1. Premessa.

Il corretto uso dei sistemi di videosorveglianza sarà uno dei banchi di prova per la tenuta del nuovo G.D.P.R. (general data protection regulation, altrimenti detto Regolamento europeo 2016/679) perché appartiene e si inserisce nel vivere quotidiano di ogni cittadino; non a caso, il G.D.P.R. intende rafforzare, nella sua ratio, il sentimento di fiducia di consumatori nei nuovi e tracimanti servizi digitali, andandone a “potenziare” il sistema di tutele e di diritti.

La nuova disciplina sui sistemi di videosorveglianza richiederà, quindi, una valutazione di “impatto privacy” dei rischi connessi, secondo un sistema a tutele crescenti; la sorveglianza elettronica, inoltre, non dovrà essere utilizzata per scandagliare gusti e comportamenti del consumatore, bensì per assecondare una “funzione pubblica” o comunque di un interesse considerevole di meritevolezza giuridica. A tal fine, l’Europa^[1] si afferma come portatrice di uno standard elevato in tema di tutela della riservatezza personale a seguito dell’entrata in vigore del nuovo G.D.P.R., che si fa carico di adeguare la precedente “Direttiva 95” ai mutati e inarrestabili cambiamenti tecnologici, nonché del Regolamento U.E. 2018/1139 entrato in vigore in data 11 settembre 2018.

La nuova normativa dovrà dimostrarsi capace di resistere ai cambiamenti, all’impatto del c.d. “internet delle cose”, nonché all’uso dei più svariati dispositivi elettronici “invasivi” come droni e body cam.

Tra le nuove tecnologie utili per il controllo del territorio sicuramente si distinguono i cc.dd. “droni”, utilizzabili, in operazioni specializzate, anche e soprattutto dal personale di polizia.

2. Inquadramento normativo.

Tanto premesso, la definizione di mezzi aerei a pilotaggio remoto (i droni) è contenuta, per la prima volta, nel Regolamento dell’E.N.A.C. datato 16.12.2013, adottato per la necessità di disciplinarne l’utilizzo anche per finalità diverse dalle operazioni militari, scientifiche e di ricerca.

Seguendo le definizioni offerte dal Regolamento E.N.A.C.^[2] è possibile riscontrare:

• l’aeromobile a Pilotaggio Remoto (A.P.R.) ovvero un mezzo aereo a pilotaggio remoto senza persone a bordo, non utilizzato per fini ricreativi e sportivi.
• il Sistema Aeromobile a Pilotaggio Remoto (S.A.P.R.) ovvero un sistema costituito da un mezzo aereo (aeromobile a pilotaggio remoto) senza persone a bordo, utilizzato per fini diversi da quelli ricreativi e sportivi, e dai relativi componenti necessari per il controllo e comando (stazione di controllo) da parte di un pilota remoto.
• Il payload ovvero apparecchiature e istallazioni necessarie per lo svolgimento delle operazioni previste.

Il S.A.P.R. è un “sistema di sistemi” in cui le singole parti interagiscono tra loro e queste interazioni possono significativamente determinare il successo e la sicurezza della missione^[3].

L’ingegneria dei sistemi complessi se ne occupa attraverso un approccio interdisciplinare (ingegneria aeronautica, informatica, elettronica e delle telecomunicazioni); inoltre, oltre agli aspetti strettamente ingegneristici occorre tenere in considerazione ed approfondire l’human factor nonché i fattori gestionali, organizzativi ed esterni.

Ciò detto, dal punto di vista della normativa di settore, la corretta applicazione del regolamento ENAC citata va inquadrata, almeno, nell’ambito delle seguenti normative:

• G.D.P.R.;
• D.lgs. n° 101/2018;
• Regolamento (U.E.) 2018/1139, entrato in vigore in data 11 settembre 2018;
• D.Lgs. ° 196/2003;
• D.P.R. n° 15/2018;
• Ministero dell'interno, Decreto 29 aprile 2016 (in G.U. n. 111 del 13 maggio 2016) - Modalità di utilizzo da parte delle Forze di polizia degli aeromobili a pilotaggio remoto;
• provvedimento del “Garante per la privacy”, in materia di videosorveglianza (8 aprile 2010);
• comunicato stampa del Garante per la protezione dei dati personali del 19 giugno 2015^[4];
• esiti del Gruppo di Lavoro art. 29, Opinion 01/2015 on Privacy and Data Protection Issues relating to the Utilisation of Drones.

Infatti, sono sostanzialmente utili a fornire un orientamento dell’Autorità in circostanze assimilabili a quelle in cui possono operare i droni almeno i seguenti provvedimenti:

• provvedimento del Garante privacy, per Google Street View: le autovetture dovranno essere riconoscibili (15 ottobre 2010);
• provvedimento del Garante privacy: parziale esonero dell’informativa nei confronti di Google per il servizio Street View Special Collects (4 dicembre 2014).

Ebbene, nel giugno 2015, le Autorità per la privacy europee, riunite nel "Gruppo WP Articolo 29", hanno adottato un parere sull’impiego dei droni per gli usi civili. Il provvedimento fornisce indicazioni e raccomandazioni ai costruttori ed agli operatori, chiarendo, in particolare, come non sia l’utilizzo di droni in sé ad essere problematico, quanto gli effetti potenzialmente invasivi che potrebbero discendere dal loro uso e che sfuggono alla percezione delle persone; a tal fine, appare imprescindibile puntare sulla “privacy by design e by default”, considerato che “le regole giuridiche in vigore rischiano di non essere più adeguate a questi nuovi sistemi di raccolta di dati personali così invasivi”.

Per tali motivazioni, il WP29 ha indicato una serie di misure utili alle parti interessate tra cui:

• l'obbligo per gli operatori di fornire un’informativa tenendo conto delle peculiarità delle operazioni svolte (dai cartelli a informative pubblicate sui siti di ciascun operatore e/o a piattaforme uniche che raccolgano le informazioni sui voli come, ad esempio, su siti delle Autorità di aviazione competenti, fino all’adozione di misure per rendere il più possibile visibile e identificabile un drone);
• l'obbligo di utilizzo di una tecnologia che limiti la raccolta e il trattamento dei dati a quelli indispensabili alle loro finalità oltre all’adozione di idonee misure di sicurezza;
• l'adozione, da parte dei costruttori, di idonee misure di privacy by default e la promozione di codici deontologici.

Di più, il nuovo regolamento 2018/1139, al considerando 28 prevede che “le norme riguardanti gli aeromobili senza equipaggio dovrebbero contribuire al rispetto dei diritti garantiti dal diritto dell'Unione, in particolare il rispetto della riservatezza e della vita familiare, sancito dall'articolo 7 della Carta dei diritti fondamentali dell'Unione europea, e la protezione dei dati di carattere personale, sancita dall'articolo 8 della Carta e dall'articolo 16 TFUE, e disciplinato dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio”; inoltre riconosce margini di flessibilità agli Stati membri per la definizione di alcuni parametri  nel rispetto del principio di proporzionalità (considerando 27)^[5].

Inoltre, nel considerando 34, il Regolamento citato si sofferma espressamente sui droni, considerati aeromobili senza equipaggio e impiegati principalmente per attività ricreative; il legislatore europeo fa emergere come tali aeromodelli abbiano garantito soddisfacenti risultati in materia di sicurezza, soprattutto per quelli operati dai membri di associazioni o di club di aeromodellismo che hanno elaborato codici di condotta specifici per tali attività; pertanto, emerge l’intenzione di voler assecondare una transizione dai diversi sistemi nazionali al nuovo quadro normativo dell'Unione di tal che gli a.p.r. e gli aeromodelli possano continuare a funzionare secondo i livelli di impiego previgenti alla modifica normativa.

Dal punto di vista della responsabilità civile, il Reg. ENAC SAP, ed. 2, affronta l’argomento nell’art. 32 secondo cui:

“Non è consentito condurre operazioni con un S.A.P.R. se non è stata stipulata e in corso di validità un’assicurazione concernente la responsabilità verso terzi, adeguata allo scopo e non inferiore ai massimali minimi di cui alla tabella dell’articolo 7 del Regolamento (CE) 785/2004”.

3. Ricadute operative nell’uso dei droni.

L’operatore S.A.P.R. deve disporre di una organizzazione tecnica ed operativa adeguata all’attività ed i suoi compiti che consistono almeno nel:

• designare il pilota;
• analizzare il rischio associato alle operazioni;
• eseguire l’attività di volo sperimentale propedeutica;
• predisporre il manuale delle operazioni;
• conseguire l’autorizzazione o rendere la dichiarazione, per coprire tutti gli aspetti inerenti la sicurezza delle operazioni del S.A.P.R.;
• registrare e conservare i dati relativi alle attività svolte;
• stipulare copertura assicurativa R.C.T.;
• gestire la security delle operazioni;
• gestire la protezione dei dati e la privacy;
• gestire la sicurezza e salute sui luoghi di lavoro;
• assolvere a tutti gli altri obblighi legislativi e regolamentari (nei confronti di comuni, autorità di P.S., Parchi, ecc.)

Nel caso di tipologia di scenario non critico è necessario garantire una distanza orizzontale di sicurezza di almeno 150 m dalle aree congestionate ed almeno 50 m da persone che non sono sotto il diretto controllo dell’operatore S.A.P.R.; invece, per scenari misti (critico) è previsto il transennamento dell’area di volo, un buffer^[6] ed alcuni sistemi di terminazione del volo indipendenti e dissimili dal sistema di comando e controllo. Inoltre, per scenari critici è prevista la certificazione software EUROCAE ED-12 ed alcuni sistemi di terminazione del volo indipendenti e dissimili dal sistema di comando e controllo.

Ebbene, l’impiego di un drone richiede, comunque, di acquisire familiarità con il termine sicurezza (safety), in accordo alla definizione contenuta nel Safety Management Manual (Doc. 9859) dell’ICAO (International Civil Aviation Organization), nel quale la si indica come “la condizione nella quale la possibilità di danni a persone o proprietà è ridotto e mantenuto pari o al di sotto di un livello accettabile attraverso un processo continuo di identificazione dei pericoli e gestione dei rischi”.

Cimentandosi con uno sforzo di schematizzazione e di sintesi, per salute e sicurezza nelle operazioni specializzate ci si riferisce a:

• rischi meccanici ovvero a caduta dall’alto e in piano, scivolamento, inciampo, taglio, cesoiamento, urto, schiacciamento, perforazione o puntura, attrito od abrasione, impigliamento;
• investimento da materiali e mezzi in movimento, proiezione di materiale, caduta materiali dall’alto;
• esposizione ad agenti atmosferici;
• abbagliamento, esposizione a radiazioni U.V. naturali;
• punture di insetti, morsi di rettili, aggressione da parte di animali selvatici;
• condizioni igieniche, fango, terra, polvere, ecc.;
• movimentazione manuale dei carichi;
• posture incongrue, movimenti ripetitivi, ergonomia e affaticamento fisico e visivo;
• agenti fisici come ad esempio il microclima, campi elettromagnetici, rumore e vibrazioni, ROA;
• incendio;
• folgorazione e prossimità a linee elettriche;
• problematiche di primo soccorso e gestione dell’emergenza;
• stress, tecno-stress, isolamento, calo d’attenzione;
• distrazione o aggressione.

Secondo il Regolamento A.P.R., ed. 2, art. 11 (Autorizzazione e dichiarazione), comma 3 “L’operatore deve disporre di una organizzazione tecnica ed operativa adeguata all’attività”; inoltre, occorre richiamare il disposto di cui all’art. 2082 del codice civile secondo cui “È imprenditore chi esercita professionalmente un’attività economica organizzata al fine della produzione o dello scambio di beni o di servizi”^[7].

In ossequio al “contenuto minimo” dell’art. 15 del d.lgs. n° 81/2008 e richiamando la nozione di “datore di lavoro”, le misure generali di tutela consistono:

• nella valutazione di tutti i rischi per la salute e sicurezza;
• nell’eliminazione dei rischi e, ove ciò non sia possibile, la loro riduzione al minimo in relazione alle conoscenze acquisite in base al progresso tecnico;
• nella riduzione dei rischi alla fonte;
• nella sostituzione di ciò che è pericoloso con ciò che non lo è o è meno pericoloso;
• nella limitazione al minimo del numero dei lavoratori che sono, o che possono essere, esposti al rischio.

La locuzione “tutti i rischi” vuole tradurre e ribadire un chiaro indirizzo del legislatore comunitario, già introdotto nel previgente D.Lgs. n° 626/1994, con la modifica portata dalla Legge n° 39/2002 in esecuzione della sentenza della Corte di giustizia delle Comunità europee del 15 novembre 2001, nella causa C-49/00.

In ambito aeronautico, particolare attenzione andrà riservata nei confronti del «personale critico ai fini della sicurezza», persone che potrebbero pregiudicare la sicurezza aeronautica qualora dovessero eseguire i loro compiti e funzioni impropriamente. Tale definizione riguarda, anche se non esclusivamente, membri dell’equipaggio, personale di manutenzione di aeromobili e controllori del traffico aereo.

Le misure generali di tutela si armonizzano con l’art. 2087 c.c. che impone all’imprenditore l’obbligo fondamentale (sussidiario rispetto alle prescrizioni di specifiche norme antinfortunistiche) di adottare nell’esercizio dell’impresa le misure che, secondo la particolarità del lavoro, l’esperienza e la tecnica, sono necessarie a tutelare l’integrità fisica e la personalità morale dei prestatori di lavoro.

I S.A.P.R. rappresentano oggi quel progresso tecnico che consente di poterli utilmente impiegare in tutte quelle operazioni specializzate che possono limitare o eliminare l’esposizione dei lavoratori a rischi.

A tal fine, occorre tener presente i benefici derivanti dall’impiego dei S.A.P.R. (ad es. riduzione dei rischi tradizionali) nonché tutti i nuovi rischi eventualmente introdotti dal loro impiego, garantendo il rispetto delle misure generali di tutela, l’informazione, la formazione e l’addestramento.

Si ricordino, inoltre, alcune definizioni utili contenute nel d.lgs. n° 81/2008:

“attrezzatura di lavoro: qualsiasi macchina, apparecchio, utensile o impianto, inteso come il complesso di macchine, attrezzature e componenti necessari all’attuazione di un processo produttivo, destinato ad essere usato durante il lavoro; zona pericolosa: qualsiasi zona in prossimità di una attrezzatura di lavoro nella quale la presenza di un lavoratore costituisce un rischio per la salute o la sicurezza dello stesso”.

In rapporto al sito di missione, luogo di lavoro, l’adempimento degli obblighi prevenzionali si riferisce non solo alle attrezzature, ai macchinari ed ai servizi che il datore di lavoro fornisce o deve fornire, ma anche all'ambiente di lavoro, in relazione al quale le misure e le cautele da adottarsi dall'imprenditore devono riguardare sia i rischi insiti in quell'ambiente sia i rischi derivanti dall'azione di fattori ad esso esterni ed inerenti alla località in cui tale ambiente è posto.

Secondo il contenuto del Reg. E.N.A.C. S.A.P.R., ed. 2, art. 7 (Impiego dei S.A.P.R.), comma 3:

“Nel caso di operazioni specializzate per conto terzi, deve essere stipulato un accordo tra l’operatore del S.A.P.R. e il committente nel quale le parti definiscono le rispettive responsabilità per la specifica operazione di volo e sulle eventuali limitazioni e condizioni connesse, anche con riguardo alle disposizioni in materia di protezione dati di cui all’art. 34 del presente Regolamento”.

In linea generale, nel sito di missione possono verificarsi rischi interferenziali tra i vari soggetti presenti, per cui occorre tenere ben presenti adempimenti e obblighi per il datore di lavoro committente ai sensi dell’art. 26 del T.U. n° 81/08 (idoneità tecnico professionale, D.U.V.R.I., ecc.) nonché adempimenti e obblighi nel caso dei cantieri temporanei o mobili (anche per il committente) ai sensi del Titolo IV del T.U. n° 81/08 (I.T.P., P.O.S., P.S.C., ecc.)

In punto di posizioni di garanzia e di principio di effettività, si richiama il D.Lgs. n° 81/2008, art. 299, sull’esercizio di fatto di poteri direttivi:

“Le posizioni di garanzia relative ai soggetti di cui all'articolo 2, comma 1, lettere b), d) ed e), (n.d.r. datore di lavoro, dirigente e preposto) gravano altresì su colui il quale, pur sprovvisto di regolare investitura, eserciti in concreto i poteri giuridici riferiti a ciascuno dei soggetti ivi definiti”.

L’impiego di S.A.P.R. in operazioni specializzate richiede formazione e qualificazione adeguata, sia per l’equipaggio che per l’operatore il quale dovrà adeguare la sua organizzazione e qualificare appositamente i vari soggetti responsabili in materia di sicurezza. Sul punto, si evidenzia che è fatto obbligo al datore di lavoro:

• l’individuazione delle mansioni che eventualmente espongono i lavoratori a rischi specifici che richiedono una riconosciuta capacità professionale, specifica esperienza, adeguata formazione e addestramento;
• nell'affidare i compiti ai lavoratori, tenere conto delle capacità e delle condizioni degli stessi in rapporto alla loro salute e alla sicurezza;
• prendere le misure appropriate affinché soltanto i lavoratori che abbiano ricevuto adeguate istruzioni e specifico addestramento accedano alle zone che li espongono ad un rischio grave e specifico.

Inoltre, il datore di lavoro assicura che ciascun lavoratore riceva una formazione sufficiente ed adeguata in materia di salute e sicurezza (cfr. art. 28); di più, la formazione e, ove previsto, l'addestramento specifico devono avvenire in occasione della introduzione di nuove attrezzature di lavoro o di nuove tecnologie (cfr. art. 18)

Poi, il rappresentante dei lavoratori per la sicurezza ha diritto ad una formazione particolare in materia di salute e sicurezza concernente i rischi specifici esistenti negli ambiti in cui esercita la propria rappresentanza, tale da assicurargli adeguate competenze sulle principali tecniche di controllo e prevenzione dei rischi stessi (art. 18).

Inoltre, i dirigenti e i preposti ricevono, a cura del datore di lavoro, un'adeguata e specifica formazione ed un aggiornamento periodico in relazione ai propri compiti in materia di salute e sicurezza del lavoro.

Si ricordi, poi, il contenuto normativo in punto di capacità professionali:

“Art. 32. Capacità e requisiti professionali degli addetti e dei responsabili dei servizi di prevenzione e protezione interni ed esterni”

1. Le capacità ed i requisiti professionali dei responsabili e degli addetti ai servizi di prevenzione e protezione interni o esterni devono essere adeguati alla natura dei rischi presenti sul luogo di lavoro e relativi alle attività lavorative.

Dal punto di vista delle prospettive per il futuro, cinque principi essenziali sono stati definiti nella “dichiarazione di Riga” del 06/03/2015 per lo sviluppo futuro dei S.A.P.R.:

• i sistemi R.P.A.S. devono essere trattati come nuovi tipi di aeromobili, con norme proporzionate in funzione del rischio di ciascuna operazione;
• devono essere sviluppate norme unionali per la fornitura sicura di servizi S.A.P.R., in modo da permettere all'industria di investire;
• occorre sviluppare tecnologia e norme al fine di consentire la piena integrazione dei sistemi S.A.P.R. nello spazio aereo europeo;
• l'operatore di un sistema S.A.P.R. è responsabile dell'utilizzo di quest'ultimo;
• l'accettazione da parte dei cittadini è fondamentale per la crescita dei S.A.P.R.

Inoltre, secondo gli “orientamenti normativi” E.A.S.A. (European Aviation Safety Agency) per la classificazione delle operazioni occorre:

• un approccio basato sul rischio relativamente alla regolamentazione degli A.P.R.;
• un’elaborazione in linea con la dichiarazione di Riga;
• che le linee di azione E.A.S.A. classifichino le operazioni S.A.P.R. in:

• open specialized certified;
• S.A.P.R. inoffensivi.

Ciò detto, nel Regolamento E.N.A.C. S.A.P.R. ed. 2, secondo l’art. 12 (Operazioni con A.P.R. di massa operativa al decollo minore o uguale a 2 kg) sono considerate non critiche le operazioni in tutti gli scenari operativi a condizione che gli aspetti progettuali e le tecniche costruttive dell’A.P.R. abbiano caratteristiche di inoffensività precedentemente accertate dall’E.N.A.C. o da soggetto da esso autorizzato. Comunque, è proibito il sorvolo di assembramenti di persone, di cortei, di manifestazioni sportive o inerenti forme di spettacolo o comunque di aree dove si verifichino concentrazioni inusuali di persone. Inoltre, l’A.P.R. deve essere condotto da un pilota munito di attestato e che si deve attenere a specifiche regole di circolazione.

Inoltre, secondo l’art. 12, comma 4, le operazioni specializzate condotte con A.P.R. con massa al decollo minore o uguale a 0,3 kg e con velocità massima minore o uguale a 60 km/h sono considerate non critiche in tutti gli scenari operativi e non è richiesto l’attestato per il pilota.

Comunque, è proibito il sorvolo di assembramenti di persone, di cortei, di manifestazioni sportive o inerenti forme di spettacolo o comunque di aree dove si verifichino concentrazioni inusuali di persone.

Si aggiunga che non solo i parametri di massa e velocità determinano le caratteristiche di inoffensività ma anche:

• i materiali utilizzati per le parti principali e dei rivestimenti (bassa densità, assorbimento elastico e plastico degli urti, materiali frangibili);
• la presenza di parti appuntite o taglienti o di protuberanze di materiale ad alta densità;
• la presenza di arti rotanti non protette.

4. L’impatto dell’uso dei droni nell’ambito del trattamento dei dati e delle informazioni personali.

Entrando a gamba tesa nel merito del rispetto della normativa sulla tutela della riservatezza personale, secondo il dettato del Reg. E.N.A.C. S.A.P.R., ed. 2, art. 34, rubricato “Protezione dei dati e privacy”:

“1.Laddove le operazioni svolte attraverso un S.A.P.R. possano comportare un trattamento di dati personali, tale circostanza deve essere menzionata nella documentazione sottoposta ai fini del rilascio della pertinente autorizzazione.

2.Il trattamento dei dati personali deve essere effettuato in ogni caso nel rispetto del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni (Codice in materia di protezione dei dati personali), con particolare riguardo all’utilizzo di modalità che permettano di identificare l’interessato solo in caso di necessità ai sensi dell’art. 3 del Codice, nonché delle misure e degli accorgimenti a garanzia dell’interessato prescritti dal Garante per la protezione dei dati personali”.

Sul punto non può che aversi, come paradigma normativo di partenza, la declaratoria della nozione di dati personali, così come offerta dall’art. 4 del vigente G.D.P.R.^[8]

Ciò detto, il D.P.R. n. 15/2018 (pubblicato sulla Gazzetta Ufficiale del 14 marzo 2018, in vigore dal 29 marzo 2018) si occupa della privacy nei trattamenti dei dati effettuati da organi, uffici e comandi di polizia, per le finalità di polizia di cui all'articolo 53 del d.lgs. 196/2003 Codice della privacy (che attualmente, è stato abrogato dal d.lgs. 18 maggio 2018, n. 51), ossia per attività effettuate da organi di pubblica sicurezza o altri soggetti pubblici per tutela dell'ordine e della sicurezza pubblica, prevenzione, accertamento o repressione dei reati. In particolare, riguardo al tema in oggetto, l’art. 23 “Sistemi di ripresa fotografica, video e audio", prevede, al comma 3, che il trattamento di dati personali raccolti tramite aeromobili a pilotaggio remoto, in considerazione della loro potenziale invasività, è autorizzato al livello gerarchico non inferiore a quello di capo ufficio o comandante di reparto. Pertanto, è consentita la raccolta solo dei dati strettamente necessari per il raggiungimento delle finalità di polizia di cui sopra, registrando quelli indispensabili, nel rispetto dei seguenti principi:

• va comunque escluso il trattamento quando le finalità possono essere perseguite mediante dati anonimi o modalità che consentono di identificare la persona interessata solo in caso di necessità;
• i sistemi informativi e i programmi informatici sono progettati in modo che i dati personali siano cancellati o resi anonimi; inoltre, i dati personali oggetto di trattamento devono essere esatti (se necessario, vanno aggiornati), pertinenti, completi e non eccedenti rispetto alle finalità richiamate;
• i sistemi informativi e i programmi informatici sono configurati in modo da ridurre al minimo l'utilizzo di dati personali automatizzati, allo scadere dei termini di conservazione. Essi, inoltre, sono progettati in modo da consentire la registrazione in appositi registri degli accessi e delle operazioni («file di log»), effettuati dagli operatori abilitati.

Inoltre, i trattamenti di polizia realizzati tramite droni, in considerazione della loro potenziale invasività, sono ricompresi tra quelli che presentano rischi specifici per cui, ai sensi dell’articolo 6, va ricerca la base di liceità e le idonee misure tecniche ed organizzative: gli accessi e le operazioni effettuati dagli operatori abilitati relativamente a dati soggetti ad un trattamento automatizzato vanno registrati in appositi files di log, non modificabili, soggetti a conservazione per cinque anni dall'accesso o dall'operazione. Sono fatti salvi, comunque, i diversi termini di conservazione previsti da speciali disposizioni.  Gli accessi ai files di log, poi, sono consentiti ai soli fini della verifica della liceità del trattamento, del controllo interno, per garantire l'integrità e la sicurezza dei dati personali e nell'ambito di un procedimento penale.

Occorre aggiungere che i dati personali oggetto di trattamento sono conservati per un periodo di tempo non superiore a quello necessario per il conseguimento delle finalità di polizia. Inoltre, i dati personali soggetti a trattamento automatizzato, trascorsa la metà del tempo massimo di conservazione suddetto se uguale o superiore a quindici anni, sono accessibili ai soli operatori a tanto abilitati e designati, incaricati del trattamento secondo profili di autorizzazione predefiniti in base alle indicazioni del capo dell'ufficio o del comandante del reparto e in relazione a specifiche attività informative, di sicurezza o di indagine di polizia giudiziaria^[9].

In relazione alle nomine, prendendo a riferimento il caso dei comuni, ferme restando le figure basilari che, in ottemperanza alle disposizioni del Regolamento 679/2016 (G.D.P.R.) l’Ente deve aver già nominato e considerato che il Comune interessato, a prescindere dall’utilizzo di droni o di altri sistemi di video-sorveglianza, è opportuno che adotti una disciplina interna ed organizzativa della materia della protezione dei dati personali, occorrerà nominare il responsabile del trattamento interno (o delegato del titolare) coincidente con il responsabile del servizio o comandante di reparto (come espressamente richiesto dall’art. 23, comma 4 del D.P.R.  n° 15/2018), al quale compete scegliere gli operatori “incaricati” o “autorizzati” del trattamento, che, ai sensi dell’art. 2-quaterdecies del “Codice della Privacy” (d.lgs. n° 196/2003 e ss.mm.ii.) svolgano, operando sotto la sua diretta autorità, specifici compiti e funzioni connessi al trattamento di dati personali effettuato con droni.

Infine, con riferimento agli aeromobili senza equipaggio, l’art. 55 del Reg. U.E. 1139/2018 rimanda all’allegato IX per quanto riguarda l’individuazione dei requisiti essenziali che debbano essere rispettati nell’attività di progettazione, produzione, manutenzione ed esercizio di aeromobili da parte del personale, compresi i piloti remoti e le organizzazioni coinvolte nell’esercizio di queste attività. Ebbene, uno dei requisiti è costituito dalla conoscenza delle norme nazionali e dell'Unione applicabili alle operazioni sopra previste, in particolare in materia di sicurezza, tutela della riservatezza personale e di protezione dei dati e, se necessario, al fine di attenuare i rischi in tali settori, gli aeromobili senza equipaggio devono avere caratteristiche e funzionalità specifiche che tengano conto dei principi della tutela della riservatezza e della protezione dei dati personali fin dalla progettazione e per impostazione predefinita.

5. Conclusioni.

In conclusione, i produttori di droni dovranno comunque predisporre ed adottare ogni misura di sicurezza, tecnica ed organizzativa, idonea a garantire un’adeguata protezione dei dati personali assecondando il rispetto dei principi di privacy by design e by default previsti nel Reg. U.E. 679/2016 e al fine di poter continuare a svolgere, in modo lecito, le attività di trattamento che l’utilizzo di tale tecnologia comporta.

Sotto l’opposto punto di vista degli utilizzatori, le amministrazioni interessate dovranno effettuare un’attenta verifica della base normativa che legittimi l’uso di droni, oltre ad un’attenta ed approfondita analisi di impatto dei rischi di loro utilizzo, D.P.I.A., coinvolgendo il D.P.O. e, se del caso ed in ultima istanza, qualora dovessero residuare rischi elevati nonostante le misure adottabili, richiedendo l’avviso del Garante per la privacy.