AI, videosorveglianza e mobilità urbana, un caso privacy

Il Garante Privacy leggendo i giornali, scorge una notizia d’interesse: un connubio tra mobilità urbana, impianti di videosorveglianza intelligenti, equipaggiati con AI, e richiede approfondimenti. Tutto questo accade a Milano.

Mobilità urbana e tracciamento

Il sistema messo a terra da AMAT, l’azienda per la mobilità della Città di Milano, ha sicuramente un’ottica ambiziosa e pragmatica, ma si scontra con l’ordinanza-ingiunzione dell’aprile 2025 del Garante.

“Calando subito le carte”,  come in uno spoiler: all’agenzia comunale sarà comminata una sanzione di 9.000 euro per il trattamento illecito dei dati personali.

Si parla, infatti, di un sistema “capace di leggere e identificare non solo automobili, furgoni e tutti i veicoli provvisti di targa […] ma anche tutta la mobilità alternativa […], conteggia[ndo] tutte le classi di passaggi (persone a piedi, automobili, motocicli, ciclisti, van, camion, monopattini, autobus) in una determinata fascia oraria”.

L’obbiettivo che si è posta la municipalizzata è quindi di tipo statistico.

Conteggiare, appunto, i passaggi prodotti dalla mobilità alternativa,  in una determinata area, grazie a due telecamere, per supportare l’amministrazione comunale in eventuali studi, i quali potrebbero concretizzarsi con nuovi schemi di traffico.

Al Garante però, la nota stampa con cui viene data enfasi al nuovo innesto tecnologico, non risulta chiara. Si avvia quindi un’istruttoria con richieste informazioni sul funzionamento hardware/software e quindi verificando la conformità dell’impianto rispetto a una base giuridica nota.

L’istruttoria del Garante

Il carteggio tra la società in house dell’ente locale e l’autorità indipendente è fitta di contributi, fornendo anche un agevole “ripasso” alle definizioni di dato personale, dati offuscati, anonimi o anonimizzati.

Andando con ordine: l’Autorità indipendente, all’esito dell’istruttoria, ha verificato che AMAT ha posto in essere un trattamento di dati personali, consistenti nei filmati ritraenti persone fisiche (pedoni, conducenti e passeggeri) e veicoli in transito.

Posto quanto sopra, è ricordato, a prescindere dalla fase in cui il sistema è in esecuzione (se test o produzione), quindi se prima o dopo l’offuscamento di informazioni sensibili, e della cancellazione dei dati non utilizzabili per i fini statistici, che il  “dato personale”  comprende – potenzialmente – ogni tipo di informazioni, tanto oggettive quanto soggettive a condizione che esse siano “concernenti» la persona interessata.

Quindi AMAT ha collezionato di tutto: volti, fisicità, modalità espressive, come la particolare andatura del cammino del pedone, le targhe dei veicoli in transito.

Il Garante non concorda neanche sulla sussistenza di elementi anonimizzati mediante offuscamento.

Vengono esposti due punti di vista, infatti, distinti ma contermini, per porre la questione sotto altra ottica:

1. vi è trattamento dei dati anche in funzioni di brevi frazioni temporali, e l’immagine per essere processata dall’algoritmo deve prima essere catturata in chiaro e immagazzinata nel sistema, per poi essere data in pasto agli algoritmi dedicati;
2. l’offuscamento adottato, che interessa principalmente i volti, non impedisce la potenziale identificabilità degli individui mediante individuazione, correlabilità e deduzione.

Il ruolo della privacy

Alle osservazioni sul merito, il Garante aggiunge, e valuta, anche l’erronea interpretazione dei ruoli privacy, essendo AMAT, sulla base delle dichiarazioni del Comune, non Responsabile del Trattamento bensì Titolare.

Errori sono segnalati anche nella gestione delle informative e della redazione della valutazione d’impatto, considerando il conflitto di interessi a carico del RPD, estensore della DPIA (responsabile interno, ndr.).

Ancora, come accennato, l’informativa resa agli interessati è lacunosa nel formato grafico e nelle indicazioni sui processi adottati, per quanto riguarda il primo livello.

A questo si aggiunge un notevole ritardo nell’approntare una informativa di secondo livello, dedicata allo specifico progetto, senza considerare che la DPIA non riporta esatti orizzonti temporali nella sua stesura.

Interessante considerare come l’ordinanza in parola possa essere un sostanziale riassunto della relazione già presentata al Senato, dato il susseguirsi di svarioni che interessano gli enti locali.

Silvestro Marascio