- Introduzione: il caso svedese
Le tecnologie di videosorveglianza rappresentano oggi uno dei principali strumenti di garanzia della sicurezza, specialmente in circostanze caratterizzate da una elevata affluenza di pubblico e da potenziali situazioni di conflittualità. Ciò si verifica anche nel contesto del trasporto pubblico, ove il contatto diretto e quotidiano tra operatori del servizio e utenti può dar luogo a tensioni, soprattutto in occasione dei controlli di titoli di viaggio e dell’irrogazione di sanzioni. In tale ambito, l’utilizzo di dispositivi di videoregistrazione indossabili dagli operatori, c.d. bodycam, oltre a consentire di documentare eventuali comportamenti illeciti degli utenti, svolge una funzione deterrente rispetto ad aggressioni e minacce nei confronti del personale di servizio.
Per questa ragione, il ricorso a tali tecnologie di videosorveglianza si è progressivamente diffuso in tale ambito, sollevando tuttavia rilevanti questioni in ordine al corretto bilanciamento tra esigenze di sicurezza e tutela dei diritti fondamentali degli utenti. In particolare, a livello europeo, entrano in gioco le tutele previste dalla disciplina in materia di protezione dei dati personali (Regolamento (UE) 2016/679, GDPR).
Nel delicato e sfidante contesto sopra delineato, il presente contributo intende commentare la recente sentenza Integritetsskyddsmyndigheten contro AB Storstockholms Lokaltrafik del 18 dicembre 2025, C-422/24 della Corte di giustizia dell’UE (CGUE). La vicenda che ha condotto alla decisione in esame prende le mosse proprio dall’adozione, da parte di una società di trasporto pubblico di Stoccolma, AB Storstockholms Lokaltrafik (SL), di dispositivi bodycam assegnati ai controllori. Tali sistemi prevedevano una videoregistrazione continuativa di immagini e suoni mediante una memoria circolare, con cancellazione automatica e quasi immediata dei dati registrati; veniva tuttavia attribuita al controllore la facoltà di impedire l’eliminazione della registrazione – e dunque, di conservare i dati – solo in occasione dell’irrogazione di un’ammenda o in presenza di situazioni di pericolo. Ciò al fine dichiarato di documentare minacce o aggressioni, nonché agevolare l’identificazione dei soggetti sanzionati.
Nell’ambito delle proprie attività di controllo, l’Autorità svedese per la protezione dei dati ha ritenuto che il trattamento dei dati personali effettuato da SL fosse in contrasto con diverse disposizioni del GDPR, riscontrando l’inadeguatezza delle informazioni fornite agli utenti quanto al trattamento dei dati raccolti tramite bodycam, conseguentemente disponendo nei confronti della società una sanzione amministrativa di rilevante entità. A seguito della contestazione proposta da SL, il giudice amministrativo di primo grado ha confermato la legittimità del provvedimento con riferimento alla violazione degli obblighi informativi, mentre la Corte d’appello amministrativa di Stoccolma ha successivamente riformato la decisione, escludendo l’applicabilità di tali obblighi al caso di specie. Investita dell’impugnazione proposta dall’Autorità, la Corte suprema amministrativa di Svezia ha ritenuto necessario sospendere il giudizio e sottoporre alla CGUE questione pregiudiziale ex art. 267 TFUE, volta a chiarire quale disposizione del GDPR trovasse applicazione nel caso in esame.
- Il quadro normativo di riferimento: principio di trasparenza e obblighi informativi nel GDPR
Prima di analizzare la pronuncia, occorre interrogarsi sulla natura e sulla portata degli obblighi informativi previsti dal GDPR. Questi costituiscono infatti il precipitato operativo del principio di trasparenza – inteso come garanzia di conoscibilità del trattamento di dati personali da parte degli interessati – e naturale emanazione del diritto all’informazione riconosciuto in capo a ciascun soggetto interessato (Vrabec, 2021; Fasano, 2022). Tale diritto, disciplinato dagli artt. 12 a 14 GDPR, è uno dei cardini dell’intero impianto regolatorio e si sostanzia nella possibilità per l’interessato di conoscere in modo chiaro e accessibile modalità, finalità e principali caratteristiche del trattamento. In questa prospettiva, il corrispondente obbligo gravante sul titolare del trattamento (nel caso di specie, la società SL) di fornire le relative informazioni agli interessati (ossia agli utenti del servizio di trasporto) rappresenta lo strumento attraverso cui il principio di trasparenza trova concreta attuazione, consentendo all’interessato di esercitare in modo consapevole e (quindi) effettivo i diritti riconosciutigli dal Regolamento. La disciplina positiva distingue due diverse ipotesi di obblighi informativi, a seconda delle modalità di acquisizione dei dati personali oggetto del trattamento. L’art. 13 GDPR trova applicazione nel caso in cui i dati siano raccolti «presso l’interessato», ossia in presenza di una raccolta diretta, mentre l’art. 14 GDPR disciplina l’ipotesi residuale in cui i dati non siano ottenuti presso l’interessato, configurando una raccolta indiretta. Sotto il profilo contenutistico, le due disposizioni presentano un elevato grado di sovrapposizione, prevedendo entrambe un nucleo informativo ampiamente coincidente (identità del titolare, finalità e base giuridica del trattamento, destinatari dei dati e diritti esercitabili dall’interessato). Permangono tuttavia alcune differenze, tra cui la previsione dell’obbligo di indicare le categorie di dati trattati e la fonte dei dati personali nei casi di raccolta indiretta (art. 14 GDPR). Altra divergenza significativa tra le due disposizioni attiene poi al momento in cui le informazioni devono essere fornite e al regime delle eventuali eccezioni: nel caso di raccolta diretta, l’art. 13.1 GDPR impone al titolare di provvedere all’informativa «nel momento in cui i dati personali sono ottenuti», garantendo così un’informazione immediata. Nell’ipotesi di raccolta indiretta, invece, l’art. 14.3 GDPR introduce una maggiore flessibilità, prevedendo che le informazioni possano essere comunicate entro un termine ragionevole, comunque differito. Con riguardo alle eccezioni, mentre l’art. 13.4 GDPR contempla un’unica ipotesi di esonero, limitata al caso in cui l’interessato disponga già delle informazioni, l’art. 14.5 GDPR prevede un catalogo più ampio di deroghe, tra cui quella – di particolare interesse nel caso in esame – relativa all’impossibilità o allo sforzo sproporzionato richiesto per fornire l’informativa.
Ne deriva che la qualificazione della raccolta dei dati come diretta o indiretta incide in modo determinante sull’estensione e sull’intensità degli obblighi informativi gravanti sul titolare del trattamento, nonché sulle eventuali sanzioni comminate dalle Autorità di controllo. È proprio alla luce di tale rilievo che si comprende la centralità del quesito sollevato dal giudice del rinvio: «Quale degli articoli 13 e 14 del GDPR si applichi quando i dati personali vengono raccolti tramite una telecamera indossata».
- La ricostruzione della CGUE: la bodycam determina una raccolta diretta dei dati
La tesi sostenuta da SL, accolta dai giudici nazionali in sede di appello, muove dall’assunto secondo cui la raccolta diretta presupporrebbe una partecipazione consapevole da parte dell’interessato nella fase di raccolta dei dati personali. In tale prospettiva, i dati potrebbero dirsi «raccolti presso l’interessato» soltanto laddove questi li fornisca in modo attivo; al contrario, nei casi in cui il dato venga captato mediante strumenti di osservazione, come avviene con la bodycam, tale coinvolgimento attivo dell’interessato, ritenuto presupposto applicativo dell’art. 13 GDPR, verrebbe a mancare. Di qui, la possibilità di ricondurre la fattispecie in esame entro l’ambito residuale dell’art. 14 GDPR, con conseguente maggiore flessibilità temporale nell’assolvimento dell’obbligo informativo e, soprattutto, possibile richiamo all’eccezione dello sforzo sproporzionato disposta all’art. 14.5.b GDPR. Nelle difese di SL, del resto, tale argomento era strettamente connesso alla constatazione pratica secondo cui non sarebbe realisticamente possibile fornire un’informativa individuale a ciascun passeggero prima dell’avvio della registrazione tramite bodycam.
Su basi assai diverse si colloca invece la ricostruzione fatta propria dalla Corte, coerente con le Conclusioni dell’avvocato generale e fondata – secondo un canone interpretativo costantemente seguito nella giurisprudenza europea – sull’analisi letterale, contestuale e teleologica delle disposizioni rilevanti. Sotto il profilo letterale, l’art. 14 GDPR si applica quando i dati non sono stati ottenuti presso l’interessato, secondo una delimitazione “in negativo” rispetto all’art. 13 GDPR. Inoltre, il termine «raccolta», impiegato in tale disposizione, implica una forma di trattamento ai sensi dell’art. 4.2 GDPR che presuppone un’attività del titolare, non dell’interessato. L’elemento attivo, pertanto, non va ricercato nella sfera del soggetto cui i dati afferiscono, ma in quella di chi organizza e realizza il trattamento.
Né può attribuirsi rilievo decisivo ai fini della determinazione della disciplina applicabile al fatto che l’interessato sia o meno conscio della raccolta dei dati nel momento in cui essa avviene: la consapevolezza del trattamento, ed un’eventuale (conseguente) condotta attiva dell’interessato, non costituiscono il presupposto applicativo dell’art. 13 GDPR, bensì l’effetto dell’obbligo informativo immediato che da tale disposizione discende.
Piuttosto, è da sottolineare il ruolo cruciale attribuito, ai fini della risoluzione del caso, alla determinazione del concetto di “fonte dei dati”, ossia l’origine immediata dei dati personali acquisiti dal titolare del trattamento. La questione consiste nell’individuare da chi il titolare abbia ottenuto i dati, ed è proprio questo il passaggio decisivo: il fatto stesso che l’art. 14 GDPR imponga di indicare la fonte dei dati all’intrno dell’informativa resa in caso di raccolta indiretta conferma, a contrario, che tale informazione non è richiesta dall’art. 13, proprio perché, nella raccolta diretta, la fonte dei dati coincide con l’interessato e deve ritenersi implicitamente nota. Muovendo da tali considerazioni, la raccolta di dati biometrici mediante bodycam costituisce raccolta diretta, poiché il dato è tratto direttamente dalla presenza fisica dell’interessato nell’area ripresa: questi diviene la fonte dei dati proprio in virtù della sua mera presenza nello spazio filmato.
La lettura contestuale della disciplina rafforza ulteriormente tale interpretazione. Le Conclusioni dall’avvocato generale richiamano le linee guida del Gruppo di lavoro Articolo 29 sulla trasparenza, secondo cui l’articolo 13 GDPR si applica anche quando il titolare raccolga i dati mediante osservazione, attraverso dispositivi o software idonei a captare dati personali. Allo stesso modo, sono valorizzate le linee guida dell’EDPB «Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video», che ammettono, anche in questi contesti, il ricorso a un’informativa “a più livelli”, fondata su un primo avviso sintetico e su un secondo livello informativo più completo, accessibile anche mediante strumenti digitali. Nella medesima prospettiva si collocano anche i giudici di Lussemburgo, i quali osservano che l’art. 13 GDPR costituisce espressione specifica del diritto dell’interessato a essere informato proprio perché impone la comunicazione delle informazioni nel momento stesso in cui i dati sono ottenuti, mentre l’art. 14 GDPR risponde alla diversa ipotesi in cui il titolare non sia in contatto diretto con l’interessato e acquisisca i dati da altra fonte, creando così una circostanza che giustifica il differimento temporale dell’adempimento informativo.
Ne consegue che l’argomento pratico speso da SL – ossia l’impossibilità di informare singolarmente ogni passeggero – non vale a trasformare un’ipotesi di raccolta diretta in una di raccolta indiretta, ma semmai pone il diverso problema delle modalità appropriate attraverso cui adempiere agli obblighi informativi descritti dall’art. 12 GDPR.
- L’interpretazione teleologicamente orientata della CGUE: brevi considerazioni conclusive
Da ultimo, secondo la CGUE, è la stessa ratio del Regolamento a orientare in modo netto l’esito interpretativo: l’obiettivo del GDPR è assicurare un elevato livello di tutela del diritto alla protezione dei dati personali, e il principio di trasparenza costituisce uno snodo essenziale di tale sistema di garanzie. Ammettere che, in un’ipotesi quale quella della bodycam, trovi applicazione l’art. 14 GDPR significherebbe consentire che la raccolta di dati avvenga senza che l’interessato ne sia informato al momento stesso della captazione, pur trattandosi di dati ricavati direttamente dalla sua persona. Una simile soluzione rischierebbe di svuotare di effetto utile l’art. 13 GDPR, aprendo la strada a pratiche di sorveglianza occulta o comunque non immediatamente percepibili dall’interessato.
La pronuncia in esame chiarisce, dunque, un profilo interpretativo di non secondaria importanza, individuando nella fonte del dato il parametro distintivo tra gli artt. 13 e 14 GDPR. In tal modo, la Corte rafforza la portata del principio di trasparenza, escludendo che esigenze pratiche possano giustificare un arretramento delle garanzie informative, specialmente in contesti – come quello della videosorveglianza – caratterizzati da un’elevata incidenza sui diritti degli interessati.
La pronuncia si inserisce, così, nel più ampio dibattito sul difficile bilanciamento tra esigenze securitarie e tutela dei diritti fondamentali, riaffermando la centralità delle garanzie informative in presenza di tecnologie invasive. Al contempo, essa evidenzia come l’applicazione del GDPR a strumenti tecnologici specifici continui a sollevare margini di incertezza interpretativa, richiedendo un costante sforzo di adattamento dei principi generali alle peculiarità dei singoli contesti applicativi.
