In mancanza di normative che disciplinino il settore delle cosiddette dashcam – piccole videocamere – tipicamente installate sul cruscotto (dashboard) o sul parabrezza dell’auto – in grado di registrare tutto quello che accade all’interno od all’esterno dell’abitacolo, su ogni percorso ed in qualsiasi situazione – alcune autorità privacy europee sono intervenute – negli ultimi anni – per cercare di disciplinare gli aspetti concernenti la protezione dei dati personali.
Di seguito, la trattazione delle varie autorità, in rigoroso ordine alfabetico.
Ricordiamo che in teoria, con gli appositi supporti, qualsiasi dispositivo dotato di fotocamera e di capacità per registrare potrebbe essere utilizzato in tal modo. Tuttavia, soprattutto negli ultimi anni, il mercato è stato interessato da un’esplosione nell’uso di dispositivi ad hoc, preordinati principalmente alla tutela del proprietario del veicolo in caso di incidenti o truffe (es. assicurative).
I punti di vista delle autorità privacy europee
Austria
Il parere dell’autorità privacy dell’Austria (Datenschutzbehörde) si basa su due sentenze, una nazionale e l’altra della Corte di Giustizia dell’Unione Europea (CGUE). Sulla base di queste due decisioni, l’autorità privacy di Vienna ritiene inammissibili la maggior parte delle Dashcam in commercio, poiché a causa della loro configurazione (es. area di registrazione, durata della conservazione ecc.), pregiudica in modo grave gli altri utenti della strada nel loro diritto fondamentale alla riservatezza.
Quindi, secondo l’autorità privacy di Vienna, l’ammissibilità delle Dashcam deve essere valutata caso per caso. A tal proposito vengono tracciati alcuni parametri in merito:
- il trattamento dei dati deve essere effettuato al solo scopo di documentare un incidente (è vietata la pubblicazione online o la diffusione del video);
- l’angolo di ripresa della registrazione dello spazio pubblico (es. la strada) deve essere limitato al minimo possibile, nonché inclinato “verso il basso”;
- la risoluzione della telecamera deve essere la più bassa possibile, in modo che solo una piccola area intorno al veicolo sia chiaramente visibile, mentre le persone o i veicoli più lontani devono risultare sfocati;
- la registrazione deve essere limitata al minimo necessario (es. da un minuto prima dell’incidente a pochi secondi dopo un incidente);
- è necessario un meccanismo di cifratura dei dati;
- la registrazione deve avere sovrascrittura automatica quando non si verificano incidenti (non è ammessa l’attivazione o la disattivazione del sistema manualmente, es. con un pulsante). L’autorità privacy austriaca auspica l’esistenza di Dashcam che si avviino “mediante impulsi predefiniti” (es. sensori d’impatto, manovre brusche, sterzate e frenate improvvise ecc.).
Sulla scorta di quanto statuito, la Datenschutzbehörde sanzionò a fine 2018 un conducente per l’installazione di due Dashcam che non rispettavano quanto statuito. In particolare la polizia austriaca, a seguito di un controllo, fece rapporto all’autorità privacy per la presenza dei dispositivi, nonostante il guidatore si fosse giustificato con la necessità di documentare la dinamica in caso di un potenziale incidente. La sanzione comminata, di “appena” 330€, venne giustificata dal basso reddito e dalla situazione famigliare del conducente.
Belgio
Per l’autorità privacy del Belgio (Autorité de protection des données – Gegevensbeschermingsautoriteit) i dati trattati da una Dashcam – utilizzata per raccogliere prove in caso di “collisione” – si configurano come dati giudiziari. Secondo l’autorità privacy di Bruxelles tale trattamento è lecito quando è necessario per esercitare o difendere un proprio diritto in sede giudiziaria. Tuttavia, il proprietario (o l’utilizzatore) della Dashcam opera come titolare del trattamento, ed in quanto tale dovrà rispettare il principio di proporzionalità (ad esempio, la registrazione automatica solo negli ultimi secondi prima e dopo la collisione); dovrà adempiere agli obblighi di informazione (da un punto di vista pratico, dovranno essere fornite informazioni durante un primo contatto con la controparte, ad es. immediatamente dopo la collisione); dovrà adottare le necessarie misure di sicurezza; ed – infine – dovrà tenere un registro delle attività di trattamento.
Agli stessi obblighi soggiacerà il privato che utilizzasse la Dashcam per scopi ricreativi (es. per filmare il percorso delle sue vacanze) con finalità di pubblicazione su internet ovvero diffusione in genere. Diversamente si applicherà “l’esenzione” prevista dal considerando 18 del GDPR[1].
Cipro
A settembre del 2019 l’Autorità privacy di Cipro (Γραφείο Επιτρόπου Δεδομένων Προσωπικού Χαρακτήρα) si è pronunciata sulla materia in esame, dopo aver ricevuto molte richieste in merito da parte dei cittadini dell’isola. L’autorità privacy di Nicosia ha da un lato ribadito l’inesistenza di un quadro giuridico nazionale che disciplini tale settore; dall’altro lato ha affermato che spetta ai giudici nazionali statuire – di volta in volta – la legittimità del materiale probatorio ottenuto tramite Dashcam. Sempre l’autorità privacy cipriota ha “curiosamente” raccomandato ai cittadini di utilizzare la base giuridica del consenso, da ottenere dalle persone interessate ovvero dagli esercenti responsabilità genitoriale (o rappresentanti legali) dei minorenni (senza, tuttavia, fornire alcun modus operandi). Infine, ha invitato i cittadini ad attenersi ai principi di cui all’art. 5.1 del GDPR.
Germania
Nel maggio 2018 il Bundesgerichtshof (omologo, a livello federale, della nostra Corte di Cassazione) ha stabilito che la registrazione permanente e involontaria del traffico non è compatibile con le disposizioni di legge federali sulla protezione dei dati. Tuttavia, dopo aver valutato il merito del singolo caso, il Bundesgerichtshof ha riconosciuto l’ammissibilità e l’utilizzabilità in sede civile delle registrazioni ottenute tramite Dashcam. La suprema corte tedesca ha sottolineato che l’utilizzatore della Dashcam deve usare tecniche che evitino una registrazione permanente delle immagini: in tal caso i rischi per i diritti e le libertà fondamentali degli interessati sarebbero ridotti al minimo. In tal caso trovano applicazione l’Art. 5.1 lett. c) GDPR (principio di minimizzazione dei dati) e l’Art. 25.1 GDPR (Privacy-by-Design). Anche il Bundesgerichtshof segue il “consiglio austriaco” dell’attivazione della registrazione tramite sensore di movimento, in caso di collisione o di forte decelerazione del veicolo. Inoltre la suprema corte tedesca consiglia la sfocatura delle persone, lo spegnimento automatico e la cancellazione automatica di quanto registrato (e non necessario).
Irlanda
L’autorità privacy irlandese (Data Protection Commission – DPC) ha creato una corposa Guida in materia di Dashcam. La Guida descrive cosa e come sono consuetamente utilizzate le Dashcam, ribadendo quanto affermato da altre autorità europee a proposito del considerando 18 del GDPR e della rinomata sentenza della CGUE del 2014 in materia. A proposito di quest’ultima, pur ribadendo che la sentenza verteva su un sistema di videosorveglianza fisso verso un’area pubblica, la DPC ha ritenuto inevitabile una “ricaduta” in ambito Dashcam.
L’autorità privacy di Dublino focalizza sulla titolarità del trattamento in capo all’utilizzatore della Dashcam. In particolare, il titolare del trattamento deve trattare i dati personali in modo trasparente, con la necessità di fornire un’ampia gamma di informazioni a tutti gli interessati. Per la DPC, in primo luogo dovrebbe esserci un segno o un adesivo chiaramente visibile sul veicolo e/o al suo interno – a seconda dei casi – per indicare che vi sono in corso delle riprese mediante Dashcam. Le informazioni – disponibili a chiunque ne faccia richiesta – devono indicare i dati di contatto, la base giuridica, la finalità del trattamento e il tempo di conservazione dei dati (artt. 12 e 13 GDPR). In alternativa, specifica la DPC, è possibile fornire le informazioni verbalmente. In caso di incidente è necessario informare l’altra parte che sia stato registrato un filmato a proposito. Inoltre i dati personali dovrebbero essere conservati solo per il tempo necessario e per lo scopo per il quale sono stati ottenuti, mentre il filmato dell’incidente potrà essere richiesto per una richiesta di risarcimento od indagine, e conservato a tale scopo. Altri filmati, specifica la DPC, non devono essere conservati a tempo indeterminato e devono essere regolarmente cancellati, mentre i dati personali devono essere conservati in modo sicuro. Vi è sempre il diritto degli interessati ad accedere ai dati acquisiti tramite Dashcam, nonché fornire copia degli stessi a chiunque ne faccia richiesta, entro un mese. È inoltre opportuno, termina l’autorità di Dublino, evitare di condividere i dati di altre persone presenti nel filmato, tenendo conto delle indicazioni della DPC in merito alle responsabilità dei titolari del trattamento.
Lussemburgo
Per l’autorità privacy del Lussemburgo (La Commission nationale pour la protection des données – CNPD) l’uso delle Dashcam è difficilmente conciliabile con il GDPR. L’autorità privacy lussemburghese cita sia la giurisprudenza tedesca, sia la “presa di posizione” dell’autorità privacy austriaca, riprendendo anche la sentenza CGUE al pari di Vienna. Ritenendo difficilmente possibile l’applicazione del considerando 18 del GDPR, per la CNPD qualsiasi trattamento di dati personali è lecito solo se è soddisfatta almeno una delle condizioni di cui all’art. 6 del GDPR; tuttavia la CNPD ritiene che sarà difficile per l’utilizzatore di una Dashcam giustificare la sussistenza di almeno una base giuridica legittimamente applicabile. Talché l’autorità, pur dichiarando che in Lussemburgo non esiste una legge in materia di Dashcam, afferma che il trattamento potrebbe essere lecito sulla base di un interesse legittimo dell’utilizzatore, a condizione che le registrazioni siano limitate a brevi periodi, ad esempio non più alcuni minuti. In tal caso, l’autorità privacy lussemburghese potrebbe ritenere che l’interesse legittimo prevalga sui diritti e le libertà fondamentali delle persone interessate. Oltre alla base giuridica è necessario adempiere ad altre condizioni:
- il trattamento dei dati personali è consentito solo se i dati raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità (ad esempio, pubblicate su Internet in luogo di fornire prove in caso di incidente – Art. 5.1 lett. b GDPR);
- il titolare del trattamento (l’utilizzatore) deve rispettare anche il principio di trasparenza (art. 12 GDPR), il che implica che gli interessati devono essere informati del trattamento dei dati personali (art. 13 GDPR); a tal proposito la Commission ritiene di difficile applicazione questo punto, in quanto è quasi impossibile che l’utilizzatore possa informare chiunque “incontri” sul suo percorso.
Alla luce di quanto dichiarato, ed in assenza di una giurisprudenza lussemburghese sul tema, la CNPD ritiene che l’uso delle Dashcam nello spazio pubblico lussemburghese sia delicato e problematico, in particolare dal punto di vista del rispetto del principio di trasparenza e dell’obbligo “informativo”.
Portogallo
L’autorità privacy portoghese (Comissão Nacional de Protecção de Dados – CNPD) si dimostra più dura del “modello” lussemburghese ed austriaco, con un “basamento” normativo nazionale non indifferente da cui partire. Intervenendo sul “Sentry Mode” della Tesla (Dashcam a 360 gradi), l’autorità privacy di Lisbona ha dichiarato che la legge nazionale portoghese non consente l’uso di tali soluzioni. Infatti, in Portogallo è illegale – salvo disposizioni particolari di legge – trattare dati personali sulle strade pubbliche (persone e proprietà private) mediante Dashcam. Per la Comissão l’art.19 della legge 58/2019, che recepisce nel diritto nazionale il GDPR, tiene conto delle potenziali violazioni della privacy che possono derivare dalla “cattura di immagini” nello spazio pubblico. Secondo tale articolo nessuna telecamera – fissa o mobile che sia – può riprendere “strade pubbliche, proprietà adiacenti o altri luoghi che non sono di esclusiva competenza del titolare del trattamento, salvo quanto strettamente necessario per l’accesso ad un immobile” (es. pianerottolo o portone del titolare del trattamento). L’autorità privacy lusitana dichiara che la stessa legge prevede sanzioni pecuniarie a partire da 500€ per i trasgressori “persone fisiche”, ovvero a partire da 1000€ per le persone giuridiche.
Tuttavia, la Comissão ritiene che la sempre maggiore diffusione delle Dashcam a livello europeo richiede un approccio collettivo e possibilmente una soluzione comune. Per l’autorità privacy portoghese il fatto che il dibattito sull’uso delle Dashcam nelle automobili rimane aperto “non impedisce l’eventuale imposizione di sanzioni in ogni Stato membro per violazione della normativa nazionale”, affermando che “per il momento, l’autorità non ha ricevuto reclami, probabilmente perché la raccolta dei dati non è trasparente e la gente comune non lo percepisce”.
L’autorità privacy di Lisbona ritiene inoltre che le case automobilistiche debbano adottare le misure necessarie per garantire che l’eventuale uso di Dashcam non violi la privacy delle persone. Infine, la Comissão sottolinea che in questo settore sono necessari due principi: la “privacy by design” (Art. 25.1 GDPR) e le Privacy-enhancing technologies (PET – “Tecnologie per il miglioramento della privacy”). Questi due concetti dovrebbero essere applicati tenendo conto del fatto che le finalità in questione devono essere legittime ed il trattamento deve sempre rispettare i principi di adeguatezza, necessità e proporzionalità.
Svizzera
Per l’autorità privacy elvetica (Incaricato federale della protezione dei dati e della trasparenza – IFPDT) se nelle videoregistrazioni delle Dashcam sono riconoscibili persone o numeri d’immatricolazione dei veicoli si ha un trattamento di dati personali, motivo per cui devono essere rispettati i principi generali della protezione dei dati (elvetici ed europei). Tuttavia per l’Incaricato Federale, considerato che è praticamente impossibile segnalare la presenza di Dashcam agli interessati, il trattamento dei dati avviene di regola “di nascosto” e risulta problematico per quanto attiene al principio della trasparenza (al pari di quanto rilevato dall’autorità privacy lussemburghese). In questi casi – inoltre – va considerato anche il principio di proporzionalità. Se le registrazioni sono utilizzate come mezzo probatorio in caso di incidente, e se le riprese sono ininterrotte (ossia non soltanto in occasione dell’evento), il trattamento dei dati non si limita alle persone coinvolte ovvero a coloro che hanno violato il codice della strada. Vengono infatti registrati indiscriminatamente dati riguardanti tutte le persone che si trovano nel raggio di ripresa delle videocamere. Questo equivale a inserire tutti gli utenti della strada tra i “potenziali sospetti”, e di fatto è in atto un trattamento dei dati “preventivo”. Secondo l’autorità privacy svizzera i dati registrati risultano molto più numerosi rispetto a quelli necessari per il trattamento.
Per evitare situazioni spiacevoli, l’Incaricato Federale raccomanda di osservare quanto segue:
- le riprese effettuate da Dashcam non devono essere utilizzate né per puro divertimento né come mezzo probatorio in casi di scarsa entità, come banali manovre spericolate nel traffico, poiché la violazione del principio di trasparenza non ne giustificherebbe l’uso;
- in caso di reati o incidenti gravi, può essere giustificata l’analisi delle immagini purché sia effettuata esclusivamente dalle autorità competenti;
- Infine, occorre evitare che si sviluppi una mentalità da “aiuto sceriffo”. Le Dashcam dei privati non devono essere utilizzate per sorvegliare sistematicamente gli altri utenti della strada. È compito della polizia garantire la sicurezza nella circolazione stradale.
Un cenno alle dashcam dalle linee guida 3/2019 dell’EDPB
Il Comitato Europeo per la Protezione dei Dati (CEPD – EDPB – European Data Protection Board) nelle sue Linee Guida n. 3/2019 ha celermente trattato le Dashcam nel modo seguente. Se su un veicolo è installata una Dashcam (ad es. per raccogliere prove in caso di incidente), è importante assicurarsi che essa non registri costantemente il traffico, così come le persone che si trovano in prossimità di una strada. In caso contrario, l’interesse ad avere delle registrazioni video come prova in caso di incidente stradale non può giustificare questa grave interferenza dei diritti degli interessati. Sul punto il Comitato ha seguito quanto anticipato mesi prima dal Parlamento Europeo.
Il quadro italiano
Stante il vuoto normativo nostrano – a fronte di un crescente uso di tali dispositivi nel Bel Paese – non si può concludere il presente elaborato senza citare brevemente quanto previsto dal Codice Civile e da una sentenza della Suprema Corte in materia di “riproduzioni fotografiche”.
Secondo l’Art. 2712 c.c. “Le riproduzioni fotografiche informatiche o cinematografiche, le registrazioni fonografiche e, in genere, ogni altra rappresentazione meccanica di fatti e di cose formano piena prova dei fatti e delle cose rappresentate, se colui contro il quale sono prodotte non ne disconosce la conformità ai fatti o alle cose medesime”.
Ne deriva che i filmati avranno efficacia di piena prova solamente se non verranno contestati da parte avversa. Secondo la Suprema Corte, tale disconoscimento, che fa perdere alle stesse la loro qualità di prova, deve essere chiaro, circostanziato ed esplicito, “dovendo concretizzarsi nell’allegazione di elementi attestanti la non corrispondenza tra realtà fattuale e realtà riprodotta” (Cassazione Civile, Sez. Lav., 21/09/2016, n. 18507). Dunque, i video acquisiti tramite Dashcam possono fungere da prova se non sono contestati dalle parti, ma la contestazione non può essere meramente generica, poiché deve basarsi su fatti convincenti. Inoltre, secondo l’Art. 2729 c.c., trattandosi di presunzioni non stabilite dalla legge, sarà il giudice, caso per caso e secondo il suo prudente apprezzamento, a valutare se queste prove possono essere applicate.
