Parere del Garante n. 191 del 12/03/2026

Parere sfavorevole sulla DPIA del Comune di Bergamo per l’uso di bodycam

Il Garante per la protezione dei dati personali si pronuncia sulla valutazione d’impatto relativa al trattamento di dati personali connesso all’utilizzo di bodycam da parte degli agenti del Comando di Polizia locale del Comune di Bergamo. Il parere è reso nell’ambito della consultazione preventiva prevista dal d.lgs. 51/2018 per trattamenti ad alto rischio finalizzati alla prevenzione, indagine, accertamento e perseguimento di reati.

Contesto del trattamento e base normativa

Il trattamento riguarda la raccolta, l’archiviazione, l’analisi e l’eventuale esportazione di immagini e riprese audio-video effettuate dagli agenti durante specifiche operazioni di polizia giudiziaria. Il titolare è il Comune di Bergamo. Le bodycam sono assegnate solo a servizi autorizzati dal dirigente del Comando e vengono attivate ordinariamente su ordine del coordinatore, o eccezionalmente dagli agenti in situazioni contingibili e urgenti.

Il Garante richiama il quadro del d.lgs. 51/2018, oltre al GDPR e al Codice privacy, e considera il trattamento soggetto a consultazione preventiva ai sensi dell’art. 24, comma 1, lettere a) e b), del decreto, in quanto la DPIA evidenzia un rischio elevato residuo.

Descrizione del sistema e dei dati trattati

La DPIA descrive un sistema composto da bodycam, software di gestione, docking station e server cloud per l’archiviazione. Il sistema registra immagini, metadati tecnici, profili utenti, assegnazione dei dispositivi, log delle attività e informazioni di servizio. Le riprese vengono memorizzate localmente per 30 secondi e, all’attivazione, conservano anche i 30 secondi precedenti; al termine del servizio i file vengono scaricati sul server, mentre quelli non rilevanti vengono cancellati.

Il trattamento può interessare dati particolari ex art. 9 GDPR e dati relativi a reati ex art. 10 GDPR, anche in relazione ai contesti operativi in cui la registrazione può avvenire.

Profilo della conservazione, trasparenza e diritti degli interessati

La DPIA prevede una conservazione delle riprese per 15 giorni, salvo eventuali esportazioni per accertamenti di reato. L’informazione agli interessati è assicurata, secondo il titolare, mediante avviso orale dell’agente, visibilità del dispositivo e segnale luminoso di attivazione; successivamente il Comune prevede un’informativa specifica dedicata al trattamento tramite bodycam, integrativa di quella già esistente per le attività di prevenzione e accertamento dei reati.

È indicato anche un canale per l’esercizio dei diritti tramite posta elettronica certificata e viene richiamata una procedura interna per la gestione delle richieste ai sensi del d.lgs. 51/2018.

Istruttoria del Garante e rilievi sulle prime versioni della DPIA

L’Ufficio del Garante, esaminata la prima versione della DPIA, ha chiesto chiarimenti e integrazioni, rilevando in particolare che il download automatico delle immagini su server collocato nel Regno Unito e gestito da soggetti esteri poteva configurare un trasferimento verso Paese terzo. Sono stati inoltre chiesti approfondimenti su eventuali funzioni di riconoscimento facciale, sulle modalità di informazione agli interessati, sull’architettura tecnica del sistema, sulle cifrature, sul server remoto e sulla legittimità dell’inclusione delle Forze Armate tra i soggetti che potevano richiedere l’esportazione dei file.

Su richiesta dell’Autorità, il Comune ha trasmesso una seconda versione della DPIA con numerose precisazioni tecniche e organizzative, tra cui la smentita dell’uso di sistemi di riconoscimento facciale, dettagli sulla memoria built-in, sulla cifratura, sulle modalità di autenticazione e sulla gestione del cloud.

Ulteriori osservazioni del Garante sulla seconda versione

Dopo la seconda versione, il Garante ha ritenuto ancora insufficiente il livello di dettaglio sulla componente server in cloud e sulle misure di sicurezza effettivamente adottate dal fornitore. In applicazione degli artt. 16 e 18 del d.lgs. 51/2018, l’Autorità ha ribadito che il titolare deve adottare misure tecniche e organizzative adeguate sin dalla progettazione e deve disporre di informazioni sufficienti per dimostrare che il fornitore assicuri effettiva protezione dei dati e dei diritti degli interessati.

Per questo è stata richiesta una terza versione della DPIA con ulteriori elementi sul software, sulla cifratura dei dati al server remoto, sulla valutazione del rischio residuo e sulla conformità all’uso di servizi cloud nella pubblica amministrazione.

Valutazione finale: criticità sulla soluzione tecnica e sul trasferimento di dati

Con la terza versione, il Comune ha fornito ulteriori dettagli sul software e sulla sicurezza complessiva del servizio, ma il Garante ritiene che permangano elementi non adeguatamente chiariti. In particolare, non risultano esplicitati i criteri di composizione delle chiavi crittografiche associate alle videocamere, mentre appare che tali chiavi siano nella disponibilità del fornitore estero. Inoltre, l’Autorità osserva che la documentazione tecnica indica che, una volta giunti al server, i dati sono decifrati e trasferiti in un ambiente di stoccaggio sicuro, circostanza che conferma la dipendenza del trattamento da una soluzione cloud sviluppata da un produttore extra-UE.

Il Garante sottolinea che, in base al principio di responsabilità del titolare, il Comune deve garantire il rispetto di tutti i principi applicabili, incluso quello di sicurezza dei dati ex art. 3, comma 1, lett. f), e comma 4, del d.lgs. 51/2018. Ritiene inoltre che il trattamento presenti un rischio elevato non adeguatamente mitigato.

Trasferimento verso Paesi terzi e parere conclusivo

L’Autorità afferma infine che, indipendentemente dalla collocazione fisica dei sistemi, l’accesso remoto da parte di soggetti stabiliti fuori dall’Unione europea configura comunque un trasferimento di dati verso Paesi terzi, in violazione dell’art. 31, comma 1, lett. b), del d.lgs. 51/2018 se non ricorrono le condizioni previste dalla norma.

Per tali ragioni il Garante esprime parere sfavorevole sulla valutazione d’impatto concernente il trattamento di dati personali connesso all’uso delle bodycam da parte del Comando di Polizia locale del Comune di Bergamo.