Nei trattamenti per finalità di Polizia i presidi operativi non nascono dal caso e non possono essere ridotti a una checklist.

Prima dei log, delle credenziali e delle regole di conservazione esiste una scelta progettuale che ne determina la necessità: la valutazione d’impatto (la DPIA) prevista dall’articolo 23 del decreto legislativo 51/2018 e richiamata dal modello di Patto per la sicurezza urbana.

Questo quarto capitolo della pentalogia, dedicata ai trattamenti per finalità di Polizia, mostra come la DPIA rappresenti il presidio originario da cui discendono limitazione degli accessi, profilazione delle utenze, tracciamento delle operazioni, conservazione controllata e sicurezza dei flussi.

Questi presidi, insieme, formano un’unica architettura di liceità, responsabilità e controllo, fondata su una regola semplice: ogni movimento del dato deve avere una ragione, un responsabile, una traccia e un limite.

Non una checklist ma un sistema

Chi è chiamato a verificare la conformità dei processi di un’organizzazione non può limitarsi a una semplice checklist da spuntare.

Ciò che deve valutare è la coerenza complessiva di un sistema di garanzie che, nel suo insieme, sia in grado di proteggere efficacemente i dati personali. La profilatura delle utenze, senza adeguati meccanismi di tracciamento, è inevitabilmente cieca.

Il tracciamento, se non accompagnato da rigorose limitazioni e controlli sugli accessi, rischia di trasformarsi in un archivio di potenziali abusi.

La conservazione dei dati, infine, perde gran parte della sua efficacia quando non è sostenuta dalla sicurezza dei flussi informativi, assomigliando a una cassaforte lasciata aperta.

Ma chi stabilisce quali misure siano realmente necessarie e proporzionate? La risposta risiede nella valutazione d’impatto sulla protezione dei dati personali, la cosiddetta DPIA.

Prima ancora che un sistema entri in funzione, infatti, è necessario individuare, analizzare e governare i rischi che il trattamento può comportare per i diritti e le libertà delle persone, dimostrando che le misure tecniche e organizzative adottate siano adeguate rispetto ai rischi individuati.

Per questa ragione, il primo e più importante presidio non è di natura operativa, ma progettuale: è la DPIA.

Essa rappresenta il momento in cui il rischio viene compreso, valutato e tradotto in misure concrete di mitigazione.

I presidi che esamineremo in questo capitolo costituiscono l’attuazione tecnica e organizzativa delle scelte maturate nell’ambito della DPIA e ne rappresentano la naturale concretizzazione nei trattamenti effettuati per finalità di polizia.

La radice normativa: art. 21, 23, 25 e 47 del D.lgs.51/2018

Questi presidi non sono il frutto di scelte organizzative discrezionali.

Come anticipato nel primo articolo di questa pentalogia, essi trovano fondamento diretto nel decreto legislativo 51/2018, che sotto diversi aspetti adotta un approccio più rigoroso di quello previsto dal GDPR.

Il punto di partenza è l’articolo 23, che disciplina la valutazione d’impatto sulla protezione dei dati (la DPIA).

Quando un trattamento, in particolare se effettuato mediante nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare deve effettuare preventivamente una valutazione dell’impatto delle operazioni previste sulla protezione dei dati personali.

La DPIA costituisce il momento nel quale si identificano i rischi, se ne valuta gravità e probabilità e si individuano le misure necessarie per ridurli.

Il modello di Patto per la sicurezza urbana,

Proprio per questo motivo, il modello di Patto per la sicurezza urbana, elaborato dal Ministero e diffuso il 22 aprile 2026 dal Consorzio dei Comuni Trentini, dedica all’argomento una specifica previsione.

Il modello, infatti, stabilisce infatti che i titolari del trattamento effettuino la valutazione d’impatto (DPIA) prevista dall’articolo 23 del decreto legislativo n. 51 del 2018.

Non si tratta di un adempimento formale perché la DPIA è il documento che dimostra perché un sistema è stato progettato in un determinato modo e perché determinati presidi siano stati ritenuti necessari.

In questo senso la DPIA non è uno dei presidi, ma è il presidio che li contiene tutti.

Gli obblighi concreti

L’articolo 25 del D.lgs. 51/2018 dedicato alla sicurezza del trattamento, traduce poi queste esigenze in obblighi concreti, individuando controlli specifici relativi agli accessi, alla conservazione dei dati, all’identificazione degli utenti, alla trasmissione delle informazioni, all’integrità e all’affidabilità dei sistemi.

L’allegato tecnico del nuovo Patto per la sicurezza urbana

La stessa impostazione si ritrova nell’allegato tecnico del nuovo Patto per la sicurezza urbana, che declina tali principi in misure operative quali: protezioni fisiche, firewall perimetrali, crittografia dei dati in transito, backup protetti, sistemi di monitoraggio delle anomalie e gestione profilata delle credenziali.

L’articolo 21 del D.lgs. 51/2018 introduce invece il principio della tracciabilità delle operazioni, imponendo la registrazione delle attività di raccolta, modifica, consultazione, comunicazione, trasferimento, interconnessione e cancellazione dei dati.

I log devono consentire di ricostruire non soltanto ciò che è accaduto, ma anche chi ha compiuto l’operazione, quando l’ha effettuata e per quale finalità.

La separazione tra i dati per finalità di Polizia ed amministrative

Il quadro si completa con l’articolo 47, comma 2 dello stesso decreto 51 che impone la separazione tra i dati trattati per finalità di Polizia e quelli trattati per finalità amministrative.

La separazione degli archivi, delle registrazioni e delle evidenze di controllo non è una scelta organizzativa: è una garanzia di correttezza, tracciabilità e verificabilità dell’intero trattamento.

I controlli operativi più rilevanti

Una buona DPIA non si misura dalle pagine che contiene, ma dai presidi che riesce a tradurre in pratica.

Analizziamo quindi i controlli operativi più rilevanti che concorrono alla sua efficacia e che ne rappresentano la manifestazione concreta nei sistemi e nelle procedure.

La limitazione degli accessi

Nessuno accede ai dati senza essere stato previamente autorizzato e istruito.

L’autorizzazione è documentata per iscritto (art. 2-quaterdecies Codice; art. 19 D.lgs. 51/2018), descrive nel dettaglio l’ambito consentito e non si esaurisce nella formula “autorizzato al trattamento dei dati”, ma dice, almeno per categorie di operazioni, se la persona può vedere il live, consultare il registrato, effettuare ricerche, estrarre copie.

La visione live, l’accesso in differita e l’estrazione di una copia sono poteri diversi, con rischi diversi, e la buona regola è la progressione. Si parte sempre dall’operazione meno invasiva idonea a soddisfare l’esigenza.

Così, se basta il live, non si consulta l’archivio; se basta la consultazione, non si estrae la copia.

L’accesso, inoltre, non è uno stato permanente: si apre in presenza degli eventi tassativi previsti, resta motivato e registrato, e terminata l’esigenza si chiude, senza canali aperti per comodità.

La profilatura delle utenze e il tracciamento a due livelli

Le credenziali sono individuali, con livelli di visibilità differenziati in funzione dei compiti: ogni operatore vede solo ciò che il suo profilo consente.

Gli accessi e le operazioni sul server sono registrati in file di log non modificabili, conservati per cinque anni, secondo il termine indicato dall’art. 24, comma 4 del DPR 15/2018, accessibili per la verifica di liceità, per il controllo interno, integrità e sicurezza dei dati e nell’ambito del procedimento penale (art. 21, comma 3 del D.lgs. 51/2018).

Un log modificabile non è un log: è un’illusione di controllo, perché se chi ha commesso un abuso può cancellare la traccia del proprio abuso, la tracciabilità non esiste.

Occorre prevedere che il Comune renda disponibili, o trasmetta periodicamente, i log riferiti alle utenze di ciascuna Forza di Polizia nazionale, che li conserva per il proprio termine.

Il secondo livello

Accanto al log tecnico opera un secondo livello: le operazioni di visione in tempo reale, con le esigenze che le hanno rese necessarie, sono annotate, anche in modo automatizzato, nel registro delle sale operative della Polizia Locale e della Forza di Polizia nazionale.

I due livelli non si sostituiscono a vicenda: il registro spiega il contesto operativo, il log documenta l’evento tecnico.

Solo insieme consentono una ricostruzione completa: non solo si sa chi ha guardato, ma si conosce anche perché.

La conservazione controllata

Il dato non può essere trattenuto “nel caso servisse”: ogni giorno di conservazione in più, senza base giuridica, è un giorno di trattamento illecito.

Le immagini di videosorveglianza urbana si conservano non oltre sette giorni (art. 6, comma 8 del DL 11/2009 convertito dalla legge 38 del 2009), salve speciali esigenze di ulteriore conservazione; comunque è la DPIA a fissare il termine effettivo e la cancellazione automatica ne è il presidio.

Quindi, decorso il termine, è bene prevedere la cancellazione automatica.

Occorre però distinguere sempre tre oggetti, perché sovrapporli produce errori:

• le immagini originarie nel sistema comunale, che seguono i sette giorni o il diverso termine individuato in DPIA;
• le copie estratte dalle Forze di Polizia, che entrano nel trattamento autonomo della stessa Forza di Polizia e che seguono i termini di quel trattamento e di quella finalità;
• i log, che hanno una finalità propria e un termine proprio, quinquennale.

Tre oggetti, tre orologi: il termine delle immagini non determina quello della copia né quello dei log.

La sicurezza dei flussi

Il collegamento tra il sistema comunale e le sale operative avviene per mezzo di una rete telematica dedicata, non condivisa con il traffico ordinario, con identità certa di mittente e destinatario e crittografia in transito.

Le app di messaggistica personali, le caselle non presidiate, i supporti rimovibili non controllati restano fuori dal perimetro: non sono alternative più rapide, sono punti di rottura.

Le regole che governano ogni singolo passaggio, dal presupposto alla gestione dell’errore, sono state esaminate nel secondo articolo di questa pentalogia, al quale si rinvia.

I presidi in un solo episodio

Si possono vedere i presidi in concreto.

Immaginiamo una città in cui è in programma una manifestazione pubblica. La manifestazione è tra gli eventi previsti dal modello di Patto per la sicurezza e l’accesso si apre (limitazione degli accessi).

L’operatore della sala operativa della Questura accede alle telecamere del sistema del Comune con le proprie credenziali individuali e vede solo ciò che il suo profilo consente (profilazione delle utenze). L’accesso viene tracciato, registrato in appositi file di log.

La visione, con l’esigenza che l’ha motivata, viene annotata nei rispettivi registri delle centrali operative della Polizia Locale e della Questura (tracciamento a due livelli).

Terminata la manifestazione, l’accesso si chiude.

Le immagini restano al Comune per sette giorni, poi si cancellano da sole (conservazione controllata). Tutto è transitato su rete dedicata, con le misure dell’allegato tecnico (sicurezza dei flussi).

Cinque presidi, un solo episodio, nessuna zona d’ombra. È architettura, non improvvisazione.

Ciò che tiene vivi i presidi

Un presidio scritto e poi abbandonato invecchia.

Un log che nessuno controlla è un archivio, non un presidio: il log va analizzato, con controlli periodici che cercano anomalie, accessi fuori orario, volumi insoliti, esportazioni anomale, utenze inattive che si risvegliano, e con controlli mirati attivati da segnalazioni o incidenti.

Il risultato deve produrre azioni correttive, non restare in un verbale.

Le autorizzazioni invecchiano: serve la ricertificazione periodica degli accessi, con cui il responsabile dell’unità conferma, a scadenze regolari, che ogni utenza e ogni privilegio siano ancora necessari, un controllo semplice che intercetta le abilitazioni rimaste attive dopo trasferimenti e cambi di mansione.

Un backup non verificato è una speranza, e un piano di ripristino mai provato è un documento: la sicurezza comprende disponibilità e capacità di recupero, test periodici, tempi misurati, copie integre, protezione della stessa infrastruttura di backup, perché un sistema di videosorveglianza indisponibile nel momento dell’emergenza non raggiunge la propria finalità.

È importante non il singolo documento, ma la coerenza tra ciò che dicono le carte, le persone e i sistemi.

Se i log dicono una cosa e la procedura ne dice un’altra, il presidio è di carta. Invece se coincidono, la fiducia cresce e le domande si diradano.

I 5 elementi dei trattamenti dati per finalità di Polizia

Il ragionamento sviluppato in questo capitolo può essere compresso in un unico principio: nel trattamento per finalità di Polizia il dato non deve mai muoversi in modo anonimo e ingiustificato.

Ogni spostamento ha un soggetto responsabile, un canale definito, una motivazione documentabile, un limite temporale e una traccia.

Quando questi cinque elementi ci sono, il movimento del dato è governato; quando ne manca anche uno solo, quello che sembra un uso efficiente delle informazioni si trasforma, davanti a un controllo, in una falla di liceità.

I presidi, però, non vivono da soli: vivono dentro una cultura della cooperazione che li pratica e li mantiene.

Sarà il tema del quinto e ultimo articolo di questa pentalogia.