[doc. web n. 10264130]

Provvedimento del 12 marzo 2026

Registro dei provvedimenti
n. 191 del 12 marzo 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Claudio Filippi, Vice Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito anche “Regolamento”);

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, come modificato dal decreto legislativo 10 agosto 2018, n. 101 (di seguito anche “Codice”);

VISTO il decreto legislativo 18 maggio 2018, n. 51, recante attuazione della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (di seguito anche “Decreto”);

ESAMINATA la valutazione di impatto sulla protezione dei dati personali (di seguito anche “DPIA”) concernente l’utilizzo di sistemi indossabili di videoripresa (bodycam) del Comune di Bergamo;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali;

Relatore la prof.ssa Ginevra Cerrina Feroni; 

PREMESSO

1. In data 8 marzo 2024 il Responsabile per la protezione dei dati del Comune di Bergamo, ai sensi dell’articolo 24 del d.lgs. n. 51/2018, ha trasmesso il documento di valutazione di impatto sulla protezione dei dati (DPIA) sui trattamenti connessi all’uso di dispositivi indossabili per la registrazione di immagini, c.d. bodycam, da parte degli agenti del Comando di Polizia locale del Comune, per la consultazione del Garante. 

Le attività prevedono la raccolta, l’archiviazione e l’estrazione di immagini relative a specifiche operazioni di polizia giudiziaria, svolte nell’ambito delle attività di competenza del Comando di Polizia locale del Comune. Il titolare del trattamento è il Comune di Bergamo, in quanto ente giuridico cui le attività del Comando fanno capo.

In data 16 maggio 2024 l’Ufficio, con nota interlocutoria, ha inviato osservazioni richiedendo un aggiornamento della DPIA. In data 28 agosto 2024 il Responsabile per la protezione dei dati del Comune di Bergamo ha tramesso il richiesto aggiornamento (seconda versione del documento) rispetto al quale l’Ufficio, con nota del 9 ottobre 2024, ha inviato ulteriori osservazioni richiedendo un nuovo aggiornamento del documento di DPIA; l’aggiornamento (terza versione del documento) è stato quindi trasmesso dal Responsabile per la protezione dei dati del Comune di Bergamo in data 13 gennaio 2025.

RILEVATO

2. Prima versione del documento. 

Il documento relativo alla DPIA, nella sua prima versione, rappresentava la struttura, il funzionamento e le relative modalità di utilizzo del sistema di bodycam come di seguito sinteticamente descritto.

A. Attività di trattamento oggetto della DPIA  

Il Comune di Bergamo, titolare del trattamento di dati personali connesso all’utilizzo di bodycam da parte degli agenti in forza presso il Comando di Polizia Locale di Bergamo, prevede la raccolta, l’archiviazione e l’estrazione di immagini relative a specifiche operazioni di polizia giudiziaria, svolte nell’ambito delle attività di competenza del suddetto Comando.  

B. Tipologia, natura dei dati trattati e soggetti interessati 

I dati che verrebbero raccolti attraverso il sistema di bodycam sono i seguenti:

• videoriprese con riferimento alle “riprese audio e video raccolte tramite registrazione” ed i seguenti metadati connessi: ora in cui è stata avviata la registrazione e numero seriale del dispositivo che ha effettuato la registrazione;

• dati relativi alla gestione delle Bodycam: profili utenti, Agente assegnatario di ogni Bodycam, orario di rimozione e di ricollocamento della Bodycam nella prevista docking station;

• file di log, con riferimento ai log delle attività svolte dagli utenti sul software di gestione.

I dati oggetto di trattamento sono potenzialmente riferibili alla categoria dei dati particolari di cui all’art. 9 del Regolamento in quanto le Bodycam potrebbero essere utilizzate in occasione di manifestazioni che consentono di rilevare l’origine raziale o etnica, le opinioni politiche o filosofiche, l’appartenenza sindacale o l’orientamento sessuale dei partecipanti. Tali dati possono inoltre appartenere anche alla categoria di cui all’art. 10 del Regolamento in quanto riferibili a possibili reati commessi da parte dei soggetti videoregistrati.

C. Caratteristiche del sistema di bodycam, loro condizioni di utilizzo e attività di trattamento

Circa la soluzione tecnica che si intende adottare nel documento si rappresenta quanto segue. “Le attività di trattamento vengono realizzate tramite le seguenti risorse: n. 6 dispositivi Bodycam marca “XX”, applicativo di utilizzo e di gestione delle Bodycam “XX”, n. 1 macchina server utilizzata per l’archiviazione delle riprese, n. 1 macchina client modello XX utilizzata per accedere all’applicativo XX e gestire le riprese…L’unica unità di archiviazione utilizzata è il server XX Cloud, fornito dalla società produttrice delle Bodycam. Il server, installato nel Regno Unito, si trova presso i datacenter [di una societò statunitense] ed è gestito secondo la tecnologia XX. Il servizio di hosting è offerto [dalla detta società] XX in modalità “Platform as a Service” [ad una società inglese] XX”.

In particolare in uno schema grafico viene rappresentata la distribuzione delle responsabilità tra i due fornitori ([la società americana “XX” e la società inglese “XX” relativamente alla gestione dell’infrastruttura anche con riferimento agli aspetti di sicurezza.

Circa le condizioni di utilizzo e le attività di trattamento, il titolare nel documento dichiara quanto segue. “Le Bodycam possono essere assegnate unicamente agli agenti in forza presso uno dei servizi appositamente autorizzati dal dirigente del Comando (“Comandante”). I servizi vengono individuati sulla base di due criteri, che devono ricorrere congiuntamente: A. il nucleo effettua attività di polizia giudiziaria sul campo; B. la natura dei servizi effettuati dal nucleo richiede la possibilità concreta di effettuare operazioni improvvise e non preventivabili di contrasto alla criminalità. …... L’assegnazione [delle bodycam] viene operata dall’Ufficiale, valutando alcuni criteri specifici…, quali “la gravità dei reati interessati dal Servizio, il pericolo che durante il Servizio gli agenti debbano ricorrere all’uso della forza nei confronti di sospetti o indagati, il pericolo che sospetti o indagati si diano alla fuga, la possibilità che l’incolumità delle persone fisiche sia messa in pericolo, la possibilità che l’incolumità degli agenti sia messa in pericolo ….
… le Bodycam sono conservate su una docking station dedicata, la quale, da un lato, permette di ricaricare i dispositivi e, dall’altro, di collegare gli stessi al Software di gestione, il quale ne registra la rimozione e la ricollocazione. Tutte le operazioni relative all’utilizzo delle Bodycam in uno specifico Servizio vengono riportate in una scheda denominata “Resoconto di utilizzo delle Bodycam”, allegata al Disciplinare. Il resoconto riporta l’indicazione degli estremi del Servizio (data, nome e numero), le motivazioni che hanno giustificato l’utilizzo delle Bodycam, l’elenco degli Agenti assegnatari, l’elenco degli utilizzi effettuati e la sintesi delle operazioni di scaricamento ed esportazione dei filmati.”

In particolare le condizioni di attivazione, utilizzo, disattivazione e restituzione delle bodycam sono regolate da un Disciplinare interno e viene rappresentato quanto segue. “Durante il Servizio, il dispositivo deve essere indossato dall’Agente assegnatario in modo che sia riconoscibile e in modo tale che lo schermo dello stesso sia rivolto verso l’area di ripresa. Prima dell’avvio delle riprese, l’Agente dovrà avvisare i presenti dell’attivazione del dispositivo e del fatto che i filmati saranno conservati per l’eventuale accertamento di reati. Le Bodycam sono ordinariamente disattivate, anche quando indossate dagli Agenti. L’attivazione delle Bodycam avviene:

• ordinariamente, dietro ordine del Coordinatore,

•  in casi eccezionali, su autonoma iniziativa degli Agenti.

Il Coordinatore ordina l’accensione delle Bodycam soltanto nei casi previsti dal Disciplinare. In
particolare, nei casi di:

• “prevenzione dei reati e tutela della sicurezza e dell’ordine pubblico;

• indagini di polizia giudiziaria che richiedano l’esecuzione di accertamenti e rilievi ex art. 354
c.p.p.;

•  flagranza di reato o comunque di concreto pericolo di danno a persone e cose, desumibile dalle
circostanze;

• salvaguardia della sicurezza degli operatori, attraverso la ripresa in tempo reale delle situazioni   critiche di potenziale rilevanza penale che dovessero venirsi a creare, con la possibilità di visione da remoto dal Comando centrale per l’invio di adeguato supporto” …..

Le Bodycam vengono successivamente disattivate dietro ordine del Coordinatore. Eccezionalmente, gli Agenti possono attivare la registrazione “in presenza di situazioni contingibili e urgenti che mettano a rischio immediato l’incolumità dell’operatore, nelle quali non sia possibile ricevere l’ordine impartito dal Coordinatore”….. In questa ipotesi, le Bodycam vengono disattivate al termine della situazione che ne ha causato l’accensione e gli Agenti ne danno tempestiva comunicazione al Coordinatore. Le Bodycam registrano in maniera continuativa, memorizzando quanto raccolto in una memoria locale a breve termine, che rimuove automaticamente i file ivi contenuti ogni 30 secondi. Quando viene avviata la registrazione da parte di un Agente, la Bodycam salva sulla memoria solida la registrazione dei 30 secondi precedenti insieme alle immagini live. Di conseguenza, vengono memorizzate in modo definitivo le immagini delle riprese successive all’atto dell’accensione e quelle relative a 30 secondi prima dell’accensione.”.

Circa la procedura di gestione, inclusa la conservazione delle immagini raccolte, nel documento di DPIA viene rappresentato quanto segue. “Al termine del Servizio, le Bodycam vengono ricollocate nella docking station sotto la supervisione dell’AdS [Amministratore di Sistema]. Il Software registra la ricollocazione della Bodycam e provvede automaticamente a scaricare le immagini all’interno del server. Le immagini registrate nella memoria locale della Bodycam vengono cancellate. Successivamente, l’Ufficiale verifica il contenuto delle riprese scaricate all’interno del Software e individua, secondo un criterio di pertinenza, quelle rilevanti per il perseguimento delle finalità sopra indicate. Dispone la cancellazione delle immagini non rilevanti, che viene operata dall’Ufficiale o dall’AdS. Il server utilizzato è una macchina esterna dedicata, fornita [da una società inglese] XX, produttrice del software, e gestita da [una società statunitense] XX. Il server è collocato nel Regno Unito.

Circa le altre attività di trattamento, dal documento di DPIA si evince quanto segue. 

Per quanto riguardo l’accesso alle immagini: “Durante il periodo di conservazione, le immagini possono essere accedute unicamente dall’Ufficiale o dal suo delegato”.

Per quanto riguarda l’“esportazione” con riferimento alle attività di estrazione e comunicazione a terzi delle immagini registrate nonché la “cessazione”, con riferimento alle attività di cancellazione delle stesse, viene riferito quanto segue.   …L’Ufficiale può ordinare l’esportazione delle immagini. L’esportazione delle riprese avviene unicamente per procedere ad attività di accertamento di reati. È ammessa l’esportazione su richiesta dell’Autorità Giudiziaria, di Forze di Polizia o Forze Armate. In questo caso, l’Ufficiale verifica la legittimità della richiesta e l’aderenza rispetto a quanto previsto dal Disciplinare e, se del caso, ne dispone l’esportazione…Le riprese vengono conservate all’interno del server per 15 giorni dal momento del loro trasferimento dalle Bodycam. Dopo questo termine vengono automaticamente cancellate”.

D. Finalità del trattamento.

Nel documento si rappresenta che i trattamenti relativi alla “raccolta e conservazione di immagini e riprese video costituenti elementi di prova di condotte illecite penalmente rilevanti” vengono effettuati per “finalità di prevenzione e accertamento dei reati” specificando che “..Non sono previsti trattamenti per finalità ulteriori rispetto a quella indicata”.

E. Basi legali del trattamento.

Circa la legittimità del trattamento si fa riferimento alle seguenti disposizioni:

• “l’art. 23 comma 1 del D.P.R. n. 15/2018 prevede l’utilizzo di sistemi di ripresa fotografica e video per documentare specifiche attività preventive e repressive dei reati o altre situazioni dalle quali possano derivare minacce per l’ordine e la sicurezza pubblica o un pericolo per la vita e l’incolumità degli agenti di polizia”;

• “L’art. 10, comma 6-quater, del d. l. n. 14/2017, prevede la possibilità di procedere all’arresto in flagranza di reato, ai sensi dell’art. 380 c.p.p., nei confronti di quei soggetti la cui colpevolezza risulti inequivocabilmente da documentazione video fotografica”.

[OMISSIS]

F. Esattezza e minimizzazione dei dati, limitazione della conservazione, necessità e proporzionalità dei trattamenti, tutela dei diritti degli interessati 

Nel documento viene dichiarato quanto segue.

• Circa il principio di minimizzazione dei dati: “…il Disciplinare descrive situazioni limitate e specifiche nelle quali la registrazione può essere avviata, limitando, di conseguenza, la quantità di immagini che possono essere raccolte. In aggiunta, sempre il Disciplinare prevede la cancellazione immediata delle immagini raccolte in situazioni che si sono rivelate non rilevanti ai fini delle attività di accertamento dei reati”.

• Circa la necessità e proporzionalità del trattamento, si riporta tra l’altro: “...Il trattamento risulta necessario, in quanto permette di accertare fatti di reato e altre circostanze altrimenti non accertabili, in tutto o in parte... Le Bodycam risultano, in questo contesto, lo strumento tecnico più adatto ad ottenere prove idonee ad accertare le condotte delle persone in tali situazioni... Il trattamento risulta proporzionato, in quanto l’utilizzo delle Bodycam non viene svolto in modo indiscriminato ma unicamente in circostanze predeterminate e specifiche, considerabili ad alto rischio  .. L’intervento del Coordinatore, che ordina l’attivazione e la disattivazione dei dispositivi, fa sì che le attività di trattamento dei dati personali siano limitate e proporzionate…Anche nel caso di un ricorso improprio a tali strumenti, l’intervento dell’Ufficiale volto a determinare quali riprese siano effettivamente utili, permetterebbe di rimuovere dati personali non necessari in modo da ristabilire la proporzionalità del trattamento...”.

• Circa il rispetto del principio di esattezza dei dati: “…Riguardo alla fase di raccolta delle informazioni, le caratteristiche tecniche delle Bodycam permettono di garantire una risoluzione adeguata delle immagini, tale da identificare il volto della persona ripresa con precisione e senza lasciare spazio a fondati dubbi. Le Bodycam, infatti, permettono di registrare con una risoluzione di 1080p con campo di ripresa molto ampio (110°x50°). Anche durante la fase di conservazione delle informazioni, non appare realistico che si verifichino operazioni di modifica del dato in quanto le misure di sicurezza applicate ….. permettono di proteggere le immagini da alterazioni..”

• Circa il rispetto del principio di limitazione della conservazione: “Il periodo di conservazione dei dati (15 giorni) appare proporzionato alle esigenze organizzative e necessario a completare le operazioni di analisi di ricostruzione dei fatti e di analisi dei filmati...

• Circa le misure adottate a tutela dei diritti degli interessati viene rappresentato, tra l’altro: “…Durante la fase di azione, gli interessati sono informati: dall’avviso reso oralmente da parte dell’Agente che attiva la Bodycam, [e] dal fatto che la Bodycam è indossata in modo visibile e che, quando questa viene attivata, uno specifico segnale luminoso entra in azione”  … In una seconda fase, le informazioni di dettaglio saranno rese disponibili dal Comune di Bergamo in un’informativa specifica per il trattamento dei dati raccolti e processati tramite l’utilizzo di Bodycam. L’informativa integra quella, già predisposta dal Comune, riguardante il trattamento dei dati personali dei cittadini per attività di prevenzione e accertamento dei reati…”

• Circa le modalità di esercizio dei diritti da parte degli interessati: “Il Comune ha indicato come canale per l’esercizio dei diritti la casella di posta elettronica protocollo@cert.comune.bergamo.it. Questo indirizzo è indicato all’interno delle informative sul trattamento dei dati personali e la casella risulta costantemente presidiata. Il Comando, inoltre, ha adottato una specifica procedura per la gestione delle richieste di esercizio dei diritti degli interessati al trattamento ai sensi del d. lgs. 51/2018…”

G. Trasferimento dati all’estero 

Con riguardo a tale aspetto, il titolare nel documento dichiara: “Il trattamento in oggetto prevede il trasferimento di dati verso il Regno Unito. Il trasferimento in oggetto risulta conforme al dettato dell’articolo 32 del d. lgs. n. 51/2018 in quanto la Commissione europea ha adottato la decisione di adeguatezza del livello di protezione dei dati garantito dal Regno Unito (decisione di esecuzione (UE) 2021/1773 del 28/6/2021), riguardo alla direttiva (UE) 2016/680”.

H. Analisi dei Rischi

Il documento riporta inoltre in dettaglio l’analisi dei rischi, identificando tabelle di calcolo del rischio ottenute come combinazione della probabilità che occorrano violazioni dell’integrità, disponibilità e riservatezza dei dati con i relativi impatti di tali violazioni e vengono identificate misure di natura tecnica ed organizzativa idonee a minimizzare i rischi identificati.

3. Le osservazioni dell’Ufficio sulla prima versione del documento di DPIA. 

Con nota del 16 maggio 2024 sono state inviate al titolare del trattamento osservazioni sul contenuto del documento evidenziando le seguenti criticità:

• in via preliminare ed assorbente, visto che il software di gestione del sistema, una volta ricollocate le Bodycam provvede automaticamente a scaricare le immagini all’interno di un server costituito da una macchina esterna dedicata, fornita dalla società [inglese] XX,  e collocato nel Regno Unito, il detto trattamento di “scaricamento delle immagini” su tale server si configura come un trasferimento di dati personali verso un Paese terzo. A tal riguardo è stato rappresentato che l’articolo 31 del d.lgs. 51/2018 al comma 1, lettera b) stabilisce le condizioni del trasferimento di dati verso Paesi terzi: questo è consentito laddove il titolare del trattamento nel Paese terzo è un’autorità competente per le finalità di prevenzione, indagine, accertamento e perseguimento di reati, o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica (finalità di cui al comma 2 del medesimo articolo). In mancanza del rispetto delle condizioni previste dalla normativa sopra indicata, il trattamento in oggetto, ove preveda la trasmissione e la conservazione delle immagini riprese dalle bodycam presso un Paese terzo, è illecito e, pertanto, non può avere luogo;

• sono state inoltre rappresentate altre criticità e richiesti chiarimenti circa: a) le garanzie che il sistema non integri dispositivi tecnici specifici diretti a consentire l'identificazione univoca o l'autenticazione di una persona fisica (c.d. facial recognition – cfr. provvedimento del Garante del 25 marzo 2021, n. 127, doc. web n. 9575877); b) come il titolare intenda fornire adeguata informazione ai soggetti interessati circa il trattamento di dati personali effettuati tramite bodycam;  c)  rendendo disponibile la scheda tecnica del sistema di bodycam proposto, chiarimenti sulle caratteristiche tecniche delle schede di memoria, sui meccanismi di cifratura dei dati, sull’architettura ed i componenti del sistema, anche con riferimento alle modalità di colloquio client-server, sulle caratteristiche del server remoto e del servizio, sulle modalità di accesso al sistema; infine si è chiesto di esplicitare la ragione dell’inclusione delle “Forze Armate” tra i soggetti che possono richiedere l’esportazione dei file. 

A seguito di quanto suesposto, è stato quindi richiesto al titolare di elaborare una DPIA aggiornata utile a superare le criticità individuate.

4. La seconda versione del documento di DPIA inviata dal Comune di Bergamo.

In data 28 agosto 2024 il Comune di Bergamo ha inviato la sua seconda versione della DPIA dove sono state rappresentate le seguenti correzioni, integrazioni, precisazioni e informazioni come riscontro a quanto richiesto dall’Ufficio:

• correzioni in merito alle caratteristiche del trasferimento di dati personali oltre lo Spazio Economico Europeo e precisazione che il server è collocato all’interno dello SEE, a differenza di quanto precedentemente rappresentato;

• precisazioni che non sono in uso sistemi di riconoscimento facciale;

• integrazioni della sezione relativa alle modalità di trasparenza;

• viene allegata la scheda tecnica del sistema di bodycam;

• viene descritta la natura built-in della memoria;

• vengono descritte le modalità di disattivazione delle funzionalità GPS e WiFi, le modalità di gestione, formazione, conservazione e la collocazione delle chiavi crittografiche, le modalità tecniche dell’upload dei file, le modalità di decifratura dei file, le modalità di configurazione del software, le modalità di installazione dell’infrastruttura e vengono descritti gli elementi archiviati in ciascuna componente del sistema;

• sono fornite informazioni riguardo alle funzioni di allarme, log, bug e vulnerability management, business continuity e backup dei dati;

• sono descritte le modalità di autenticazione, le valutazioni in merito alla possibilità di implementazione del sistema MFA [Multi Factor Authentication], la password policy; 

• sono specificate le autorità competenti cui vengono comunicati i dati; 

• sono rese valutazioni in merito all’adeguatezza delle modalità di trasferimento adottate.

5. Le osservazioni dell’Ufficio sulla seconda versione del documento di DPIA. 

Con nota del 9 ottobre 2024, l’Ufficio ha inviato al titolare osservazioni anche sul secondo documento di DPIA. 

È stato in particolare rappresentato che, sebbene nel documento di DPIA aggiornato fossero stati chiariti vari aspetti del funzionamento del sistema informatico in adozione, la descrizione tecnica offerta non presentava ancora il livello di dettaglio necessario a valutare se le misure di sicurezza tecnica, in particolare della componente server in cloud, fossero adeguate a mitigare il rischio (elevato) presentato dal trattamento. Pertanto, la valutazione di adeguatezza delle misure di sicurezza complessivamente offerte dal servizio XX [della detta Società inglese] è sembrata essere stata formulata ancora in assenza di sufficienti elementi tecnici, in particolare sulla predetta componente server in cloud.

È stato rilevato al riguardo che ai sensi dell’articolo 16 del d.lgs. 51/2018, il titolare del trattamento mette in atto sin dalla progettazione “…misure tecniche e organizzative adeguate, quale la pseudonimizzazione” per esercitare, tra l’altro ai sensi dell’articolo 25, comma 2, lett. c) dello stesso decreto, il “controllo della conservazione” dei dati personali oggetto di trattamento. Cosicché, considerato l’articolo 18 comma 3, lett. e), del suddetto decreto, il titolare che decida di avvalersi di prodotti o servizi sviluppati o erogati da terzi per la realizzazione del trattamento, deve accertarsi che il fornitore “metta a disposizione … tutte le informazioni necessarie per dimostrare” tra l’altro, l’adozione di “misure tecniche e organizzative adeguate ad assicurare la protezione dei dati personali e la tutela dei diritti dell’interessato”.

Sulla base di tale rilievo è stato quindi chiesto al titolare di aggiornare il documento con una nuova versione dove venissero forniti specifici elementi riguardo al Software XX, alle misure di sicurezza adottate, alla cifratura dei dati sul server remoto, alla relativa valutazione del rischio e alla conformità alle previste disposizioni per la Pubblica Amministrazioni circa l’utilizzo di servizi in Cloud.

6. La terza versione del documento di DPIA inviata dal Comune di Bergamo.

In data 13 gennaio 2025 è stata inviata dal Comune di Bergamo la terza versione del documento di DPIA in riscontro alla suddetta nota dell’Autorità del 9 ottobre 2024.

Nella versione aggiornata del documento sono stati forniti dettagli sul software “XX” [della società inglese] XX, una revisione della valutazione di adeguatezza delle misure di sicurezza complessivamente offerte dal servizio della detta società XX, dettagli circa la cifratura dei dati e una revisione della valutazione del rischio residuo tenendo in considerazione le caratteristiche di sicurezza del prodotto software XX.

RITENUTO

7. Consultazione preventiva del Garante.

Il trattamento in oggetto risulta finalizzato alla prevenzione, indagine, accertamento e perseguimento di reati da parte di autorità competenti e rientra, pertanto, nel capo di applicazione del Decreto.

L’articolo 24, comma 1, lettere a) e b), del Decreto stabilisce che il titolare del trattamento deve consultare il Garante prima del trattamento di dati personali che figureranno in un nuovo archivio di prossima creazione, quando “una valutazione d’impatto sulla protezione dei dati indica che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio, oppure il tipo di trattamento presenta un rischio elevato per i diritti e le libertà degli interessati anche in ragione dell’utilizzo di tecnologie, procedure o meccanismi nuovi ovvero di dati genetici o biometrici”.

8. Valutazione conclusiva della DPIA. 

Successivamente alle prime due versioni del documento di DPIA il Comune di Bergamo, con la terza versione di cui al punto 6 ha arricchito la valutazione di impatto con ulteriori dettagli sul servizio [della società inglese] XX, anche attraverso documentazione tecnica allegata.

Dalle informazioni complessivamente trasmesse risulta che la soluzione [della società inglese] XX che il Comune di Bergamo prevede di adottare per realizzare il suo trattamento, denominata XX, è inserita nel cloud “XX” ed è costituita da una serie di componenti sviluppati dalla [suindicata società inglese] XX che fanno uso di alcuni servizi dell’ecosistema “XX”, tra cui il servizio di database.  Sono previste delle componenti che verrebbero installate sui sistemi informatici del Comune con il compito di trasferire i dati acquisiti dalle videocamere al sistema client del Comune e, infine, nel servizio cloud [della società inglese] XX. 

Al riguardo occorre rilevare che anche nella terza revisione della valutazione di impatto non vengono esplicitati i criteri di composizione delle chiavi crittografiche associate alle videocamere mentre risulta invece chiarito che le chiavi crittografiche sarebbero nella disponibilità della [società inglese] XX. Nella documentazione tecnica fornita si legge infatti che “una volta giunti al server XX, i dati sono decifrati e trasferiti in un ambiente di stoccaggio sicuro”. In altri termini, con l’adozione della soluzione della [società britannica] XX il Comune di Bergamo accetterebbe la circostanza che nell’ambito della predisposizione di un trattamento (ad elevato rischio) si affiderebbe ad una soluzione in cloud sviluppata da un produttore extra-UE (la [società inglese] XX risulterebbe stabilita in UK) e non avrebbe un controllo esclusivo sulle chiavi crittografiche. 

Se, in relazione al contesto presentato, le sintetiche informazioni fornite possono essere considerate sufficienti e rassicuranti in considerazione della reputazione di cui gode l’infrastruttura cloud “XX”, ben poco è stato rivelato sulle modalità realizzative e sugli accorgimenti volti a irrobustire la sicurezza che [Società inglese] XX adotta per le proprie componenti originali –componenti che, sebbene si avvalgano dei servizi della [suindicata Società americana] XX, sono da essi distinte-, a parte il fatto che la società garantirebbe anche l’aderenza a standard di sicurezza tra cui lo standard ISO 27001 e attività di Penetration Test con cadenza annuale.

Nel complesso appare quindi che la scelta della soluzione tecnica, così come la modalità di fruizione in cloud del prodotto-servizio offerto, siano state, sin dalla prima interlocuzione con questa Autorità, come un presupposto su cui il titolare ha costruito la valutazione di impatto, piuttosto che il risultato di valutazioni e comparazioni basate sulla natura dei trattamenti dei dati personali in questione. 

Al riguardo, considerato l’elevato rischio legato sia alla natura dei dati trattati che alla soluzione in cloud individuata, si ritiene che gli aspetti di sicurezza non siano stati adeguatamente approfonditi dal Comune di Bergamo, laddove, in coerenza con il principio di responsabilità del titolare, questo deve garantire il rispetto dei principi applicabili al trattamento dei dati personali incluso il principio di sicurezza dei dati (art. 3, comma.1, lettera f) e comma 4 del Decreto). 

Inoltre, indipendentemente dal luogo in cui sono ubicati i sistemi informatici su cui sono conservati i dati personali, l’accesso remoto a tali sistemi di trattamento da parte di soggetti stabiliti al di fuori dell’Unione Europea configura, comunque, un trasferimento di dati verso Paesi terzi in violazione di quanto disposto dall’articolo 31, comma 1, lettera b) del Decreto che stabilisce le condizioni del trasferimento di dati verso tali Paesi.

TUTTO CIÒ PREMESSO IL GARANTE

esprime parere sfavorevole, nei termini di cui in motivazione, in ordine alla valutazione d'impatto concernente il trattamento di dati personali connesso all'uso delle bodycam da parte degli agenti del Comando di Polizia locale del Comune di Bergamo.

Roma, 12 marzo 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi