Body cam: ok dal Garante privacy, ma no al riconoscimento facciale

I dati dovranno essere cancellati dopo 6 mesi

Con due distinti pareri il Garante per la privacy ha dato via libera al Ministero dell’interno – Dipartimento della pubblica sicurezza e al Comando generale dell’Arma dei Carabinieri all’uso delle body cam per documentare situazioni critiche di ordine pubblico in occasione di eventi o manifestazioni. Le due Forze di Polizia dovranno comunque recepire alcune indicazioni dell’Autorità relative all’implementazione delle misure di sicurezza e al tracciamento degli accessi ai dati per rendere i trattamenti pienamente conformi alla normativa sulla protezione dei dati personali trattati a fini di prevenzione e accertamento dei reati (Decreto legislativo n. 51/2018).

L’Autorità ha chiesto, in particolare, al Ministero di specificare che il sistema che intende utilizzare non consente l’identificazione univoca o il riconoscimento facciale della persona (facial recognition), come già precisato nella documentazione trasmessa dall’Arma. I due sistemi, sottoposti al Garante autonomamente, presentano notevoli analogie, non solo per quanto riguarda le finalità perseguite, ma anche dal punto di vista strutturale, ad eccezione delle differenze imputabili alle specifiche strutture organizzative delle due Forze di Polizia. Le videocamere indossabili in uso al personale dei reparti mobili incaricato potranno essere attivate solo in presenza di concrete e reali situazioni di pericolo di turbamento dell’ordine pubblico o di fatti di reato. Non è ammessa la registrazione continua delle immagini e tantomeno quella di episodi non critici. I dati raccolti riguardano audio, video e foto delle persone riprese, data, ora della registrazione e coordinate Gps, che una volta scaricati dalle videocamere sono disponibili, con diversi livelli di accessibilità e sicurezza, per le successive attività di accertamento.

I due pareri resi dal Garante sulle due valutazioni di impatto presentate dal Ministero e dall’Arma tengono conto degli approfondimenti effettuati dagli uffici dell’Autorità.

A differenza di quanto sostenuto dal Ministero e dall’Arma, che pur avendo presentato la Dpia non ritenevano necessaria la consultazione preventiva dell’Autorità, il Garante ha affermato che in base al Decreto tale consultazione è dovuta, in quanto i rischi per le persone riprese possono essere anche molto elevati, spaziando dalla discriminazione alla sostituzione d’identità, al pregiudizio per la reputazione, all’ingiusta privazione di diritti e libertà. E l’utilizzo delle body cam nel corso di manifestazioni pubbliche rende estremamente probabile il trattamento di dati che rivelino le opinioni politiche, sindacali, religiose o l’orientamento sessuale dei partecipanti.

Il Garante ha ritenuto tra l’altro ragionevole il periodo di sei mesi di conservazione dei dati e rispettato il principio di privacy by default, essendo prevista la loro cancellazione automatica trascorso tale termine.

L’Autorità infine ha raccomandato alle Amministrazioni di valutare la possibilità di condividere i documenti originali con tutti i soggetti autorizzati da remoto, senza il ricorso alla produzione di copie.

Roma Capitale: parcheggi, non tutelati i dati degli automobilisti

Il Garante Privacy sanziona Comune e Atac

Il Garante per la protezione dei dati personali ha sanzionato per una somma complessiva di oltre 1 milione di euro Roma Capitale, la società di servizi Atac Spa e un subfornitore, per non aver tutelato i dati degli automobilisti che parcheggiano nel territorio del Comune.

La decisione è stata assunta all’esito di un’istruttoria avviata in seguito alla segnalazione di un utente che si lamentava dei nuovi parcometri installati nel territorio comunale nel 2018. La società Atac Spa, incaricata dal Comune anche per la gestione dei parcheggi, aveva infatti avviato un aggiornamento tecnologico dei parcometri per offrire nuovi servizi (ad esempio il pagamento di sanzione/tributi o l’acquisto/rinnovo dei titoli del trasporto pubblico) e per introdurre nuove modalità di pagamento, inserendo anche il numero di targa del veicolo. Parte della strumentazione era stata fornita da un’altra società, la Flowbird Italia srl (ex Parkeon srl). Tutte le informazioni relative alla sosta venivano poi gestite attraverso un sistema centralizzato al quale poteva accedere, tramite un’apposita app, anche il personale incaricato di controllare il pagamento dei parcheggi.

Nel corso dell’ispezione, condotta in collaborazione con il Nucleo speciale Privacy della Guardia di finanza, sono emerse varie irregolarità. In primo luogo il Comune di Roma, in quanto titolare del trattamento, non aveva fornito alcuna informazione sul trattamento dei dati degli automobilisti, non aveva nominato la società Atac Spa responsabile del trattamento, né fornito a quest’ultima le necessarie istruzioni su come trattare i dati raccolti. Neppure la società subfornitrice era stata incaricata formalmente o istruita su come procedere in merito al trattamento dei dati.

È poi emerso che le società non avevano predisposto il registro dei trattamenti dei dati e che il progetto era stato ideato senza rispettare i principi di protezione dei dati fin dalla progettazione, e per impostazione predefinita, come richiesto dal Regolamento europeo Gdpr. Non erano stati neppure definiti i tempi di conservazione dei dati raccolti né erano state adottate idonee misure di sicurezza. È stato ad esempio accertato che, all’epoca delle verifiche, alcuni flussi di dati da e verso il sistema implementato da Atac Spa viaggiavano in canali non sicuri. Il personale addetto, inoltre, avrebbe potuto controllare in maniera massiva e ripetuta nel tempo qualunque targa, magari per conoscere le abitudini di una persona e i luoghi di sosta, senza lasciare alcuna traccia nel sistema informativo.

Alla luce delle violazioni riscontrate e dell’illecito trattamento dei dati, il Garante per la privacy ha comminato una sanzione di 800.000 a Roma Capitale, di 400.000 ad Atac Spa e di 30.000 a Flowbird Italia srl.

Nel calcolare la sanzione per l’illecito trattamento dei dati, l’Autorità ha tenuto conto della grande quantità di dati personali trattati (da giugno 2018 a novembre 2019 il sistema di Atac Spa aveva già registrato i dati di 8.600.000 soste e ancora oggi interessa potenzialmente tutti i soggetti che usufruiscono del servizio di sosta a pagamento sul territorio comunale) e delle sanzioni già ricevute per la violazione della privacy, ma anche della positiva collaborazione offerta da Roma Capitale e dalle società per risolvere alcune violazioni riscontrate durante l’ispezione.

Nonostante le modifiche apportate in corso d’opera al sistema di gestione dei parcheggi, il Garante ha comunque rilevato il permanere di criticità relative alle misure di sicurezza e ha quindi prescritto anche l’adozione di misure correttive e di idonee misure di sicurezza a protezione delle informazioni raccolte.

No alla diffusione sul sito della Regione dei dati che rivelano un disagio economico

Il Garante sanziona la Regione Lombardia per 200.000 euro

I dati di coloro che richiedono benefici economici vanno protetti in modo particolare per non rivelare la condizione di disagio economico e sociale delle persone interessate.

È quanto ha ribadito l’Autorità privacy che, a seguito di una segnalazione, ha sanzionato la Regione Lombardia per aver diffuso sul sito web istituzionale i dati personali di più di centomila studenti, che avevano richiesto borse di studio statali o sussidi economici per l’acquisto di libri di testo, dotazioni tecnologiche e strumenti per la didattica. Tenuto conto che per accedere al contributo occorreva essere in possesso di un valore ISEE non superiore a circa 15.000 euro e l’entità dei benefici era minima (sotto ai 1000 euro) la diffusione on line aveva come effetto immediato quello di rivelare la condizione di disagio economico degli interessati.

Nello specifico, come emerso dalla verifica preliminare dell’Ufficio, dall’home page del sito istituzionale della Regione era possibile consultare e scaricare l’elenco delle domande ammesse e finanziate, quello delle domande ammesse da finanziare, l’elenco dei beneficiari di borsa di studio statale e quello delle domande non ammesse. Tali liste riportavano dati personali quali l’Id della domanda, il nominativo del richiedente, la classe dello studente, il codice e la denominazione della scuola, il numero della domanda.

L’Autorità ha ribadito che i soggetti pubblici, nel rispettare gli obblighi di trasparenza, possono diffondere dati personali solo se tale operazione è prevista da una norma di legge o di regolamento, nei casi previsti dalla legge e sempre nel rispetto dei principi in materia di protezione dei dati come, ad esempio, il principio di minimizzazione. Indicazioni, queste, già contenute nelle Linee Guida emanate dal Garante del 2014. Anche la normativa statale di settore in materia di trasparenza esclude, in ogni caso, la pubblicazione dei dati dei destinatari dei provvedimenti,

qualora da tali dati sia possibile ricavare informazioni sulla situazione di disagio degli interessati.

Riscontrato l’illecito, il Garante ha sanzionato la Regione per 200.000 euro, tenendo conto dell’alto numero di persone i cui dati sono stati diffusi e del periodo di quasi 11 mesi in cui è avvenuta l’infrazione, ritenuta comunque di natura colposa. A seguito dell’intervento dell’Autorità, la Regione ha prontamente rimosso dal sito istituzionale i dati personali oggetto di violazione.

.

© 2021 HTO.tv – Riproduzione Riservata

    Tagged in: