Videosorveglianza ed utilizzo della tecnologia di riconoscimento facciale: la situazione attuale e l’intervento del Garante

La tecnologia offre ormai da alcuni anni la possibilità di adottare telecamere per la videosorveglianza “smart”, dotate cioè di capacità di memorizzare e collegare i dati somatici di una persona ad una identità.

Tale modalità di videosorveglianza, come facilmente intuibile, comporta un passo avanti rilevante nel trattamento dei dati personali, in quanto viene coinvolto l’ambito del trattamento dei dati biometrici.

Il tema è attuale, tanto che più di una amministrazione ha valutato di utilizzare tale tipo di videosorveglianza. Il Garante della Privacy, tuttavia, è intervenuto per avviare un’istruttoria.

Nel novembre del 2022, infatti, il Garante della Privacy ha aperto un’istruttoria nei confronti di un Comune che aveva “annunciato” l’avvio di un sistema che prevede l’impiego di tecnologie di riconoscimento facciale.

In base alla normativa europea e nazionale, tuttavia, il trattamento di dati personali realizzato da soggetti pubblici, mediante dispositivi video, è generalmente ammesso se necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri.

Ma il Garante ha sottolineato che i Comuni possono utilizzare gli impianti di videosorveglianza solo a condizione che la finalità sia quella della sicurezza urbana.

Inoltre, fino all’entrata in vigore di una specifica legge in materia, e comunque fino al 31 dicembre 2023, in Italia non sono consentiti l’installazione e l’uso di sistemi di riconoscimento facciale tramite dati biometrici, a meno che il trattamento non sia effettuato per indagini della magistratura o prevenzione e repressione dei reati.

La moratoria, introdotta con un emendamento al decreto Capienze (D.L. 8 ottobre 2021 n. 139) nasce dall’esigenza di disciplinare requisiti di ammissibilità, condizioni e garanzie relative al riconoscimento facciale, nel rispetto del principio di proporzionalità.

Nelle more dell’adozione della nuova disciplina normativa, e comunque sino al 31 dicembre 2023, non è possibile adottare la videosorveglianza con riconoscimento facciale, proprio perché manca una base giuridica che ne consenta il lecito utilizzo.

Il tema, peraltro, è anche quello delle banche dati che vengono consultate dai dispositivi e la valutazione d’impatto sul trattamento dati, che il titolare è sempre tenuto ad effettuare nel caso di "sorveglianza sistematica su larga scala di una zona accessibile al pubblico".

Proprio sul tema delle banche dati si richiama un provvedimento del Garante per la protezione dei dati personali del marzo 2022 che ha imposto una sanzione di 20 milioni di euro alla società americana Clearview AI, per aver messo in atto un vero e proprio monitoraggio biometrico anche di persone che si trovano nel territorio italiano.

Dall’istruttoria del Garante, attivata anche a seguito di reclami e segnalazioni, è emerso che Clearview AI, diversamente da quanto affermato dalla società, consente il tracciamento anche di cittadini italiani e di persone collocate in Italia. Le risultanze hanno rivelato che i dati personali detenuti dalla società, inclusi quelli biometrici e di geolocalizzazione, sono trattati illecitamente, senza un’adeguata base giuridica, che non può sicuramente essere il legittimo interesse della società americana. La società ha, inoltre, violato altri principi base del GDPR, come quelli relativi agli obblighi di trasparenza, non avendo adeguatamente informato gli utenti in merito alla limitazione delle finalità del trattamento, avendo utilizzato i dati degli utenti per scopi diversi rispetto a quelli per i quali erano stati pubblicati online, e alla limitazione della conservazione, non avendo stabilito tempi di conservazione dei dati. L’attività di Clearview AI, pertanto, si pone in violazione delle libertà degli interessati, tra cui la tutela della riservatezza e il diritto a non essere discriminati.

Il Garante, infine, ha ordinato alla società di cancellare i dati relativi a persone che si trovano in Italia e ne ha vietato l’ulteriore raccolta e trattamento attraverso il suo sistema di riconoscimento facciale.