Una telecamera riprende un'aggressione nel centro di una città. Le immagini vengono conservate dal sistema di videosorveglianza comunale, mentre la Polizia di Stato avvia un'indagine per identificare i responsabili. Per ricostruire l'accaduto, gli investigatori hanno bisogno di acquisire rapidamente le registrazioni, confrontarle con altre informazioni e, eventualmente, trasmetterle ad altre autorità. Un'operazione apparentemente ordinaria che solleva interrogativi giuridici tutt'altro che semplici: chi può accedere alle immagini? Per quanto tempo possono essere conservate? Il fatto che siano state raccolte per la sicurezza urbana ne autorizza automaticamente l'utilizzo in un procedimento penale?
Queste domande riguardano un cambiamento profondo nel funzionamento della pubblica sicurezza. Telecamere intelligenti, sistemi di lettura automatica delle targhe, archivi digitali e piattaforme di condivisione stanno rendendo le informazioni personali una risorsa sempre più importante per la prevenzione e il contrasto della criminalità. La possibilità di collegare dati provenienti da amministrazioni differenti consente di ricostruire eventi con maggiore rapidità, ma amplia contemporaneamente il numero di soggetti che possono entrare in contatto con informazioni sensibili. La cooperazione istituzionale diventa quindi anche un problema di governo dei dati, responsabilità e controllo degli accessi.
L'efficienza investigativa, tuttavia, non costituisce un'autorizzazione generale alla circolazione delle informazioni. Nel diritto europeo, anche le attività di polizia devono rispettare requisiti di legalità, necessità e proporzionalità. Non si tratta di impedire alle autorità di collaborare, bensì di evitare che infrastrutture progettate per finalità determinate si trasformino progressivamente in strumenti di sorveglianza utilizzabili senza limiti sufficientemente definiti.
QUANDO LE INFORMAZIONI PASSANO DA UN'AMMINISTRAZIONE ALL'ALTRA
La principale difficoltà nasce dalla pluralità degli attori coinvolti nella sicurezza urbana. Comuni, Polizia Locale, Questure, Carabinieri e altre autorità operano con competenze differenti, pur trovandosi frequentemente a utilizzare informazioni provenienti dagli stessi sistemi tecnologici. Una telecamera installata dal Comune, ad esempio, può contribuire alla gestione della viabilità, alla tutela di uno spazio pubblico oppure a un'indagine giudiziaria. Tuttavia, il passaggio da una finalità all'altra non è giuridicamente irrilevante.
Il quadro normativo europeo distingue infatti due regimi. Il Regolamento generale sulla protezione dei dati, noto come GDPR, disciplina in via generale il trattamento dei dati personali, mentre la direttiva (UE) 2016/680, recepita in Italia con il decreto legislativo n. 51 del 2018, regola i trattamenti effettuati dalle autorità competenti per prevenire, indagare, accertare e perseguire reati o eseguire sanzioni penali, comprese determinate attività di salvaguardia della sicurezza pubblica. La differenza non dipende semplicemente dall'identità dell'amministrazione che possiede il dato, ma dalla finalità concreta dell'operazione e dalle competenze esercitate.
Questo significa che uno stesso soggetto pubblico può essere chiamato ad applicare discipline differenti a seconda dell'attività svolta. Per esempio, un trattamento comunale destinato alla gestione amministrativa della mobilità non diventa automaticamente un trattamento per finalità di polizia solo perché le immagini possono risultare utili agli investigatori. L'eventuale comunicazione deve trovare fondamento nelle norme applicabili e rispettare le condizioni previste per quel particolare utilizzo.
È proprio in questo passaggio che gli accordi di cooperazione assumono rilevanza. Patti per la sicurezza, protocolli operativi e procedure condivise permettono di individuare responsabilità, modalità di accesso e percorsi di trasmissione. Questi strumenti possono rendere più efficiente l'interazione tra amministrazioni, ma non possono sostituire una base giuridica richiesta dalla legge. Un accordo organizzativo, da solo, non attribuisce nuovi poteri investigativi e non rende lecito un trattamento altrimenti vietato.
IL CASO EUROPOL: QUANDO CONSERVARE TROPPE INFORMAZIONI DIVENTA UN RISCHIO
Le difficoltà legate alla gestione delle informazioni investigative non riguardano esclusivamente le amministrazioni locali. Nel gennaio 2022 il Garante europeo della protezione dei dati, European Data Protection Supervisor (EDPS), adottò un provvedimento nei confronti di Europol, l'agenzia dell'Unione europea che sostiene la cooperazione tra le autorità nazionali di contrasto alla criminalità.
L'intervento arrivò al termine di un'indagine avviata nel 2019 sulla gestione di grandi quantità di dati personali. Il problema riguardava la conservazione di informazioni relative a persone per le quali non era stato stabilito un collegamento con attività criminali. Secondo l'EDPS, mantenere tali informazioni senza adeguati criteri di classificazione e limiti temporali esponeva gli interessati a rischi incompatibili con le garanzie previste dalla disciplina applicabile. L'autorità ordinò quindi la cancellazione dei dati nelle condizioni individuate dal provvedimento.
Il caso dimostra quanto sia delicato il rapporto tra capacità tecnologica e legittimità del trattamento. Un sistema informatico può essere perfettamente in grado di archiviare enormi quantità di informazioni, collegare soggetti diversi e individuare possibili relazioni investigative. Ma la possibilità tecnica di conservare un dato non coincide con il diritto di mantenerlo indefinitamente. L'accumulo di informazioni, anche quando nasce dall'esigenza di prevenire attività criminali, può produrre effetti sproporzionati se non accompagnato da criteri per distinguere persone sospettate, vittime, testimoni e soggetti estranei alle indagini.
Esiste inoltre una conseguenza meno evidente. Archivi sempre più estesi possono diventare meno affidabili se contengono dati obsoleti, informazioni non verificate o collegamenti privi di sufficiente rilevanza investigativa. Il rischio non riguarda soltanto la privacy, ma anche la qualità delle decisioni operative. Una cooperazione efficace richiede informazioni pertinenti, aggiornate e correttamente contestualizzate, non semplicemente una quantità maggiore di dati disponibili.
VIDEOSORVEGLIANZA E RICONOSCIMENTO FACCIALE: IL CONFINE DEL CONTROLLO
In Italia, uno degli esempi più significativi del rapporto tra innovazione tecnologica e limiti giuridici è rappresentato dal progetto SARI Real Time, esaminato dal Garante per la protezione dei dati personali nel 2021. Il sistema proposto dal Ministero dell'Interno prevedeva l'utilizzo di telecamere per analizzare in tempo reale i volti delle persone presenti in determinate aree e confrontarli con una lista di soggetti ricercati, potenzialmente composta da migliaia di immagini.
L'obiettivo operativo era rendere più rapida l'identificazione delle persone di interesse per le forze dell'ordine. Il funzionamento del sistema, però, comportava l'elaborazione automatizzata dei dati biometrici anche di persone non coinvolte in alcuna attività illecita. Il 25 marzo 2021 il Garante espresse un parere sfavorevole, rilevando l'assenza di una base giuridica idonea e il rischio di introdurre forme di sorveglianza generalizzata. Il progetto valutato non risultava allora operativo.
L'aspetto più importante di questa vicenda riguarda la trasformazione della sorveglianza tradizionale. Una telecamera ordinaria registra immagini che possono essere visionate successivamente per ricostruire un evento; un sistema di riconoscimento facciale può invece trasformare ogni passante in un soggetto sottoposto a verifica biometrica. La differenza non è soltanto tecnologica, perché modifica la relazione tra cittadino e autorità pubblica.
Il regolamento europeo sull'intelligenza artificiale, l'AI Act, affronta questo problema introducendo specifici divieti e condizioni particolarmente rigorose. L'impiego di sistemi di identificazione biometrica remota in tempo reale negli spazi accessibili al pubblico per finalità di contrasto è generalmente vietato, salvo eccezioni tassativamente delimitate, subordinate a presupposti sostanziali e procedurali stringenti. Per gli utilizzi consentiti sono previste, tra le altre garanzie, verifiche di necessità e proporzionalità e, ordinariamente, un'autorizzazione preventiva giudiziaria o amministrativa indipendente.
Il punto centrale è che la sicurezza non può essere valutata esclusivamente in funzione dell'efficacia dello strumento. È necessario considerare anche il costo che la sua utilizzazione può imporre alle libertà individuali, alla possibilità di circolare senza controlli indiscriminati e alla fiducia dei cittadini nelle istituzioni.
LA CYBERSECURITY COME GARANZIA DELLE INDAGINI
La circolazione dei dati tra amministrazioni introduce anche un problema di sicurezza informatica. Ogni nuovo collegamento tra banche dati, ogni account abilitato alla consultazione e ogni procedura di esportazione delle informazioni ampliano le opportunità operative, ma possono aumentare la superficie esposta agli attacchi informatici. Una piattaforma condivisa può semplificare il lavoro investigativo e, contemporaneamente, diventare un punto critico qualora le credenziali di accesso vengano compromesse oppure i sistemi non siano adeguatamente protetti.
Per questo motivo, la cybersecurity non deve essere considerata un'attività esclusivamente tecnica affidata agli amministratori informatici. Nel trattamento dei dati per finalità di polizia essa rappresenta una componente della conformità giuridica e della stessa affidabilità delle attività investigative. Il decreto legislativo n. 51/2018 prevede obblighi specifici per la protezione dei dati, da attuare mediante misure tecniche e organizzative proporzionate ai rischi.
Un sistema correttamente progettato dovrebbe consentire di ricostruire chi ha consultato un'informazione, quando lo ha fatto e quali operazioni ha effettuato. La registrazione degli accessi, la limitazione dei privilegi, l'autenticazione robusta e la segregazione degli ambienti informatici servono a prevenire abusi e accessi non autorizzati. Tuttavia, un registro tecnico non è sufficiente a dimostrare automaticamente la liceità del trattamento: occorre che la richiesta e la relativa finalità trovino riscontro anche sul piano organizzativo e documentale.
Si pensi all'estrazione di un video destinato a un procedimento penale. Se il file viene trasferito attraverso strumenti non protetti, modificato accidentalmente o conservato senza adeguate precauzioni, il problema può estendersi oltre l'eventuale violazione della privacy, incidendo sull'integrità del materiale e sulla possibilità di ricostruirne la provenienza. Il rispetto della catena di custodia e l'adozione di procedure documentate diventano quindi essenziali per preservare la credibilità degli elementi acquisiti, fermo restando che la loro utilizzabilità processuale dipende dalle norme applicabili e dalle circostanze concrete.
COOPERAZIONE EUROPEA E RESPONSABILITÀ: PERCHÉ NON BASTA CONDIVIDERE
La criminalità organizzata, le frodi informatiche e numerose attività illecite presentano ormai una dimensione transnazionale. Un'indagine può iniziare in Italia, coinvolgere infrastrutture digitali situate in un altro Stato europeo e richiedere informazioni custodite da autorità differenti. In questo contesto, la collaborazione internazionale non rappresenta più un'eventualità eccezionale, ma una componente essenziale della risposta investigativa.
La direttiva (UE) 2016/680 nasce anche per costruire un quadro più coerente per la protezione e la circolazione dei dati trattati dalle autorità competenti. Nella relazione del 25 luglio 2022 sulla sua applicazione, la Commissione europea ha riconosciuto il contributo della direttiva all'armonizzazione delle garanzie, evidenziando al contempo la necessità di proseguire il lavoro degli Stati membri e delle autorità di controllo per realizzarne pienamente gli obiettivi.
L'esistenza di norme comuni, però, non elimina le difficoltà operative. Le autorità devono comprendere quale soggetto sia competente per uno specifico trattamento, se le informazioni possano essere trasmesse, quali limitazioni accompagnino il loro utilizzo e quali obblighi sorgano in caso di accesso illegittimo o violazione della sicurezza. Il problema diventa ancora più delicato quando un'informazione raccolta per uno scopo viene successivamente utilizzata per un'attività differente.
A livello organizzativo, ciò richiede personale formato, procedure aggiornate e un dialogo stabile tra responsabili operativi, strutture informatiche, uffici giuridici e responsabili della protezione dei dati. La formazione non può ridursi alla conoscenza astratta delle norme. Deve consentire agli operatori di riconoscere situazioni concrete: una richiesta urgente proveniente da un'altra amministrazione, l'accesso a registrazioni non pertinenti all'indagine oppure la necessità di cancellare informazioni non più utilizzabili legittimamente.
La collaborazione istituzionale produce risultati affidabili quando le responsabilità vengono definite prima che si presenti l'emergenza. Una procedura chiara consente infatti di agire più rapidamente proprio perché riduce incertezze e decisioni improvvisate.
VERSO UNA SICUREZZA PUBBLICA PIÙ DIGITALE, MA ANCHE PIÙ CONTROLLABILE
La prossima trasformazione della sicurezza pubblica non dipenderà soltanto dall'aumento delle telecamere o dalla disponibilità di archivi più estesi. Il cambiamento riguarderà soprattutto la capacità di integrare informazioni, sistemi automatizzati e strumenti di analisi in procedure operative coerenti con le garanzie giuridiche.
L'intelligenza artificiale potrà offrire nuove possibilità nell'individuazione di anomalie, nell'analisi delle immagini e nella gestione di grandi quantità di informazioni. Ma l'utilizzo di strumenti predittivi e sistemi biometrici comporta rischi specifici, come errori di identificazione, trattamenti sproporzionati e possibili discriminazioni. Per questa ragione, le istituzioni saranno chiamate a valutare non soltanto le prestazioni tecnologiche, ma anche l'affidabilità dei risultati, la qualità dei dati utilizzati e la possibilità di sottoporre le decisioni a controlli effettivi.
Sul piano economico, questo scenario richiede un cambiamento nelle priorità degli investimenti pubblici. Acquistare una nuova piattaforma di videosorveglianza rappresenta soltanto una parte del costo complessivo. Occorre considerare la manutenzione, la formazione degli operatori, la sicurezza dei collegamenti, le verifiche periodiche e l'eventuale aggiornamento delle valutazioni d'impatto. Trascurare questi elementi può trasformare un investimento destinato a migliorare la sicurezza in una fonte di vulnerabilità tecnologiche, inefficienze amministrative e contenziosi.
Anche il rapporto con i cittadini assume un'importanza crescente. La sicurezza pubblica funziona all'interno di una relazione di fiducia: le persone devono poter riconoscere che l'utilizzo delle proprie informazioni risponde a finalità legittime e che esistono strumenti per prevenire e contestare eventuali abusi. In questo senso, la protezione dei dati non rappresenta un interesse estraneo all'attività delle forze dell'ordine, ma una delle condizioni che ne sostengono la legittimazione democratica.
La questione decisiva, dunque, non è scegliere tra privacy e sicurezza. È costruire un modello nel quale la condivisione delle informazioni sia necessaria, giustificata e verificabile. Perché una pubblica amministrazione capace di raccogliere ogni dato non è necessariamente più sicura; lo diventa quando sa distinguere quali informazioni le servono davvero, chi è autorizzato a utilizzarle e quando è necessario interromperne il trattamento.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Infomatica
NOTE E RIFERIMENTI
· Commissione europea – First report on application and functioning of the Data Protection Law Enforcement Directive (EU) 2016/680 (LED), 25 luglio 2022.
https://commission.europa.eu/publications/first-report-application-and-functioning-data-protection-law-enforcement-directive-eu-2016680-led_en
· Normattiva – Decreto legislativo 18 maggio 2018, n. 51 – Attuazione della direttiva (UE) 2016/680.
https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2018-05-18;51
· European Data Protection Supervisor (EDPS) – EDPS orders Europol to erase data concerning individuals with no established link to a criminal activity, 10 gennaio 2022.
https://www.edps.europa.eu/data-protection/our-work/publications/investigations/edps-orders-europol-erase-data-concerning_en
· Garante per la protezione dei dati personali – Parere sul sistema di riconoscimento facciale SARI Real Time, provvedimento del 25 marzo 2021, doc. web n. 9575877.
https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9575877
· Unione europea – EUR-Lex – Regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio, 13 giugno 2024, che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act).
https://eur-lex.europa.eu/eli/reg/2024/1689/oj/ita
· European Data Protection Board (EDPB) – Law Enforcement – Documentazione e orientamenti sul trattamento dei dati personali da parte delle autorità di contrasto.
https://www.edpb.europa.eu/topics/police-justice/law-enforcement_en
