Introduzione
Lo scorso 11 gennaio il Garante per la protezione dei dati personali ha sanzionato il Comune di Trento per aver condotto due progetti di ricerca scientifica finanziati dall’Unione Europea utilizzando telecamere, microfoni e reti sociali in violazione della normativa sulla protezione dati.
Oggetto di sperimentazione erano due sistemi di intelligenza artificiale denominati “Marvel” e “Protector”, nell’ambito dei quali venivano raccolte informazioni in luoghi pubblici attraverso microfoni e videocamere di sorveglianza, con il proposito di rilevare potenziali situazioni di pericolo per la sicurezza pubblica.
L’oggetto della sanzione
Nello specifico, nell’ambito del progetto Marvel si consentiva la raccolta e l’analisi di dati da streaming audiovisivi multimodali, con l’obiettivo di migliorare la qualità della vita dei cittadini all’interno del paradigma della città intelligente. Il progetto Protector aveva lo scopo di migliorare la protezione dei luoghi di culto a livello urbano attraverso l’analisi dei crimini d’odio e delle minacce terroristiche, così come la valutazione delle misure di sicurezza e delle risposte fornite dalle forze dell’ordine in tali contesti. Si rendeva possibile l’acquisizione di dati provenienti da telecamere di videosorveglianza e dati testuali derivati dai social media, la loro elaborazione e la visualizzazione di informazioni rilevanti per le forze dell’ordine, impegnate nell’identificazione di rischi e minacce per la sicurezza dei luoghi di culto. L’analisi automatica dei dati visuali e testuali veniva effettuata attraverso software basati su tecnologie di intelligenza artificiale. Per quanto attiene ai dati acquisiti attraverso telecamere di videosorveglianza, l’oggetto della rilevazione era unicamente la categoria di oggetti ripresi ed il tracciamento del loro movimento, non invece la loro specifica identità, grazie ad un sistema basato su tecnologie di object detection che consentiva la classificazione della categoria degli oggetti (ad esempio automobili, pedoni, biciclette). Per quanto riguarda i dati acquisiti sulle piattaforme digitali, l’analisi si concentrava su una componente di rilevamento automatico dei messaggi d’odio religioso su Twitter e YouTube al fine di monitorare eventuali escalation d’odio (non consentendo l’acquisizione di informazioni relative ai profili degli utenti, ma unicamente relative ai dati testuali); si aggiungeva una componente di analisi delle emozioni per la verifica di eventuali picchi di aggressività o rabbia all’interno di post a contenuto religioso e una componente di rilevamento di disinformazione legata a fake news.
Le dichiarazioni del Comune di Trento
Il Comune ha dichiarato che il trattamento fosse effettuato per finalità connesse allo sviluppo dei progetti sopramenzionati e che la base giuridica per la normale attività di sorveglianza fosse da rinvenire nell’art. 6 comma 1, lettera e) GDPR. La funzione generale di interesse pubblico o connesso all’esercizio di pubblici poteri, a detta del Comune, era conforme a quanto previsto dall’art. 2 Codice enti locali e la circostanza che si trattasse di progetti di ricerca faceva sì che fossero applicabili le disposizioni dell’Allegato A 5 del Codice contenente le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica, in conformità all’art. 89 GDPR.
La posizione dell’Autorità Garante
Dalla complessiva documentazione è emerso che il Comune di Trento abbia posto in essere nei fatti un’attività di trattamento di dati personali relativi a reati (art. 10 GDPR) visto l’utilizzo di microfoni e telecamere impiegati con lo specifico scopo di individuare e analizzare fatti rilevanti ai fini della pubblica sicurezza che potessero integrare talune fattispecie di reato, attraverso l’allenamento di sistemi di intelligenza artificiale. Il Comune ha in sua difesa sostenuto di aver impiegato, successivamente alla raccolta di dati, delle tecniche di anonimizzazione volte a mitigare l’impatto potenziale dei due progetti sui diritti e le libertà fondamentali degli interessati. Queste ultime, tuttavia, non sono state ritenute idonee a realizzare un’attività effettiva di anonimizzazione dei dati, dal momento che (i) nell’ambito del progetto Marvel, i microfoni risultavano comunque in grado di captare anche conversazioni tra i soggetti che avvenissero nei pubblici luoghi di installazione dei microfoni e, malgrado le voci fossero alterate, risultava comunque possibile l’identificazione dei soggetti coinvolti attraverso i contenuti delle conversazioni. Per ciò che attiene poi alle immagini registrate dalle videocamere di sorveglianza, nonostante fossero messe in atto misure tecniche volte ad anonimizzare ad esempio volti dei soggetti passanti o targhe di automobili, si è ritenuto che da talune caratteristiche fisiche fosse comunque possibile l’identificazione personale; (ii) nell’ambito del progetto Protector, si è messo in luce, invece, come i dati relativi agli utenti di Twitter fossero stati soltanto pseudoanonimizzati e non anonimizzati.
Un ulteriore elemento determinante per l’irrogazione della sanzione da parte dell’Autorità è stata la circostanza che il Comune non avesse operato un trattamento conforme ai principi di liceità, correttezza e trasparenza, data la mancanza di informative di secondo livello che potessero più chiaramente far comprendere agli interessati le modalità e le finalità del trattamento dei dati raccolti tramite le videocamere e i microfoni, collocati in punti strategici della città per gli scopi anzidetti.
Nel contesto di tale trattamento operato dal Comune di Trento, si rende essenziale il richiamo alle disposizioni di cui all’art. 52 par. 1 della Carta dei diritti fondamentali dell’Unione Europea, il quale impone che eventuali limitazioni all’esercizio dei diritti e delle libertà quali il diritto al rispetto della vita privata e il diritto alla protezione dei dati (di cui agli articoli 7 e 8 della stessa Carta) sia previsto dalla legge. Ciò implica che la base giuridica grazie alla quale si possa operare un’ingerenza in tali diritti debba necessariamente definire la portata della limitazione dell’esercizio del diritto.
Il caso di Trento richiama l’attenzione sulle sfide etiche e legali legate all’implementazione di sistemi di sorveglianza avanzati e sottolinea l’importanza di garantire un adeguato rispetto dei diritti fondamentali dei cittadini. Le autorità e le organizzazioni che intendono utilizzare tecnologie simili devono operare con la massima trasparenza e conformità alle normative sulla protezione dei dati, assicurandosi che i benefici derivanti dall’innovazione non compromettano la privacy e la dignità umana.
Al fine di garantire la libertà dei cittadini, si rende necessario che questi circolino nei luoghi pubblici senza il rischio di subire eccessive ingerenze nella loro sfera privata, questione che va debitamente contemperata con le esigenze di sicurezza. Il Garante ha determinato puntualmente requisiti stringenti per evitare che l’attività di sorveglianza pubblica si spinga fino a limitare i diritti dei cittadini: è necessario, infatti, che il trattamento avvenga in ossequio ai principi di liceità, necessità, proporzionalità e per finalità precisamente determinate. La videosorveglianza è lecita, nel caso di enti pubblici, se dettata dallo svolgimento di funzioni istituzionali. La necessità impone che l’uso di sistemi di questo tipo sia limitato ai soli casi in cui il proposito non possa essere realizzato con mezzi diversi (e ciò richiama dunque all’esigenza di minimizzazione dei dati). La proporzionalità si riferisce alla circostanza che la sorveglianza attraverso telecamere venga impiegata solo come misura ultima di controllo, quando altre risultino insufficienti ovvero inattuabili. Da ultimo, il principio di finalità stabilisce che l’installazione delle telecamere possa essere effettuata solamente per lo scopo che guida l’azione stessa: nel caso del Comune di Trento, appare evidente la mancanza di tale requisito se si considera che le telecamere ed i microfoni impiegati fossero già stati installati per altri scopi, perseguiti già prima che venissero messi in atto il progetto Marvel e il progetto Protector.
AI Act
Nel Regolamento europeo sull’Intelligenza Artificiale (“Ai Act”), caratterizzato dal cosiddetto “risk-based approach”, all’articolo 5 sono disciplinate le pratiche di Intelligenza Artificiale vietate. Alla lettera c) si menziona tra le pratiche vietate la messa in servizio o l’uso di sistemi di Intelligenza Artificiale da parte di autorità pubbliche o per loro conto ai fini della valutazione o della classificazione dell’affidabilità delle persone fisiche per un determinato periodo di tempo sulla base del loro comportamento sociale o di caratteristiche personali o della personalità. Alla lettera d) si precisa che è vietato l’uso di sistemi di identificazione biometrica remota in tempo reale in spazi accessibili al pubblico a fini di attività di contrasto, a meno che e nella misura in cui tale uso sia strettamente necessario per la ricerca mirata di potenziali vittime specifiche di reato, per la prevenzione di una specifica minaccia sostanziale o imminente per la vita o l’incolumità fisica delle persone o di attacchi terroristici; per il rilevamento, la localizzazione, l’identificazione o l’azione penale nei confronti di un autore o sospettato di reato.
Qualora il sistema di AI risulti non vietato ma comunque classificato tra quelli ad alto rischio ai sensi dell’articolo 6 dello stesso Regolamento, si impone al deployer di adottare misure tecniche ed organizzative adeguate ad un utilizzo conforme, affidando la sorveglianza umana dei sistemi a figure competenti, monitorando il funzionamento dei sistemi e cooperando con le autorità di vigilanza e di controllo, ove necessario. Ai sensi dell’articolo 27, oltretutto, si prevede che in tali casi venga effettuata una valutazione di impatto sui diritti fondamentali.
Conclusioni
Il caso Trento rappresenta un importante monito riguardo alle sfide etiche e legali che accompagnano l’implementazione di sistemi di sorveglianza avanzati. È essenziale che venga garantito un equilibrio tra la sicurezza pubblica e i diritti fondamentali dei cittadini, soprattutto il diritto alla privacy e alla protezione dei dati personali. Le autorità e le organizzazioni devono operare con trasparenza e rispettando rigorosamente le normative sulla protezione dei dati, assicurando anche che l’utilizzo di tali tecnologie non minacci la dignità umana e i diritti individuali. L’AI Act definisce linee guida chiare per l’utilizzo responsabile di sistemi di AI, imponendo misure di sicurezza e valutazioni dell’impatto sui diritti fondamentali che garantiscano ai cittadini una circolazione libera nei luoghi pubblici scevra da qualsivoglia intrusione immotivata nella loro sfera privata.
