Bodycam e polizia locale: il limite non è il GDPR, ma la conoscenza del contesto operativo

Bodycam e polizia locale: il limite non è il GDPR, ma la conoscenza del contesto operativo

Per regolarizzare le bodycam della polizia municipale non serve andare in consultazione preventiva se l’amministrazione governa i rischi e le finalità del trattamento in ambito Gdpr. Il provvedimento n. 191 del 12 marzo 2026, con cui il Garante per la protezione dei dati personali ha espresso parere negativo sulla valutazione d’impatto (DPIA) predisposta dal Comune di Bergamo per l’impiego delle bodycam della polizia locale merita di essere letto con attenzione non solo dai Comandanti dei Corpi, ma anche da una platea più ampia di Responsabili della protezione dei dati.

La vicenda è particolarmente significativa. Nel marzo 2024 il Comune di Bergamo, tramite il proprio Responsabile della protezione dei dati, ha sottoposto all’Autorità la DPIA relativa ad un progetto di utilizzo delle bodycam da parte degli operatori della polizia locale impegnati in specifiche attività di polizia giudiziaria.

Il disciplinare prevedeva l’attivazione delle registrazioni anche in occasione di interventi finalizzati alla prevenzione dei reati, alla tutela della sicurezza e dell’ordine pubblico, alla flagranza di reato, all’esecuzione di accertamenti urgenti e alla salvaguardia dell’incolumità degli operatori.

L’istruttoria si è sviluppata nell’arco di quasi un anno. Dopo una prima richiesta di chiarimenti formulata nel maggio 2024, il Comune ha trasmesso una seconda versione della DPIA nell’agosto dello stesso anno e, successivamente, una terza versione nel gennaio 2025. L’Autorità ha riconosciuto gli sforzi compiuti per migliorare la documentazione, ma ha ritenuto che permanessero criticità rilevanti con riguardo alla sicurezza della soluzione cloud, alla gestione delle chiavi crittografiche, al controllo effettivo del trattamento da parte del titolare e ai possibili trasferimenti di dati verso Paesi terzi, esprimendo quindi parere negativo.

Questa è la cronaca del provvedimento. Ma probabilmente la lezione più importante non riguarda soltanto gli aspetti tecnologici. A una lettura più attenta emerge infatti una questione ben più ampia. La persistente difficoltà di affrontare i trattamenti svolti dalla polizia locale con una reale conoscenza delle loro peculiarità operative e della disciplina speciale che li governa.

È un tema che riguarda anche molti Responsabili della protezione dei dati. Troppo spesso si ritiene che l’esperienza maturata nella gestione dei trattamenti “ordinari” dell’ente sia sufficiente anche per affrontare le attività di polizia. In realtà, quello della polizia locale è uno degli ambiti più complessi dell’intera amministrazione pubblica. Qui il GDPR convive con il d.lgs. n. 51/2018, con il codice di procedura penale, con la normativa di pubblica sicurezza, con le regole proprie della polizia amministrativa e con prassi operative che difficilmente possono essere comprese senza una concreta esperienza sul campo.

Per questo motivo una DPIA non può trasformarsi in un esercizio esclusivamente documentale. Deve dimostrare che il titolare ha realmente compreso come il trattamento funzionerà nella pratica, quali saranno le modalità di impiego degli operatori, quali rischi presenterà la tecnologia scelta e perché quella soluzione costituisce la risposta più proporzionata rispetto alle finalità perseguite.

Il provvedimento del Garante lascia inoltre intravedere un ulteriore elemento di riflessione. Pur concentrandosi sulle criticità tecniche della soluzione proposta, la decisione sembra confermare indirettamente che la polizia locale non può limitarsi a mutuare modelli organizzativi pensati per le Forze di polizia dello Stato. È una mia lettura, naturalmente, ma appare coerente con il contesto normativo che si sta progressivamente delineando.

Del resto, lo schema di decreto legislativo di adeguamento nazionale all’AI Act richiama espressamente gli organi e gli uffici delle Forze di polizia disciplinati dalla legge n. 121 del 1981, senza fare alcun riferimento ai Corpi di polizia locale. Anche questo elemento conferma che il legislatore continua a mantenere distinti i due piani ordinamentali. Fingere che tale differenza non esista rischia di produrre conseguenze operative sempre più difficili da sostenere.

Da questa vicenda emerge anche una riflessione sul ruolo del Responsabile della protezione dei dati. Il DPO non è chiamato ad essere il massimo esperto di ogni materia affrontata dall’ente. La sua funzione consiste nel presidiare la conformità dei trattamenti, individuando quando sia necessario coinvolgere competenze specialistiche.

È proprio questo, probabilmente, uno dei punti sui quali occorrerebbe aprire una riflessione professionale. Nella videosorveglianza urbana, nelle bodycam, nei sistemi OCR, nel riconoscimento biometrico e, oggi, nell’intelligenza artificiale applicata alle attività di polizia, un approccio autoreferenziale del tipo “faccio tutto io perché sono il DPO” rischia di impoverire la qualità delle valutazioni. Al contrario, la collaborazione con consulenti realmente specializzati nel settore rappresenta una concreta applicazione del principio di accountability.

Non si tratta di mettere in discussione il ruolo del Responsabile della protezione dei dati, ma di valorizzarne la funzione di regia. I Comuni avrebbero probabilmente meno contenziosi con il Garante se, accanto al DPO, venissero maggiormente coinvolte professionalità verticali capaci di leggere questi trattamenti non soltanto attraverso le categorie del GDPR, ma anche alla luce delle regole e delle concrete modalità operative della polizia locale.

In definitiva, il provvedimento del Comune di Bergamo non rappresenta soltanto una bocciatura di una DPIA. È anche un invito, rivolto a tutti gli operatori della privacy, ad abbandonare ogni approccio esclusivamente formale per recuperare una visione più concreta dei trattamenti. Perché, soprattutto nelle attività di polizia locale, la differenza tra una valutazione teoricamente impeccabile e una realmente efficace coincide spesso con la conoscenza del contesto operativo.

 Note sull’Autore: Stefano Manzelli

 Consulente privacy, divulgatore e il data protection officer.

Direttore di sicurezzaurbanaintegrata.it.

Fonte: https://www.federprivacy.org/informazione/primo-piano/bodycam-e-polizia-locale-il-limite-non-e-il-gdpr-ma-la-conoscenza-del-contesto-operativo