L’uso di telecamere mobili (c.d. bodycam) da parte di soggetti pubblici e privati che operano nel mercato economico è in continua crescita.
Non costituisce più un fenomeno raro vedere agenti di pubblica sicurezza, personale medico all’interno di ospedali o operatori del trasporto pubblico dotati di microcamere apposte sulle loro divise.
Le bodycam, come accade osservando un telegiornale o un video pubblicato sul web, consentono di ricostruire con precisione la dinamica di un evento, anche grazie alla possibilità, spesso da escludere nel caso di utilizzo di telecamere fisse, di acquisire le registrazioni dei dati audio.
Avv. Tommaso Coretto
Riflessi nel campo della privacy
L’utilità fornita dalle bodycam, anche a tutela della pubblica sicurezza, non può giustificare un loro uso al di fuori del sistema di regole predisposto dalla normativa prevista per la protezione della privacy delle persone.
Infatti, il Garante della privacy, pur non avendo emesso uno specifico provvedimento regolatorio delle bodycam, si è più volte pronunciato in relazione alle corrette modalità del loro utilizzo, indicando, tra gli altri, i necessari presupposti per la loro adozione, i principi della normativa privacy da rispettare, gli adempimenti da osservare etc.
Proprio in relazione agli adempimenti previsti dalla normativa privacy, uno degli aspetti più rilevanti riguarda il rispetto dell’obbligo della trasparenza, vale a dire della necessità di informare ogni persona (c. d. “interessato”) dell’esistenza di un trattamento dei suoi dati personali.
Pertanto, il soggetto (c.d. titolare del trattamento) che, al di fuori di un ambito domestico, riprende una persona tramite le bodycam dovrà fornirgli tutte le informazioni necessarie a garantire la correttezza del trattamento dei dati quali, tra le altre, l’identità del titolare, le finalità che si intendono realizzare, i tempi di conservazione delle immagini, quali soggetti potranno accedere ai dati, quali sono i diritti della persona filmata etc.
Tutte le informazioni da comunicare all’interessato, nella maggior parte dei casi, sono contenute in quel documento comunemente indicato come ”informativa privacy”.
Normativa di riferimento
L’art. 12 del Reg. UE 679/2016 (di seguito “GDPR”) indica le modalità di comunicazioni di queste informazioni, obbligando il titolare a fornirle in modo accessibile e comprensibile, utilizzando un linguaggio semplice e chiaro.
Successivamente il GDPR distingue due possibili situazioni di comunicazione dell’informativa, differenti a seconda che i dati oggetto del trattamento siano ottenuti presso l’interessato o meno.
Nel primo caso, disciplinato dall’art. 13 del GDPR, il titolare raccoglie i dati personali direttamente dall’interessato che costituisce, quindi, la fonte del trattamento.
Si pensi, ad esempio, ai casi in cui una persona rediga un contratto inserendo i propri dati, compili un modulo per iscriversi ad una associazione o selezioni una casella per accedere ad un sito internet.
L’art. 14 del GDPR, invece, indica quali informazioni fornire quando il titolare non raccoglie i dati personali tramite l’interessato bensì attraverso un’altra fonte.
è possibile, infatti, che il titolare acquisisca i dati personali in quanto gli siano stati comunicati da altro titolare o perché i dati siano di pubblico dominio (ad es. gli atti pubblicati su registri immobiliari).
Obbligo di comunicazione dell’informativa privacy
La corretta individuazione della fonte dei dati (l’interessato o altra fonte) ha delle conseguenze sul piano pratico, relativo al momento della trasmissione dell’informativa privacy.
Infatti, nel caso di acquisizione dei dati direttamente dall’interessato le informazioni devono essergli comunicate “nel momento in cui i dati personali sono ottenuti” (art. 13 del GDPR).
Per ritornare ad uno degli esempi elencati in precedenza, nel caso di stipula di un contratto per la fornitura di un servizio, nell’atto in cui saranno inseriti i dati personali dell’acquirente dovrà essere presente una parte dedicata all’informativa privacy.
Di contro, nell’ipotesi di dati ottenuti da fonti diversi dell’interessato, l’informativa privacy dovrà essere comunicata con una tempistica diversa e più articolata, “in considerazione delle specifiche circostanze in cui i dati personali sono trattati” (art. 14 del GDPR e considerando n. 61 del GDPR):
- entro un termine ragionevole dall’ottenimento dei dati, ma al più tardi entro un mese;
- al momento della prima comunicazione all’interessato, quando la finalità della raccolta dei dati consiste nel comunicare con l’interessato;
- nel caso di comunicazione dei dati ad altro destinatario, al momento in cui si esegue tale comunicazione.
Un’azienda che abbia acquisito i dati di un candidato tramite un’agenzia interinale, al momento della prima comunicazione inviata all’interessato (ad es. per ottenere ulteriori informazioni rispetto al curriculum), dovrà allegare anche l’informativa relativa al trattamento dei suoi dati personali, indicando tutte le informazioni elencate all’art. 14 del GDPR.
Inoltre, un’ulteriore differenza tra le due ipotesi di informative riguarda il loro contenuto.
Nel caso disciplinato dall’art. 14 del GDPR, l’informativa dovrà indicare anche la fonte da cui sono ottenuti i dati, essendo questa sconosciuta all’interessato. Di contro, nel caso previsto dall’art. 13 del GDPR, poiché i dati sono stati acquisiti direttamente dall’interessato, non sarà necessario indicare tale ulteriore elemento.
Il caso dell’uso delle bodycam della società di trasporto pubblico svedese
Conclusa questa opportuna spiegazione relativa al momento della comunicazione dell’informativa privacy all’interessato, possiamo tornare al tema del trattamento delle immagini acquisite tramite le bodycam.
In che modo rispettare gli obblighi relativi alle modalità ed ai tempi di comunicazione dell’informativa privacy quando il titolare del trattamento procede a registrare le immagini di una persona tramite videocamere indossabili?
Di recente, una risposta a questo quesito è stata fornita dalla sentenza del 18 dicembre 2025 della Corte di giustizia dell’Unione europea (di seguito “CGUE”), intervenuta nella causa C-422/24 a seguito di domanda di pronuncia pregiudiziale presentata dalla Corte suprema amministrativa svedese.
Il caso sottoposto all’attenzione della CGUE riguarda una società di trasporto pubblico svedese (di seguito “Società”) che, tramite i suoi controllori dotati di bodycam, filmava i viaggiatori sprovvisti dei biglietti.
Durante la verifica del possesso di un valido biglietto di viaggio, i controllori potevano attivare le bodycam ricevute in dotazione, in particolare qualora fosse stato necessario prevenire o documentare minacce o violenze che potessero subire nel momento in cui sanzionare i passeggeri non autorizzati.
Il Garante privacy svedese, che per primo ha esaminato la validità del trattamento, ha inflitto una rilevante sanzione pecuniaria alla Società, ritenendo che l’acquisizione delle immagini dei passeggeri, durante l’esecuzione dei controlli, non fosse preceduta dalla comunicazione dell’informativa privacy, violando in tal modo l’art. 13 del GDPR.
Il Tribunale amministrativo, di fronte al quale la Società ha impugnato il provvedimento del Garante privacy svedese, ha confermato la violazione dell’art. 13 del GDPR.
Successivamente, a seguito di impugnazione da parte della Società, la Corte di appello svedese ha annullato la sentenza di primo grado in quanto ha ritenuto non applicabile l’art. 13 del GDPR.
La questione giungeva, infine, presso la Corte suprema amministrativa svedese che sospendeva il giudizio, ritenendo essenziale, al fine di risolvere la controversia, stabilire se in caso di acquisizione di immagini tramite bodycam l’obbligo di fornire l’informativa privacy sia regolato dall’art. 13 o dall’art. 14 del GDPR.
A tal proposito la Corte suprema svedese proponeva domanda di pronuncia pregiudiziale alla CGUE chiedendole di fornire la corretta interpretazione degli artt. 13 e 14 del GDPR e quale di essi applicare nel caso di trattamento di dati tramite l’uso di bodycam.
La decisione della Corte di giustizia UE
La CGUE, tenuto conto sia degli scopi alla base della normativa privacy sia del contesto e delle caratteristiche del trattamento in esame, ha stabilito che l’acquisizione di immagini tramite bodycam comporta l’applicazione dell’art. 13 del GDPR.
Inoltre, la nozione di “raccolta dei dati” indicata all’art. 13 del GDPR si riferisce ad un’attività specifica che è eseguita esclusivamente dal titolare del trattamento e che non prevede alcuna attività da parte dell’interessato.
Infatti, anche nel caso di registrazioni video e audio tramite bodycam, il trattamento dei dati si attiva al momento dell’accensione della telecamera e prescinde da un’azione dell’interessato.
Questa impostazione, come indicato nella sentenza, è confermata anche dalle Linee guida sulla trasparenza ai sensi del GDPR, adottate dal Gruppo di lavoro articolo 29 (wp260), nell’ultima versione del 11 aprile 2018, secondo le quali si applica l’art. 13 del GDPR sia quando l’interessato fornisce consapevolmente i propri dati al titolare, sia quando il titolare raccoglie i dati presso l’interessato tramite un’attività di osservazione, compreso l’utilizzo di videocamere.
L’importanza dell’individuazione della fonte del trattamento
La sentenza della CGUE ribadisce un principio fondamentale.
L’unico criterio per distinguere l’ambito di applicazione degli artt. 13 e 14 del GDPR consiste nell’individuare correttamente la fonte di provenienza dei dati personali.
Nel momento in cui i dati personali sono acquisiti direttamente dall’interessato, tramite un conferimento intenzionale o inconsapevole, troverà applicazione l’art. 13. Ciò obbligherà il titolare a comunicare l’informativa privacy all’interessato nello stesso momento in cui acquisisce i dati.
Nel caso in cui il titolare non è in contatto diretto con l’interessato ma raccoglie i dati da un’altra fonte, troverà applicazione l’art. 14.
In quest’ultimo caso, la “distanza” tra interessato e titolare, che determina la difficoltà o l’impossibilità di consegnare immediata dell’informativa privacy, giustifica il differimento della comunicazione delle informazioni ad un tempo successivo rispetto al momento della raccolta dei dati, secondo la tempistica indicata dall’art. 14.
Tutela del principio della trasparenza
Qualora erroneamente si ritenesse applicabile l’art. 14 del GDPR al trattamento delle immagini acquisite tramite bodycam, si cadrebbe nella contraddizione di consentire al titolare di attivare la registrazione delle immagini, omettendo l’immediata comunicazione dell’informativa, pur trovandosi in presenza dell’interessato (fonte del trattamento).
Questa possibilità determinerebbe un grave rischio per la tutela dei diritti e delle libertà fondamentali delle persone fisiche, legittimando l’esecuzione di pratiche di sorveglianza occulte.
La CGUE sottolinea, pertanto, l’obbligo di conferire l’informativa privacy nel momento stesso in cui si acquisiscono le immagini dei passeggeri tramite le bodycam.
Approccio scalare della comunicazione dell’informativa nel trattamento tramite bodycam
Una volta chiarito che il trattamento di dati tramite dispositivi di registrazione indossabili comporta l’applicazione dell’art. 13 del GDPR, sorge il legittimo dubbio relativo alle corrette modalità di conferimento dell’informativa all’interessato.
Come è possibile comunicare alla persona che si riprende l’intero contenuto delle informazioni elencate all’art. 13 del GDPR?
La CGUE si è pronunciata anche su tale aspetto, confermando di procedere ad un conferimento dell’informativa tramite un approccio a più livelli.
La Corte richiama quanto indicato nelle Linee guida n. 3/2019 sul trattamento dei dati personali attraverso dispositivi video, adottate dal Comitato europeo per la protezione dei dati (di seguito “EDPB”) il 29 gennaio 2020.
L’EDPB, pur incentrando l’attenzione su dispositivi di videosorveglianza fissi, prevede in generale che il titolare, nell’adempiere all’obbligo di informare dell’attivazione di un sistema di videoregistrazione, possa “seguire un approccio scalare, optando per una combinazione di metodi al fine di assicurare la trasparenza”.
In concreto, sempre considerando il caso trattato dalla CGUE, l’approccio scalare si realizza mediante le seguenti attività.
Per prima cosa, è necessario dotare i mezzi di trasporto o le zone pertinenti di una segnaletica di avvertimento (informativa di primo livello), ben visibile e leggibile, in modo da comunicare alle persone, prima del loro accesso sui mezzi di trasporto, che i controllori sono dotati di bodycam.
L’informativa di primo livello deve comunicare i dati più importanti relativi al trattamento (ad es. finalità, identità del titolare, diritti dell’interessato, modalità di attivazione delle bodycam, tempi di conservazione dei dati).
Tale segnaletica potrà avvalersi anche di icone per facilitare la comprensione delle indicazioni.
Successivamente è necessario predisporre una informativa di secondo livello contenente tutte le informazioni obbligatorie elencate all’art. 13 del GDPR, prestando attenzione a renderla facilmente accessibile, anche tramite un codice QR o un indirizzo web presenti nell’informativa di primo livello.
Infine, pur non essendo stato segnalato dalla CGUE, tenuto conto della particolarità del trattamento tramite bodycam, si ritiene opportuno che il soggetto autorizzato ad attivare il dispositivo di registrazione, al momento della sua accensione, provveda ad informare oralmente l’interessato dell’inizio del trattamento, rinviando alla cartellonistica di primo livello e avendo cura che tale comunicazione sia registrata dalla bodycam.
Conclusioni
L’utilizzo di tecnologie di videosorveglianza mobile, in relazione all’attività imprenditoriale esercitata, può costituire una risorsa per le aziende in termini di tutela dell’incolumità fisica dei propri dipendenti e clienti contro aggressioni o incidenti, salvaguardia del patrimonio aziendale, supporto probatorio in sede di tutela legale dei diritti nonché conseguire un effetto deterrente contro il verificarsi di eventi illeciti.
La riprova di tali vantaggi è confermato, rimanendo nel campo del trasporto pubblico, dall’avvio di diverse attività di sperimentazione dell’utilizzo di bodycam, come testimoniato dalle recenti iniziative promosse sia da ATAC S.p.A. presso il Comune di Roma, sia da Gruppo Torinese Trasporti S.p.A. presso il Comune di Torino.
La sentenza della CGUE, applicabile in qualsiasi attività in cui sia ritenuto lecito l’utilizzo della bodycam, ribadisce l’importanza del rispetto della normativa privacy al fine di consentire un corretto trattamento dei dati personali.
Tommaso Coretto – Avvocato esperto in Privacy e Compliance Aziendale
Per approfondire le condizioni e le modalità di utilizzo delle bodycam nell’esercizio delle attività di vigilanza privata, è possibile consultare “Bodycam nella vigilanza privata – Linee guida e tutela della privacy”, disponibili su richiesta scrivendo all’indirizzo email [email protected]
