato un accordo sindacale ai sensi dell’art. 4 della legge n. 300/1970. Per i soggetti esterni ripresi dalle body cam, il regolamento comunale sulla videosorveglianza e l’informativa estesa dovrebbero garantire l’esercizio dei diritti, mentre l’attivazione del dispositivo deve essere segnalata con modalità visibili e udibili.

Modalità operative di utilizzo delle body cam

Il dispositivo è assegnato individualmente agli operatori, con identificazione tramite numero di serie o numerazione univoca e con responsabilità per incuria, danneggiamento o uso improprio. L’assegnazione avviene tramite accesso a un armadio dedicato e compilazione di un registro. L’attivazione è normalmente disposta dall’ufficiale presente di grado più elevato; in caso di urgenza o assenza dell’ufficiale può provvedere l’operatore nei casi di tutela dell’incolumità, assicurazione delle fonti di prova, indagini ex artt. 348 e 354 c.p.p., flagranza di reato o concreto pericolo di danno a persone e cose.

Le registrazioni sono crittografate su memoria non accessibile nel dispositivo; il personale autorizzato può consultare i filmati solo tramite software gestionale, senza creare copie se non su richiesta dell’autorità giudiziaria. Le riprese effettuate per errore o fuori dalle finalità devono essere immediatamente rimosse. Ogni operazione di accesso, consegna, estrazione e consultazione è tracciata e documentata.

Conservazione, esportazione e sicurezza tecnica

La DPIA prevede la cancellazione automatica dei filmati dopo sette giorni, salvo che emergano immagini pertinenti e rilevanti, nel qual caso il personale incaricato le mette a disposizione dell’ufficiale responsabile del nucleo di polizia giudiziaria, che può disporre una conservazione ulteriore fino a sei mesi, salvo diversa disposizione dell’autorità giudiziaria.

Per l’esportazione dei dati sono previste due modalità: supporto USB crittografato oppure CD-DVD crittografato, con consegna della chiave di decifratura all’avente diritto. Il sistema utilizza inoltre uno storage a stato solido non rimovibile e un cloud dedicato ospitato in data center situati nei Paesi Bassi e in Irlanda. La DPIA dichiara che non è previsto il trasferimento dei dati al di fuori dell’Unione europea.

Funzioni di intelligenza artificiale

Il sistema XX include due funzioni di AI: Redaction, per l’oscuramento automatico di informazioni sensibili nelle registrazioni, e Automated People Detection (ADP), per il rilevamento automatico delle persone presenti nei file video. Il Garante ne dà atto, ma non fonda su tali funzionalità la propria decisione, che si concentra invece sulle criticità di governance, sicurezza e trasferimento dei dati.

Criticità rilevate sul controllo dei dati e sulle chiavi crittografiche

Il principale rilievo riguarda la circostanza che le chiavi crittografiche utilizzate per proteggere sia le registrazioni nelle body cam sia i dati conservati nel cloud sarebbero conosciute esclusivamente dal produttore. Il Garante osserva che mancano dettagli tecnici sufficienti sul processo di gestione delle chiavi e che non si può escludere un accesso ai dati del titolare in chiaro da parte del fornitore del servizio.

Secondo l’Autorità, ciò incide sulla conformità agli articoli 5, comma 1, e 25 del d.lgs. 51/2018, poiché la DPIA non dimostra una protezione adeguata dei dati rispetto al modello di erogazione in cloud adottato.

Trasferimenti internazionali dei content data

Il Garante considera inoltre non adeguatamente valutato il rischio che i content data possano essere trasferiti o comunque resi accessibili in Paesi terzi. Viene richiamato il fatto che, a fronte della natura globale dell’infrastruttura cloud e della documentazione contrattuale e informativa del fornitore, non può escludersi l’accesso da parte di autorità pubbliche estere in assenza delle condizioni previste dal capo IV del d.lgs. 51/2018.

L’Autorità sottolinea che nel settore del law enforcement il trasferimento verso Paesi terzi è ammesso solo entro vincoli specifici e, in particolare, solo verso autorità competenti per le finalità di cui all’art. 1 del decreto, oppure in casi occasionali e strettamente necessari. La scelta di un sub-responsabile operativo su base permanente non appare compatibile con tale impostazione.

Non-content data e trattamento ulteriore del responsabile

Un ulteriore profilo critico riguarda i cosiddetti non-content data, rispetto ai quali il responsabile del trattamento è indicato, in alcune parti della documentazione, come titolare autonomo. Il Garante ritiene che le definizioni fornite siano troppo generiche e non consentano al Comune di capire quali dati siano trattati, per quali finalità e con quali basi di legittimazione. Manca quindi una verifica effettiva del rispetto dell’art. 5 del d.lgs. 51/2018 e dell’art. 6, comma 1, del medesimo decreto, che vieta il riutilizzo per finalità diverse salvo espresso fondamento normativo.

Inoltre, l’informativa del fornitore lascia intendere che tali dati possano essere trattati anche al di fuori dello SEE e condivisi con terzi per finalità operative e di sviluppo del servizio. Il Comune non dimostra di aver verificato in modo adeguato la compatibilità di tali trattamenti con il quadro normativo applicabile.

Sub-responsabili e verifica delle garanzie

L’accordo con il responsabile prevede il divieto di sub-contrattazione senza autorizzazione specifica del titolare, ma l’elenco dei sub-responsabili è giudicato insufficiente. Il documento indica un sub-responsabile per infrastrutture di terze parti, con data center nei Paesi Bassi e in Irlanda, senza descrivere concretamente le operazioni affidate.

Il Garante rileva che il Comune non ha dimostrato di aver effettuato una vera verifica delle garanzie offerte dai sub-responsabili, come richiesto dall’art. 18, comma 1, del d.lgs. 51/2018, e richiama la necessità di un controllo particolarmente rigoroso per trattamenti ad alto rischio.

Osservazioni su rapporti con soggetti statunitensi e approccio alla scelta del servizio

Nel provvedimento viene anche segnalata l’assenza di chiarimenti sui rapporti tra la società fornitrice del servizio e una società statunitense, dedotti dalla presenza di un link a una privacy notice di quest’ultima. Il Garante considera tale aspetto rilevante perché rafforza il dubbio circa la possibile esposizione dei dati a soggetti o ordinamenti terzi.

L’Autorità osserva inoltre che la scelta del servizio cloud sembra essere stata assunta prima delle necessarie valutazioni di protezione dei dati, poiché il Comune aveva già acquisito il prodotto in precedenza e non ha chiarito se vi sia stata una comparazione con soluzioni alternative sul mercato né come siano stati considerati i profili privacy connessi al trattamento.

Esito del provvedimento

Sulla base di tutte le criticità elencate, il Garante conclude che la DPIA e gli allegati del Comune di Brescia non risultano conformi alla disciplina applicabile. In particolare, vengono richiamate le violazioni o carenze relative a:

• controllo delle chiavi crittografiche e possibile accesso ai dati in chiaro;
• mancata verifica del rischio di trasferimento dei content data in Paesi terzi;
• insufficiente istruttoria sui non-content data e sulle finalità ulteriori del responsabile;
• mancata verifica dei trasferimenti in Paesi terzi anche per tali dati;
• mancata valutazione delle informazioni necessarie per autorizzare il ricorso ai sub-responsabili e dell’adeguatezza delle relative garanzie;
• mancata verifica che il sub-responsabile non comunichi dati a soggetti stabiliti in Paesi terzi senza le condizioni richieste.

Pertanto, ai sensi dell’art. 24, comma 5, del d.lgs. 51/2018, il Garante esprime parere non favorevole sulla valutazione di impatto presentata dal Comune di Brescia per il sistema di body cam della Polizia locale.