Primi spunti interpretativi sulla tutela della riservatezza nel caso di utilizzo di droni
Sommario: 1. Premessa - 2. Inquadramento normativo - 3. Ricadute operative nell'uso dei droni- 4.L'impatto dell'uso
dei droni nell'ambito del trattamento dei dati e delle informazioni personali - 5. Conclusioni
1. Premessa.
Il corretto uso dei sistemi di videosorveglianza sarà uno dei banchi di prova per la tenuta
del nuovo G.D.P.R. (general data protection regulation, altrimenti detto Regolamento
europeo 2016/679) perché appartiene e si inserisce nel vivere quotidiano di ogni
cittadino; non a caso, il G.D.P.R. intende rafforzare, nella sua ratio, il sentimento di
fiducia di consumatori nei nuovi e tracimanti servizi digitali, andandone a “potenziare” il
sistema di tutele e di diritti.
La nuova disciplina sui sistemi di videosorveglianza richiederà, quindi, una valutazione
di “impatto privacy” dei rischi connessi, secondo un sistema a tutele crescenti; la
sorveglianza elettronica, inoltre, non dovrà essere utilizzata per scandagliare gusti e
comportamenti del consumatore, bensì per assecondare una “funzione pubblica” o
comunque di un interesse considerevole di meritevolezza giuridica. A tal fine,
l’Europa[1] si afferma come portatrice di uno standard elevato in tema di tutela della
riservatezza personale a seguito dell’entrata in vigore del nuovo G.D.P.R., che si fa
carico di adeguare la precedente “Direttiva 95” ai mutati e inarrestabili cambiamenti
tecnologici, nonché del Regolamento U.E. 2018/1139 entrato in vigore in data 11
settembre 2018.
La nuova normativa dovrà dimostrarsi capace di resistere ai cambiamenti, all’impatto del
c.d. “internet delle cose”, nonché all’uso dei più svariati dispositivi elettronici “invasivi”
come droni e body cam.
Tra le nuove tecnologie utili per il controllo del territorio sicuramente si distinguono i
cc.dd. “droni”, utilizzabili, in operazioni specializzate, anche e soprattutto dal personale
di polizia.
2. Inquadramento normativo.
CIVILE - COMUNICAZIONE
2 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
Tanto premesso, la definizione di mezzi aerei a pilotaggio remoto (i droni) è contenuta,
per la prima volta, nel Regolamento dell’E.N.A.C. datato 16.12.2013, adottato per la
necessità di disciplinarne l’utilizzo anche per finalità diverse dalle operazioni militari,
scientifiche e di ricerca.
Seguendo le definizioni offerte dal Regolamento E.N.A.C.[2] è possibile riscontrare:
• l’aeromobile a Pilotaggio Remoto (A.P.R.) ovvero un mezzo aereo a pilotaggio
remoto senza persone a bordo, non utilizzato per fini ricreativi e sportivi.
• il Sistema Aeromobile a Pilotaggio Remoto (S.A.P.R.) ovvero un sistema costituito da
un mezzo aereo (aeromobile a pilotaggio remoto) senza persone a bordo, utilizzato per
fini diversi da quelli ricreativi e sportivi, e dai relativi componenti necessari per il
controllo e comando (stazione di controllo) da parte di un pilota remoto.
• Il payload ovvero apparecchiature e istallazioni necessarie per lo svolgimento delle
operazioni previste.
Il S.A.P.R. è un “sistema di sistemi” in cui le singole parti interagiscono tra loro e queste
interazioni possono significativamente determinare il successo e la sicurezza della
missione[3].
L’ingegneria dei sistemi complessi se ne occupa attraverso un approccio interdisciplinare
(ingegneria aeronautica, informatica, elettronica e delle telecomunicazioni); inoltre, oltre
agli aspetti strettamente ingegneristici occorre tenere in considerazione ed approfondire
l’human factor nonché i fattori gestionali, organizzativi ed esterni.
Ciò detto, dal punto di vista della normativa di settore, la corretta applicazione del
regolamento ENAC citata va inquadrata, almeno, nell’ambito delle seguenti normative:
• G.D.P.R.;
• D.lgs. n° 101/2018;
• Regolamento (U.E.) 2018/1139, entrato in vigore in data 11 settembre 2018;
• D.Lgs. ° 196/2003;
• D.P.R. n° 15/2018;
• Ministero dell'interno, Decreto 29 aprile 2016 (in G.U. n. 111 del 13 maggio 2016) -
Modalità di utilizzo da parte delle Forze di polizia degli aeromobili a pilotaggio
remoto;
CIVILE - COMUNICAZIONE
3 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
• provvedimento del “Garante per la privacy”, in materia di videosorveglianza (8 aprile
2010);
• comunicato stampa del Garante per la protezione dei dati personali del 19 giugno
2015[4];
• esiti del Gruppo di Lavoro art. 29, Opinion 01/2015 on Privacy and Data Protection
Issues relating to the Utilisation of Drones.
Infatti, sono sostanzialmente utili a fornire un orientamento dell’Autorità in circostanze
assimilabili a quelle in cui possono operare i droni almeno i seguenti provvedimenti:
• provvedimento del Garante privacy, per Google Street View: le autovetture dovranno
essere riconoscibili (15 ottobre 2010);
• provvedimento del Garante privacy: parziale esonero dell’informativa nei confronti di
Google per il servizio Street View Special Collects (4 dicembre 2014).
Ebbene, nel giugno 2015, le Autorità per la privacy europee, riunite nel "Gruppo WP
Articolo 29", hanno adottato un parere sull’impiego dei droni per gli usi civili. Il
provvedimento fornisce indicazioni e raccomandazioni ai costruttori ed agli operatori,
chiarendo, in particolare, come non sia l’utilizzo di droni in sé ad essere problematico,
quanto gli effetti potenzialmente invasivi che potrebbero discendere dal loro uso e che
sfuggono alla percezione delle persone; a tal fine, appare imprescindibile puntare sulla
“privacy by design e by default”, considerato che “le regole giuridiche in vigore
rischiano di non essere più adeguate a questi nuovi sistemi di raccolta di dati personali
così invasivi”.
Per tali motivazioni, il WP29 ha indicato una serie di misure utili alle parti interessate tra
cui:
• l'obbligo per gli operatori di fornire un’informativa tenendo conto delle peculiarità
delle operazioni svolte (dai cartelli a informative pubblicate sui siti di ciascun
operatore e/o a piattaforme uniche che raccolgano le informazioni sui voli come, ad
esempio, su siti delle Autorità di aviazione competenti, fino all’adozione di misure per
rendere il più possibile visibile e identificabile un drone);
• l'obbligo di utilizzo di una tecnologia che limiti la raccolta e il trattamento dei dati a
quelli indispensabili alle loro finalità oltre all’adozione di idonee misure di sicurezza;
• l'adozione, da parte dei costruttori, di idonee misure di privacy by default e la
CIVILE - COMUNICAZIONE
4 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
promozione di codici deontologici.
Di più, il nuovo regolamento 2018/1139, al considerando 28 prevede che “le norme
riguardanti gli aeromobili senza equipaggio dovrebbero contribuire al rispetto dei diritti
garantiti dal diritto dell'Unione, in particolare il rispetto della riservatezza e della vita
familiare, sancito dall'articolo 7 della Carta dei diritti fondamentali dell'Unione
europea, e la protezione dei dati di carattere personale, sancita dall'articolo 8 della
Carta e dall'articolo 16 TFUE, e disciplinato dal regolamento (UE) 2016/679 del
Parlamento europeo e del Consiglio”; inoltre riconosce margini di flessibilità agli Stati
membri per la definizione di alcuni parametri nel rispetto del principio di proporzionalità
(considerando 27)[5].
Inoltre, nel considerando 34, il Regolamento citato si sofferma espressamente sui droni,
considerati aeromobili senza equipaggio e impiegati principalmente per attività
ricreative; il legislatore europeo fa emergere come tali aeromodelli abbiano garantito
soddisfacenti risultati in materia di sicurezza, soprattutto per quelli operati dai membri di
associazioni o di club di aeromodellismo che hanno elaborato codici di condotta specifici
per tali attività; pertanto, emerge l’intenzione di voler assecondare una transizione dai
diversi sistemi nazionali al nuovo quadro normativo dell'Unione di tal che gli a.p.r. e gli
aeromodelli possano continuare a funzionare secondo i livelli di impiego previgenti alla
modifica normativa.
Dal punto di vista della responsabilità civile, il Reg. ENAC SAP, ed. 2, affronta
l’argomento nell’art. 32 secondo cui:
“Non è consentito condurre operazioni con un S.A.P.R. se non è stata stipulata e in corso
di validità un’assicurazione concernente la responsabilità verso terzi, adeguata allo
scopo e non inferiore ai massimali minimi di cui alla tabella dell’articolo 7 del
Regolamento (CE) 785/2004”.
3. Ricadute operative nell’uso dei droni.
L’operatore S.A.P.R. deve disporre di una organizzazione tecnica ed operativa adeguata
all’attività ed i suoi compiti che consistono almeno nel:
CIVILE - COMUNICAZIONE
5 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
• designare il pilota;
• analizzare il rischio associato alle operazioni;
• eseguire l’attività di volo sperimentale propedeutica;
• predisporre il manuale delle operazioni;
• conseguire l’autorizzazione o rendere la dichiarazione, per coprire tutti gli aspetti
inerenti la sicurezza delle operazioni del S.A.P.R.;
• registrare e conservare i dati relativi alle attività svolte;
• stipulare copertura assicurativa R.C.T.;
• gestire la security delle operazioni;
• gestire la protezione dei dati e la privacy;
• gestire la sicurezza e salute sui luoghi di lavoro;
• assolvere a tutti gli altri obblighi legislativi e regolamentari (nei confronti di comuni,
autorità di P.S., Parchi, ecc.)
Nel caso di tipologia di scenario non critico è necessario garantire una distanza
orizzontale di sicurezza di almeno 150 m dalle aree congestionate ed almeno 50 m da
persone che non sono sotto il diretto controllo dell’operatore S.A.P.R.; invece, per
scenari misti (critico) è previsto il transennamento dell’area di volo, un buffer[6] ed
alcuni sistemi di terminazione del volo indipendenti e dissimili dal sistema di comando e
controllo. Inoltre, per scenari critici è prevista la certificazione software EUROCAE
ED-12 ed alcuni sistemi di terminazione del volo indipendenti e dissimili dal sistema di
comando e controllo.
Ebbene, l’impiego di un drone richiede, comunque, di acquisire familiarità con il termine
sicurezza (safety), in accordo alla definizione contenuta nel Safety Management Manual
(Doc. 9859) dell’ICAO (International Civil Aviation Organization), nel quale la si indica
come “la condizione nella quale la possibilità di danni a persone o proprietà è ridotto e
mantenuto pari o al di sotto di un livello accettabile attraverso un processo continuo di
identificazione dei pericoli e gestione dei rischi”.
Cimentandosi con uno sforzo di schematizzazione e di sintesi, per salute e sicurezza nelle
operazioni specializzate ci si riferisce a:
• rischi meccanici ovvero a caduta dall’alto e in piano, scivolamento, inciampo, taglio,
cesoiamento, urto, schiacciamento, perforazione o puntura, attrito od abrasione,
impigliamento;
CIVILE - COMUNICAZIONE
6 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
• investimento da materiali e mezzi in movimento, proiezione di materiale, caduta
materiali dall’alto;
• esposizione ad agenti atmosferici;
• abbagliamento, esposizione a radiazioni U.V. naturali;
• punture di insetti, morsi di rettili, aggressione da parte di animali selvatici;
• condizioni igieniche, fango, terra, polvere, ecc.;
• movimentazione manuale dei carichi;
• posture incongrue, movimenti ripetitivi, ergonomia e affaticamento fisico e visivo;
• agenti fisici come ad esempio il microclima, campi elettromagnetici, rumore e
vibrazioni, ROA;
• incendio;
• folgorazione e prossimità a linee elettriche;
• problematiche di primo soccorso e gestione dell’emergenza;
• stress, tecno-stress, isolamento, calo d’attenzione;
• distrazione o aggressione.
Secondo il Regolamento A.P.R., ed. 2, art. 11 (Autorizzazione e dichiarazione), comma 3
“L’operatore deve disporre di una organizzazione tecnica ed operativa adeguata
all’attività”; inoltre, occorre richiamare il disposto di cui all’art. 2082 del codice civile
secondo cui “È imprenditore chi esercita professionalmente un’attività economica
organizzata al fine della produzione o dello scambio di beni o di servizi”[7].
In ossequio al “contenuto minimo” dell’art. 15 del d.lgs. n° 81/2008 e richiamando la
nozione di “datore di lavoro”, le misure generali di tutela consistono:
• nella valutazione di tutti i rischi per la salute e sicurezza;
• nell’eliminazione dei rischi e, ove ciò non sia possibile, la loro riduzione al minimo in
relazione alle conoscenze acquisite in base al progresso tecnico;
• nella riduzione dei rischi alla fonte;
• nella sostituzione di ciò che è pericoloso con ciò che non lo è o è meno pericoloso;
• nella limitazione al minimo del numero dei lavoratori che sono, o che possono essere,
esposti al rischio.
La locuzione “tutti i rischi” vuole tradurre e ribadire un chiaro indirizzo del legislatore
comunitario, già introdotto nel previgente D.Lgs. n° 626/1994, con la modifica portata
dalla Legge n° 39/2002 in esecuzione della sentenza della Corte di giustizia delle
CIVILE - COMUNICAZIONE
7 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
Comunità europee del 15 novembre 2001, nella causa C-49/00.
In ambito aeronautico, particolare attenzione andrà riservata nei confronti del «personale
critico ai fini della sicurezza», persone che potrebbero pregiudicare la sicurezza
aeronautica qualora dovessero eseguire i loro compiti e funzioni impropriamente. Tale
definizione riguarda, anche se non esclusivamente, membri dell’equipaggio, personale di
manutenzione di aeromobili e controllori del traffico aereo.
Le misure generali di tutela si armonizzano con l’art. 2087 c.c. che impone
all’imprenditore l’obbligo fondamentale (sussidiario rispetto alle prescrizioni di
specifiche norme antinfortunistiche) di adottare nell’esercizio dell’impresa le misure che,
secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare
l’integrità fisica e la personalità morale dei prestatori di lavoro.
I S.A.P.R. rappresentano oggi quel progresso tecnico che consente di poterli utilmente
impiegare in tutte quelle operazioni specializzate che possono limitare o eliminare
l’esposizione dei lavoratori a rischi.
A tal fine, occorre tener presente i benefici derivanti dall’impiego dei S.A.P.R. (ad es.
riduzione dei rischi tradizionali) nonché tutti i nuovi rischi eventualmente introdotti dal
loro impiego, garantendo il rispetto delle misure generali di tutela, l’informazione, la
formazione e l’addestramento.
Si ricordino, inoltre, alcune definizioni utili contenute nel d.lgs. n° 81/2008:
“attrezzatura di lavoro: qualsiasi macchina, apparecchio, utensile o impianto, inteso
come il complesso di macchine, attrezzature e componenti necessari all’attuazione di un
processo produttivo, destinato ad essere usato durante il lavoro; zona pericolosa:
qualsiasi zona in prossimità di una attrezzatura di lavoro nella quale la presenza di un
lavoratore costituisce un rischio per la salute o la sicurezza dello stesso”.
In rapporto al sito di missione, luogo di lavoro, l’adempimento degli obblighi
prevenzionali si riferisce non solo alle attrezzature, ai macchinari ed ai servizi che il
datore di lavoro fornisce o deve fornire, ma anche all'ambiente di lavoro, in relazione al
CIVILE - COMUNICAZIONE
8 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
quale le misure e le cautele da adottarsi dall'imprenditore devono riguardare sia i rischi
insiti in quell'ambiente sia i rischi derivanti dall'azione di fattori ad esso esterni ed
inerenti alla località in cui tale ambiente è posto.
Secondo il contenuto del Reg. E.N.A.C. S.A.P.R., ed. 2, art. 7 (Impiego dei S.A.P.R.),
comma 3:
“Nel caso di operazioni specializzate per conto terzi, deve essere stipulato un accordo
tra l’operatore del S.A.P.R. e il committente nel quale le parti definiscono le rispettive
responsabilità per la specifica operazione di volo e sulle eventuali limitazioni e
condizioni connesse, anche con riguardo alle disposizioni in materia di protezione dati
di cui all’art. 34 del presente Regolamento”.
In linea generale, nel sito di missione possono verificarsi rischi interferenziali tra i vari
soggetti presenti, per cui occorre tenere ben presenti adempimenti e obblighi per il datore
di lavoro committente ai sensi dell’art. 26 del T.U. n° 81/08 (idoneità tecnico
professionale, D.U.V.R.I., ecc.) nonché adempimenti e obblighi nel caso dei cantieri
temporanei o mobili (anche per il committente) ai sensi del Titolo IV del T.U. n° 81/08
(I.T.P., P.O.S., P.S.C., ecc.)
In punto di posizioni di garanzia e di principio di effettività, si richiama il D.Lgs. n°
81/2008, art. 299, sull’esercizio di fatto di poteri direttivi:
“Le posizioni di garanzia relative ai soggetti di cui all'articolo 2, comma 1, lettere b), d)
ed e), (n.d.r. datore di lavoro, dirigente e preposto) gravano altresì su colui il quale, pur
sprovvisto di regolare investitura, eserciti in concreto i poteri giuridici riferiti a ciascuno
dei soggetti ivi definiti”.
L’impiego di S.A.P.R. in operazioni specializzate richiede formazione e qualificazione
adeguata, sia per l’equipaggio che per l’operatore il quale dovrà adeguare la sua
organizzazione e qualificare appositamente i vari soggetti responsabili in materia di
sicurezza. Sul punto, si evidenzia che è fatto obbligo al datore di lavoro:
• l’individuazione delle mansioni che eventualmente espongono i lavoratori a rischi
CIVILE - COMUNICAZIONE
9 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
specifici che richiedono una riconosciuta capacità professionale, specifica esperienza,
adeguata formazione e addestramento;
• nell'affidare i compiti ai lavoratori, tenere conto delle capacità e delle condizioni degli
stessi in rapporto alla loro salute e alla sicurezza;
• prendere le misure appropriate affinché soltanto i lavoratori che abbiano ricevuto
adeguate istruzioni e specifico addestramento accedano alle zone che li espongono ad
un rischio grave e specifico.
Inoltre, il datore di lavoro assicura che ciascun lavoratore riceva una formazione
sufficiente ed adeguata in materia di salute e sicurezza (cfr. art. 28); di più, la formazione
e, ove previsto, l'addestramento specifico devono avvenire in occasione della
introduzione di nuove attrezzature di lavoro o di nuove tecnologie (cfr. art. 18)
Poi, il rappresentante dei lavoratori per la sicurezza ha diritto ad una formazione
particolare in materia di salute e sicurezza concernente i rischi specifici esistenti negli
ambiti in cui esercita la propria rappresentanza, tale da assicurargli adeguate competenze
sulle principali tecniche di controllo e prevenzione dei rischi stessi (art. 18).
Inoltre, i dirigenti e i preposti ricevono, a cura del datore di lavoro, un'adeguata e
specifica formazione ed un aggiornamento periodico in relazione ai propri compiti in
materia di salute e sicurezza del lavoro.
Si ricordi, poi, il contenuto normativo in punto di capacità professionali:
“Art. 32. Capacità e requisiti professionali degli addetti e dei responsabili dei servizi di
prevenzione e protezione interni ed esterni”
1. Le capacità ed i requisiti professionali dei responsabili e degli addetti ai servizi di
prevenzione e protezione interni o esterni devono essere adeguati alla natura dei rischi
presenti sul luogo di lavoro e relativi alle attività lavorative.
Dal punto di vista delle prospettive per il futuro, cinque principi essenziali sono stati
definiti nella “dichiarazione di Riga” del 06/03/2015 per lo sviluppo futuro dei S.A.P.R.:
• i sistemi R.P.A.S. devono essere trattati come nuovi tipi di aeromobili, con norme
CIVILE - COMUNICAZIONE
10 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
proporzionate in funzione del rischio di ciascuna operazione;
• devono essere sviluppate norme unionali per la fornitura sicura di servizi S.A.P.R., in
modo da permettere all'industria di investire;
• occorre sviluppare tecnologia e norme al fine di consentire la piena integrazione dei
sistemi S.A.P.R. nello spazio aereo europeo;
• l'operatore di un sistema S.A.P.R. è responsabile dell'utilizzo di quest'ultimo;
• l'accettazione da parte dei cittadini è fondamentale per la crescita dei S.A.P.R.
Inoltre, secondo gli “orientamenti normativi” E.A.S.A. (European Aviation Safety
Agency) per la classificazione delle operazioni occorre:
• un approccio basato sul rischio relativamente alla regolamentazione degli A.P.R.;
• un’elaborazione in linea con la dichiarazione di Riga;
• che le linee di azione E.A.S.A. classifichino le operazioni S.A.P.R. in:
• open specialized certified;
• S.A.P.R. inoffensivi.
Ciò detto, nel Regolamento E.N.A.C. S.A.P.R. ed. 2, secondo l’art. 12 (Operazioni con
A.P.R. di massa operativa al decollo minore o uguale a 2 kg) sono considerate non
critiche le operazioni in tutti gli scenari operativi a condizione che gli aspetti progettuali
e le tecniche costruttive dell’A.P.R. abbiano caratteristiche di inoffensività
precedentemente accertate dall’E.N.A.C. o da soggetto da esso autorizzato. Comunque, è
proibito il sorvolo di assembramenti di persone, di cortei, di manifestazioni sportive o
inerenti forme di spettacolo o comunque di aree dove si verifichino concentrazioni
inusuali di persone. Inoltre, l’A.P.R. deve essere condotto da un pilota munito di attestato
e che si deve attenere a specifiche regole di circolazione.
Inoltre, secondo l’art. 12, comma 4, le operazioni specializzate condotte con A.P.R. con
massa al decollo minore o uguale a 0,3 kg e con velocità massima minore o uguale a 60
km/h sono considerate non critiche in tutti gli scenari operativi e non è richiesto
l’attestato per il pilota.
Comunque, è proibito il sorvolo di assembramenti di persone, di cortei, di manifestazioni
sportive o inerenti forme di spettacolo o comunque di aree dove si verifichino
concentrazioni inusuali di persone.
CIVILE - COMUNICAZIONE
11 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
Si aggiunga che non solo i parametri di massa e velocità determinano le caratteristiche
di inoffensività ma anche:
• i materiali utilizzati per le parti principali e dei rivestimenti (bassa densità,
assorbimento elastico e plastico degli urti, materiali frangibili);
• la presenza di parti appuntite o taglienti o di protuberanze di materiale ad alta densità;
• la presenza di arti rotanti non protette.
4. L’impatto dell’uso dei droni nell’ambito del trattamento dei dati e delle
informazioni personali.
Entrando a gamba tesa nel merito del rispetto della normativa sulla tutela della
riservatezza personale, secondo il dettato del Reg. E.N.A.C. S.A.P.R., ed. 2, art. 34,
rubricato “Protezione dei dati e privacy”:
“1.Laddove le operazioni svolte attraverso un S.A.P.R. possano comportare un
trattamento di dati personali, tale circostanza deve essere menzionata nella
documentazione sottoposta ai fini del rilascio della pertinente autorizzazione.
2.Il trattamento dei dati personali deve essere effettuato in ogni caso nel rispetto del
decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni (Codice in materia
di protezione dei dati personali), con particolare riguardo all’utilizzo di modalità che
permettano di identificare l’interessato solo in caso di necessità ai sensi dell’art. 3 del
Codice, nonché delle misure e degli accorgimenti a garanzia dell’interessato prescritti
dal Garante per la protezione dei dati personali”.
Sul punto non può che aversi, come paradigma normativo di partenza, la declaratoria
della nozione di dati personali, così come offerta dall’art. 4 del vigente G.D.P.R.[8]
Ciò detto, il D.P.R. n. 15/2018 (pubblicato sulla Gazzetta Ufficiale del 14 marzo 2018, in
vigore dal 29 marzo 2018) si occupa della privacy nei trattamenti dei dati effettuati da
organi, uffici e comandi di polizia, per le finalità di polizia di cui all'articolo 53 del d.lgs.
196/2003 Codice della privacy (che attualmente, è stato abrogato dal d.lgs. 18 maggio
2018, n. 51), ossia per attività effettuate da organi di pubblica sicurezza o altri soggetti
pubblici per tutela dell'ordine e della sicurezza pubblica, prevenzione, accertamento o
CIVILE - COMUNICAZIONE
12 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
repressione dei reati. In particolare, riguardo al tema in oggetto, l’art. 23 “Sistemi di
ripresa fotografica, video e audio", prevede, al comma 3, che il trattamento di dati
personali raccolti tramite aeromobili a pilotaggio remoto, in considerazione della loro
potenziale invasività, è autorizzato al livello gerarchico non inferiore a quello di capo
ufficio o comandante di reparto. Pertanto, è consentita la raccolta solo dei dati
strettamente necessari per il raggiungimento delle finalità di polizia di cui sopra,
registrando quelli indispensabili, nel rispetto dei seguenti principi:
• va comunque escluso il trattamento quando le finalità possono essere perseguite
mediante dati anonimi o modalità che consentono di identificare la persona interessata
solo in caso di necessità;
• i sistemi informativi e i programmi informatici sono progettati in modo che i dati
personali siano cancellati o resi anonimi; inoltre, i dati personali oggetto di trattamento
devono essere esatti (se necessario, vanno aggiornati), pertinenti, completi e non
eccedenti rispetto alle finalità richiamate;
• i sistemi informativi e i programmi informatici sono configurati in modo da ridurre al
minimo l'utilizzo di dati personali automatizzati, allo scadere dei termini di
conservazione. Essi, inoltre, sono progettati in modo da consentire la registrazione in
appositi registri degli accessi e delle operazioni («file di log»), effettuati dagli
operatori abilitati.
Inoltre, i trattamenti di polizia realizzati tramite droni, in considerazione della loro
potenziale invasività, sono ricompresi tra quelli che presentano rischi specifici per cui,
ai sensi dell’articolo 6, va ricerca la base di liceità e le idonee misure tecniche ed
organizzative: gli accessi e le operazioni effettuati dagli operatori abilitati relativamente a
dati soggetti ad un trattamento automatizzato vanno registrati in appositi files di log, non
modificabili, soggetti a conservazione per cinque anni dall'accesso o dall'operazione.
Sono fatti salvi, comunque, i diversi termini di conservazione previsti da speciali
disposizioni. Gli accessi ai files di log, poi, sono consentiti ai soli fini della verifica della
liceità del trattamento, del controllo interno, per garantire l'integrità e la sicurezza dei dati
personali e nell'ambito di un procedimento penale.
Occorre aggiungere che i dati personali oggetto di trattamento sono conservati per un
periodo di tempo non superiore a quello necessario per il conseguimento delle finalità di
polizia. Inoltre, i dati personali soggetti a trattamento automatizzato, trascorsa la metà
del tempo massimo di conservazione suddetto se uguale o superiore a quindici anni, sono
CIVILE - COMUNICAZIONE
13 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
accessibili ai soli operatori a tanto abilitati e designati, incaricati del trattamento secondo
profili di autorizzazione predefiniti in base alle indicazioni del capo dell'ufficio o del
comandante del reparto e in relazione a specifiche attività informative, di sicurezza o di
indagine di polizia giudiziaria[9].
In relazione alle nomine, prendendo a riferimento il caso dei comuni, ferme restando le
figure basilari che, in ottemperanza alle disposizioni del Regolamento 679/2016
(G.D.P.R.) l’Ente deve aver già nominato e considerato che il Comune interessato, a
prescindere dall’utilizzo di droni o di altri sistemi di video-sorveglianza, è opportuno che
adotti una disciplina interna ed organizzativa della materia della protezione dei dati
personali, occorrerà nominare il responsabile del trattamento interno (o delegato del
titolare) coincidente con il responsabile del servizio o comandante di reparto (come
espressamente richiesto dall’art. 23, comma 4 del D.P.R. n° 15/2018), al quale compete
scegliere gli operatori “incaricati” o “autorizzati” del trattamento, che, ai sensi dell’art.
2-quaterdecies del “Codice della Privacy” (d.lgs. n° 196/2003 e ss.mm.ii.) svolgano,
operando sotto la sua diretta autorità, specifici compiti e funzioni connessi al trattamento
di dati personali effettuato con droni.
Infine, con riferimento agli aeromobili senza equipaggio, l’art. 55 del Reg. U.E.
1139/2018 rimanda all’allegato IX per quanto riguarda l’individuazione dei requisiti
essenziali che debbano essere rispettati nell’attività di progettazione, produzione,
manutenzione ed esercizio di aeromobili da parte del personale, compresi i piloti remoti e
le organizzazioni coinvolte nell’esercizio di queste attività. Ebbene, uno dei requisiti è
costituito dalla conoscenza delle norme nazionali e dell'Unione applicabili alle operazioni
sopra previste, in particolare in materia di sicurezza, tutela della riservatezza personale e
di protezione dei dati e, se necessario, al fine di attenuare i rischi in tali settori, gli
aeromobili senza equipaggio devono avere caratteristiche e funzionalità specifiche che
tengano conto dei principi della tutela della riservatezza e della protezione dei dati
personali fin dalla progettazione e per impostazione predefinita.
5. Conclusioni.
In conclusione, i produttori di droni dovranno comunque predisporre ed adottare ogni
misura di sicurezza, tecnica ed organizzativa, idonea a garantire un’adeguata protezione
CIVILE - COMUNICAZIONE
14 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
dei dati personali assecondando il rispetto dei principi di privacy by design e by default
previsti nel Reg. U.E. 679/2016 e al fine di poter continuare a svolgere, in modo lecito, le
attività di trattamento che l’utilizzo di tale tecnologia comporta.
Sotto l’opposto punto di vista degli utilizzatori, le amministrazioni interessate dovranno
effettuare un’attenta verifica della base normativa che legittimi l’uso di droni, oltre ad
un’attenta ed approfondita analisi di impatto dei rischi di loro utilizzo, D.P.I.A.,
coinvolgendo il D.P.O. e, se del caso ed in ultima istanza, qualora dovessero residuare
rischi elevati nonostante le misure adottabili, richiedendo l’avviso del Garante per la
privacy.
Appendice di normativa tecnica utile.
• Regolamento (UE) 2018/1139 del Parlamento Europeo e del Consiglio del 4 luglio 2018
• MINISTERO DELL'INTERNO - DECRETO 29 aprile 2016* (in G.U. n. 111 del 13 maggio 2016) - Modalità di
utilizzo da parte delle Forze di polizia degli aeromobili a pilotaggio remoto
• Nota Informativa NI-2017-007 del 17 maggio 2017 - Implementazione degli scenari standard per le operazioni
specializzate critiche di aeromobili a pilotaggio remoto
• LG 2017/001-NAV - Ed. 1 del 16 gennaio 2017 - Metodologia di valutazione del rischio in operazioni RPAS per
autorizzazioni e permessi di volo non geografici - Guida applicativa
• LG 2016/004 - Ed. n.1 del 13 ottobre 2016 - Certificazione di progetto
• Nota Informativa 2016-007: Regolamento "Mezzi Aerei a Pilotaggio Remoto" attestati di pilota APR
• Circolare LIC-15 del 9 giugno 2016 - Mezzi Aerei a Pilotaggio Remoto - Centri di Addestramento e Attestati
Pilota
• LG 2016/003-NAV - Ed. n.1 del 1° giugno 2016 - Aeromobili a pilotaggio remoto con caratteristiche di
inoffensività
• Circolare ICAO n. 328
• Regolamento (CE) 785/2004 del Parlamento europeo e del Consiglio, del 21 aprile 2004, relativo ai requisiti
assicurativi applicabili ai vettori aerei e agli esercenti di aeromobili
DPR 133/2010
• Codice della Navigazione
• Regolamento "Mezzi Aerei a Pilotaggio Remoto"
• Regolamento Tecnico ENAC
• Regolamento ENAC “Regole dell’Aria”
• Regolamento ENAC “Servizi di Traffico Aereo”
• Regolamento ENAC “Organizzazione sanitaria e certificazioni mediche d’idoneità per il conseguimento delle
licenze e degli attestati aeronautici”
Per quanto riguarda le tariffe si rimanda al Regolamento per le Tariffe dell'ENAC.
• Lettera 136156/CRT del 29 dicembre 2015 - Regolamento "Mezzi aerei a pilotaggio remoto" - Chiarimenti
• JARUS CS-LUAS Recommendations for Certification Specification for Light Unmanned Aeroplane Systems
• Disposizione 29/DG del 1° aprile 2016 - Regolamento "Mezzi aerei a pilotaggio remoto" - Dilazione termini di
applicazione delle norme transitorie
• JARUS guidelines on Specific Operations Risk Assessment (SORA)
• Calcolo area di buffer e dimensionamento del cavo di vincolo
CIVILE - COMUNICAZIONE
15 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
[1] Articolo 16 (ex articolo 286 del T.C.E.) T.F.U.E.
Ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
Il Parlamento europeo e il Consiglio, deliberando secondo la procedura legislativa ordinaria, stabiliscono le norme
relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle
istituzioni, degli organi e degli organismi dell'Unione, nonché da parte degli Stati membri nell'esercizio di attività
che rientrano nel campo di applicazione del diritto dell'Unione, e le norme relative alla libera circolazione di tali dati.
Il rispetto di tali norme è soggetto al controllo di autorità indipendenti.
[2] Edizione 1 del 16/12/2013 con delibera CDA n° 42/2013, edizione 2 del 16/07/2015 con delibera CDA n°
23/2015, oltre agli emendamenti del 21/12/2015, 22/12/2016, 24/03/2017 e 21/05/2018.
[3] Tra i sistemi integrati si evidenziano:
• sistema primario di comando e controllo del mezzo;
• sistemi per collision avoidance;
• sistemi per il controllo delle operazioni in caso di perdita del data link o avarie;
• sistema di terminazione del volo;
• sistema di assistenza al volo IMU e navigazione GPS;
• sistema di volo automatico;
• sistema di comando e controllo del payload;
• sistema FPV video downlink.
• sistema di identificazione.
[4] Garante privacy è intervenuta dettando i “consigli per rispettare la privacy quando si usano droni a fini
ricreativi” raccolti in un opuscolo, continuamente aggiornato in base agli sviluppi tecnologici e normativi, ideato per
costituire un’informazione di base accessibile a tutti e contenente le seguenti regole:
1. se si fa volare a fini ricreativi un drone munito di fotocamera in un luogo pubblico (parchi, strade, spiagge) è
meglio evitare di invadere gli spazi personali e l’intimità delle persone;
2. la diffusione di riprese realizzate con il drone (sul web, sui social media, in chat) può avvenire solo con il
consenso dei soggetti ripresi, fatti salvi particolari usi connessi alla libera manifestazione del pensiero, come
quelli a fini giornalistici. Negli altri casi, quando è eccessivamente difficile raccogliere il consenso degli
interessati, è possibile diffondere le immagini solo se i soggetti ripresi non sono riconoscibili, o perché
ripresi da lontano, o perché si sono utilizzati appositi software per oscurare i loro volti;
3. occorre poi evitare di riprendere e diffondere immagini che contengono dati personali come targhe di macchine,
indirizzi di casa, ecc. Le riprese che violano gli spazi privati altrui (casa, giardino domestico) sono invece
sempre da evitare, anche perché si potrebbero violare norme penali;
4. non si possono usare droni per captare volontariamente conversazioni altrui; eventuali frammenti di
conversazione registrati in modo accidentale possono essere utilizzati (ad esempio, per pubblicare un video
online) solo se non rendono riconoscibile il contesto, cioè il contenuto dei discorsi e le persone coinvolte;
5. in base a quanto previsto dal nuovo Regolamento UE 679/2016, i droni, come tutti i dispositivi elettronici,
devono rispettare i principi di privacy by design eprivacy by default;
6. se è possibile individuare il pilota del drone, si possono chiedere a lui informazioni su come intende utilizzare le
riprese ed eventualmente negare il consenso al trattamento dei dati raccolti, specie se sono previste forme di
diffusione delle immagini. E nel caso si ritenesse di essere stati vittime di violazioni della propria privacy, ci si
può rivolgere al Garante per la protezione dei dati personali o, in alternativa, all’Autorità giudiziaria.
[5] “al fine di attuare un approccio basato sul rischio e il principio di proporzionalità, occorre lasciare un certo
margine di flessibilità agli Stati membri per quanto riguarda le operazioni di aeromobili senza equipaggio, tenendo
conto delle diverse caratteristiche locali nell'ambito di ciascuno Stato membro, quali la densità di popolazione,
garantendo al tempo stesso un adeguato livello di sicurezza” (considerando 27).
[6] Il buffer corrisponde ad una specifica area delle operazioni è definito come la zona esterna all’area nominale delle
operazioni entro cui l’APR può cadere in caso di malfunzionamenti singoli che avvengano nell’area nominale delle
operazioni.
[7] Inoltre, il D.Lgs. n° 81/2008, Testo unico in materia di tutela della salute e della sicurezza nei luoghi di lavoro,
all’art. 2 (Definizioni), comma 1, così recita:
“b) «datore di lavoro»: il soggetto titolare del rapporto di lavoro con il lavoratore o, comunque, il soggetto che,
secondo il tipo e l'assetto dell'organizzazione nel cui ambito il lavoratore presta la propria attività, ha la
responsabilità dell'organizzazione stessa o dell'unità produttiva in quanto esercita i poteri decisionali e di spesa”.
[8] Ai fini del presente regolamento s'intende per: 1) «dato personale»: qualsiasi informazione riguardante una
persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere
identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di
identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua
identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale; (C26, C27, C30).
CIVILE - COMUNICAZIONE
16 / 17
PRIVACY E UTILIZZO DI DRONI
ISSN 2421-7123
[9] I dati personali soggetti a trattamento automatizzato, trascorsa la metà del tempo massimo di conservazione di
cui al comma 3, se uguale o superiore a quindici anni, sono accessibili ai soli operatori a ciò abilitati e
designati, incaricati del trattamento secondo profili di autorizzazione predefiniti in base alle indicazioni del
capo dell'ufficio o del comandante del reparto e in relazione a specifiche attività informative, di sicurezza o di
indagine di polizia giudiziaria.
CIVILE - COMUNICAZIONE
17 / 17
PRIVACY E UTILIZZO DI DRONI