Con Provvedimento datato 11/01/2024 il Garante Privacy ha sanzionato con 50mila euro il Comune di Trento per aver condotto alcuni progetti di ricerca scientifica, basati sull’Intelligenza Artificiale, in violazione della normativa vigente in materia di data protection. Tali progetti prevedevano l’uso di telecamere, microfoni e reti sociali.
Si ripropone, nuovamente, il rapporto tra libertà di ricerca scientifica e tutela dei diritti e delle libertà fondamentali.
Premesso che l’innovazione tecnologica non può progredire senza l’indispensabile tutela dei diritti, bisogna ricordare che deve essere sempre obbiettivo primario del Titolare del trattamento – in virtù dei principi di accountability e di privacy by design – effettuare preventivamente (e quindi prima di iniziare un qualsivoglia trattamento di dati) il giusto bilanciamento di interessi tra loro diversi e talora contrapposti.
Nel caso di specie, oggetto dell’analisi del Garante sono stati alcuni progetti di ricerca, come di seguito indicati:
- il progetto MARVEL prevede l’acquisizione di filmati e di audio da telecamere di videosorveglianza già presenti nel territorio comunale. I dati raccolti venivano successivamente analizzati tramite intelligenza artificiale per identificare automaticamente eventi di rischio per la sicurezza pubblica;
- il progetto PROTECTOR prevede la raccolta e l’analisi di video da telecamere di videosorveglianza (senza segnale audio) e la valutazione di messaggi e commenti d’odio (“hate speech”) sui social media. Il sistema è in grado di rilevare eventuali emozioni negative e di elaborare informazioni d’interesse per le Forze dell’ordine con l’obiettivo di identificare potenziali minacce alla sicurezza dei luoghi di culto;
- il progetto PRECRISIS consente di identificare le vulnerabilità degli spazi pubblici urbani e simulerà scenari plausibili prima, durante e dopo eventuali attacchi terroristici o violenti.
In sintesi, tali progetti concernono l’uso di sistemi automatizzati “intelligenti” in grado non solo di registrare e archiviare suoni e immagini, ma anche di procedere all’analisi comportamentale e alla raccolta di dati personali, elementi che richiedono una riflessione più approfondita quanto al loro impatto sulla privacy.
simili forme di sorveglianza negli spazi pubblici possono modificare il comportamento delle persone e condizionare anche l’esercizio delle libertà democratiche
Sono emerse numerose violazioni della vigente normativa in materia di protezione dei dati, ivi incluse sia gravi carenze nelle tecniche di anonimizzazione, sia mancanza di trasparenza.
Gli obiettivi dei progetti erano chiari: tutelare la sicurezza pubblica. Ciò però non toglie che sia sempre obbligatorio rispettare i principi di proporzionalità e di necessità nel trattamento dei dati personali.
In particolare il Garante ha ravvisato le seguenti criticità:
- mancanza di liceità e correttezza: il Comune di Trento, non avendo la ricerca scientifica tra le proprie finalità istituzionali, non ha fornito una base giuridica adeguata per i trattamenti dei dati personali; va altresì evidenziato che i dati venivano condivisi anche con soggetti terzi, tra cui i partner di progetto;
- mancanza di trasparenza: il Comune non ha completamente descritto i trattamenti nelle informazioni di primo e secondo livello, nulla dunque potevano sapere gli interessati sulla possibilità che anche le conversazioni potessero essere registrate dai microfoni installati sulla pubblica via;
- mancanza di misure di sicurezza: è stata accertata la mancanza di adeguate misure di anonimizzazione per ridurre i possibili rischi di identificazione degli interessati;
- è stata del tutto omessa la valutazione d’impatto, obbligatoria in tali casi ai sensi dell’art. 35 del GDPR.
Il Garante ha concluso che devono essere stigmatizzate le massive e invasive modalità di trattamento poste in essere, che hanno comportato significativi rischi per i diritti e le libertà degli interessati, anche di rango costituzionale. Infatti simili forme di sorveglianza negli spazi pubblici possono modificare il comportamento delle persone e condizionare anche l’esercizio delle libertà democratiche.
Il testo integrale del Provvedimento è consultabile all’URL https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9977020
