Gli strumenti di videosorveglianza vengono solitamente utilizzati per le attività di servizio pubblico dell’Ente locale, in particolare per funzioni di sicurezza urbana, o per il controllo del patrimonio pubblico, per il controllo e il monitoraggio del traffico o ancora per tutela ambientale al fine di erogare sanzioni amministrative.

Alcuni strumenti, come le fototrappole, possono essere utilizzati per lo svolgimento di indagini finalizzate all’accertamento di reati, o per l’esecuzione di compiti di pubblica sicurezza.

In tali casi, deve determinarsi se si applica, in relazione alla tutela del dato personale, la disciplina sulla protezione dei dati Reg. UE 2016/679 o se si applica la direttiva sulla protezione dei dati nelle attività di polizia e giudiziarie (LED).

Il Regolamento UE 2016/679 esclude dall’applicazione della normativa sulla privacy alcune finalità; i casi tuttavia sono specifici e tassativi:

• attività che non rientrano nell’ambito di applicazione del diritto dell’Unione e quindi l’attività di Interpol svolta al di fuori dell’Unione europea (GDPR art.1 c.2 cit. lettera b);
• accertamento e perseguimento di reati o esecuzione di sanzioni penali (GDPR art.1 c.2 cit. lettera d);
• prevenzione e repressione di minacce per l’ordine e la sicurezza pubblica (GDPR art.1 c.2 cit. lettera d).

Tutte queste attività devono quindi essere svolte esclusivamente dalle forze di polizia, governative e locali, quando perseguono, esclusivamente o congiuntamente ad altri scopi, le finalità di:

• prevenzione, indagine, accertamento o perseguimento di reati (attività di polizia giudiziaria);
• prevenzione e salvaguardia contro minacce alla sicurezza pubblica (attività di pubblica sicurezza).

Questi casi sono quindi esclusi dall’ambito di applicazione materiale del GDPR (art. 2 par. 2 lett. d Reg. UE 2016/679) e assoggettati al c.d. decreto polizia (art. 1 c. 1 d. lgs. 51/2018), la norma che ha recepito la direttiva UE 2016/680, che tuttavia applica in realtà gli stessi principi del GDPR adeguandoli alle necessità operative e di riservatezza e indagine che sono richiesti per gestire l’attività di polizia giudiziaria e di pubblica sicurezza.

Quali azioni porre dunque in essere per l’utilizzo delle fototrappole per funzioni di polizia giudiziaria o di pubblica sicurezza?

In realtà, come si avrà modo di chiarire, all’atto concreto la principale differenza nell’utilizzo delle fototrappole rispetto all’utilizzo con finalità a cui si applica il GDPR, per esempio per accertare le violazioni amministrative, è che viene meno l’obbligo di applicare il cartello informativo di primo livello che avvisa della presenza e le collegate informative complete sul trattamento.

Permangono, invece, gli altri principi di tutela del dato personale, in particolare:

• la cautela nel trattamento delle categorie particolari di dati (art. 7 d.lgs. 51/2018),
• il divieto di processi decisionali automatizzati (art. 8 d.lgs. 51/2018), ovvero l’impiego dei c.d. sistemi predittivi automatizzati basati sull’intelligenza artificiale;
• l’obbligo della definizione dei tempi di conservazione e il dovere di applicare i principi della privacy by default e della privacy by design (art. 16 d.lgs. 51/2018).

Conseguentemente, permane l’obbligo di svolgere, prima dell’inizio del trattamento tramite le fototrappole, la valutazione d’impatto sulla protezione dei dati (art. 23 d.lgs. 51/2018).

In particolare, l’art. 23 specifica, al comma 2, che la valutazione contiene una descrizione generale dei trattamenti previsti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per affrontare tali rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e il rispetto delle norme del decreto 51/2018.

Le c.d. fototrappole, quindi, devono garantire sin dall’inizio caratteristiche intrinseche di sicurezza e quindi non si possono impiegare quelle che memorizzano su memorie locali senza un sistema crittografico adeguato ovvero che si limitino a trasmettere in wi.fi o rete cellulare le immagini riprese e non criptate.

Pertanto, anche nella ricerca delle fototrappole da utilizzare per tali finalità è necessario verificare se i file vengono registrati su scheda di memoria criptata e che l’accesso sia protetto da una password di accesso alla fototrappola, in modo che anche in caso di accesso illecito (ad es. furto della fototrappola) non sia possibile accedere all’interfaccia di accesso alle immagini registrati in memoria.

Le schede SD presenti sulle fototrappole, poi, devono prevedere una misura di criptazione delle immagini. In caso di trasmissione dei dati, tale trasmissione deve garantire la sicurezza con protocolli di criptazione delle immagini che consenta di visionare le stesse solo a soggetti autorizzati con specifico account di accesso e che possano visionare le immagini solo con l’utilizzo di un software di decriptaggio unito alla password complessa scelta in fase di impostazione.