Bodycam e protezione dei dati: la Corte UE chiarisce gli obblighi informativi verso i passeggeri

L’utilizzo di telecamere indossabili da parte del personale impegnato nei controlli dei biglietti nei trasporti pubblici solleva questioni rilevanti sul piano della protezione dei dati personali. Una recente sentenza della Corte di giustizia dell’Unione europea ha fornito importanti chiarimenti sull’applicazione del Regolamento generale sulla protezione dei dati (RGPD) in questo contesto.

La decisione riguarda un’azienda di trasporto pubblico di Stoccolma, che aveva dotato i propri controllori di bodycam per riprendere i passeggeri durante le verifiche. L’autorità svedese per la protezione dei dati aveva contestato a tale azienda la violazione di diverse disposizioni del RGPD, infliggendo una sanzione. Secondo l’autorità, l’uso delle bodycam comportava la raccolta diretta di dati personali delle persone riprese, le quali non erano state adeguatamente informate circa il trattamento delle loro immagini.

L’azienda aveva contestato tali conclusioni sostenendo invece che le immagini fossero oggetto di una raccolta indiretta, modalità che prevede tempi e contenuti differenti nell’assolvimento dell’obbligo informativo. Il giudice nazionale ha quindi rimesso la questione alla Corte di giustizia per chiarire la qualificazione della raccolta dei dati ottenuti tramite bodycam.

La Corte ha stabilito che i dati raccolti attraverso l’osservazione diretta della persona ripresa devono essere considerati dati ottenuti direttamente presso l’interessato. Non è necessario che la persona fornisca consapevolmente informazioni né che compia azioni specifiche: il semplice fatto di essere ripresa dalla telecamera è sufficiente per configurare una raccolta diretta ai sensi del RGPD.

In questa circostanza, l’interessato deve ricevere immediatamente le informazioni essenziali sul trattamento dei propri dati. La Corte ha precisato che l’obbligo può essere adempiuto mediante un approccio articolato su più livelli. Le informazioni più rilevanti, come l’identità del titolare del trattamento e le finalità della registrazione, possono essere comunicate tramite un cartello chiaramente visibile. Le informazioni ulteriori possono essere rese disponibili in un luogo facilmente accessibile, come una pagina web dedicata o altra modalità idonea a garantire la piena trasparenza.