IT EN
Avvia una prova

Note operative Normativa

Decreto riconoscimento facciale: che cosa controllare quando arriva il testo

6 min di lettura

Finestra a griglia con decine di piccoli riquadri di vetro su una facciata in mattoni, con due ante scure aperte ai lati, in bianco e nero
Una griglia si legge un riquadro alla volta. Il decreto sul riconoscimento facciale si legge allo stesso modo: non un titolo di giornale, ma articolo per articolo.

Stamattina, lunedì 3 agosto 2026, alle 6:50, l’archivio ufficiale del Consiglio dei ministri su governo.it era fermo alla riunione n. 184 del 29 luglio. Nessuna convocazione successiva pubblicata. La stampa scrive da giorni di un Consiglio dei ministri il 4 agosto, con «ddl per rafforzare la Difesa e norme riconoscimento facciale» tra i punti attesi, e di un pre-Cdm oggi stesso con l’intelligenza artificiale fra tredici dossier. Ma quella data esiste per ora solo nelle dichiarazioni riportate dai giornali, non in un atto pubblicato. Abbiamo già ricostruito ieri i tre canali di autorizzazione che il decreto prevede per l’identificazione biometrica, e la correzione annunciata a voce da Mantovano che non specifica quale dei tre tocchi. Qui non ripetiamo quella ricostruzione: fissiamo la griglia con cui leggere il testo, quando uscirà — non il titolo che ne darà la stampa.

Quattro controlli, non un riassunto

Primo controllo: su quale atto viaggia la correzione. L’Atto del Governo n. 418 è uno schema di decreto legislativo, trasmesso alla Camera il 24 giugno 2026: segue l’iter dell’articolo 76 della Costituzione, che richiede il parere delle Commissioni parlamentari prima dell’adozione definitiva. Il 30 luglio 2026 le Commissioni riunite I (Affari costituzionali) e II (Giustizia) hanno concluso l’esame con parere favorevole con osservazioni. L’iter però non è chiuso: la Commissione XIV (Politiche UE), competente sui profili di compatibilità europea, si è fermata al rinvio, e il suo termine è il 25 agosto 2026. Il termine per entrambi i pareri è il 25 agosto 2026, non ancora scaduto né rispettato da nessuna delibera. Se il 4 agosto il Consiglio dei ministri delibera qualcosa su questo schema, non può trattarsi dell’adozione definitiva: mancano i pareri. Il test concreto, quando il testo compare: se richiama la legge delega, è la coda dell’iter di AG 418 e dovrebbe portare data successiva al 25 agosto; se si presenta come decreto-legge, con la formula «ritenuta la straordinaria necessità e urgenza» dell’articolo 77 Cost., è un veicolo diverso, in vigore dal giorno dopo la pubblicazione, e i pareri pendenti su AG 418 restano un procedimento parallelo.

Secondo controllo: quale dei tre articoli cambia. Cercate «procuratore della Repubblica» (articolo 8, identificazione in tempo reale), «giudice per le indagini preliminari» (articolo 359-ter del codice di procedura penale), oppure «consulta il Garante» (articolo 10, riconoscimento a posteriori su videosorveglianza). Se il testo aggiunge un giudice solo dove oggi c’è scritto «procuratore», l’articolo 10 — quello che userebbe uno stadio, un aeroporto, una stazione — resta con il regime di oggi: valutazione d’impatto e consultazione del Garante, nessun giudice.

Terzo controllo: il comma 12 dell’articolo 10. Verificate se resta la formula attuale — gestori di luoghi ed eventi che installano i sistemi e li concedono «in comodato gratuito» alla questura, che ne acquisisce «la completa ed esclusiva disponibilità» — o se viene chiarito, come il Garante ha chiesto nel parere n. 531 del 14 luglio, chi risponde come titolare del trattamento quando l’impianto è di un privato.

Quarto controllo: i due orologi. Sette giorni per la cancellazione dei dati biometrici raccolti, cinque anni per i log di accesso. Sono numeri precisi scritti nel testo depositato: se cambiano, cambia il capitolato tecnico di chiunque gestisca l’impianto, non solo la cornice giuridica.

Quello che non ho potuto verificare

Il Senato non è raggiungibile da questo ambiente per controllare eventuali pareri propri: il sito risponde con un blocco (403 con user agent di default, 202 a corpo vuoto con user agent da browser) che ha l’aria di una protezione anti-bot, non di un’assenza di contenuto. Non lo presento come «nessun parere del Senato»: lo presento come «non verificato da fonte primaria». E non ho trovato, nella ricerca di stamattina, alcun nuovo provvedimento del Garante privacy successivo al parere n. 531 del 14 luglio. Un ultimo limite riguarda l’iter parlamentare: la scheda dell’Atto del Governo n. 418 nella sua veste consueta è resa in JavaScript e non è leggibile da una richiesta automatica; le sedute e i termini riportati qui vengono invece dal documento server-rendered della Camera, aggiornato alle 07:31 di oggi.

Perché la griglia conta più del titolo di domani

Un titolo di giornale — «autorizzazione del giudice», oppure «per esaminare le immagini» — non basta a sapere quale dei tre canali è cambiato: lo abbiamo già visto con le due testate maggiori che il 31 luglio hanno titolato la stessa dichiarazione in modo diverso, dopo che il Garante aveva già chiesto correzioni sullo schema depositato. Chi gestisce o fornisce un sistema di videosorveglianza con componenti IA per conto della pubblica sicurezza — uno stadio, un aeroporto, una stazione, un impianto sotto Perimetro di Sicurezza Nazionale Cibernetica — non può scoprire dopo aver firmato un capitolato quale articolo si applica al proprio caso.

Cosa fare oggi

Non aspettate il testo definitivo per mettere per iscritto chi è titolare e chi responsabile del trattamento nel vostro impianto: il decreto, in qualunque versione arrivi, non lo farà per voi. Tenete pronta la valutazione d’impatto sui diritti fondamentali richiesta dall’articolo 27 del regolamento IA. E quando il testo del 4 agosto — o quello che ne seguirà — sarà pubblico, applicategli i quattro controlli sopra prima di aggiornare un contratto: la differenza tra un procuratore che autorizza in quindici giorni e un ufficiale designato dal questore che consulta il Garante è la differenza tra due modelli di responsabilità, e li portate voi, non il decreto.

Come lo risolviamo noi

Il problema non è leggere il decreto una volta: è rileggerlo ogni volta che cambia, e sapere subito quale comma è stato toccato senza rifare da capo l’analisi. Costruiamo il controllo che gira sui log del vostro impianto — non un parere che si esaurisce alla lettura del testo — e distingue da solo i sette giorni dei dati dai cinque anni dei log, segnala un’autorizzazione mancante o scaduta rispetto alla versione del decreto in vigore in quel momento, e tiene il fascicolo pronto per un’ispezione del Garante o una richiesta della questura.

Lo stesso impianto tiene insieme, in un modello operativo unico, i dati oggi sparsi tra gestore del luogo, questura e Ministero — chi ha installato, chi ha autorizzato, chi ha guardato quell’immagine — così che un’AI proponga il confronto e resti sempre un operatore al comando a confermarlo. Lo facciamo per pubbliche amministrazioni e difesa quanto per i grandi gestori di impianti e infrastrutture private, sempre in due modalità disponibili insieme: on-premise, su macchine autonome che restano nel vostro perimetro senza integrarsi in profondità nella rete esistente, oppure cloud dedicato CSIDIA — accesso via VPN riservata, data center in Italia, locali che presidiamo noi direttamente. Gestione condivisa: non dovete già avere in casa chi amministra questi sistemi.

Gestite un impianto che potrebbe rientrare nell’articolo 10 del decreto? Mezz’ora con un nostro esperto per applicare oggi stesso la griglia al testo, qualunque versione arrivi dal Consiglio dei ministri.

Fonti

Le date del pre-Consiglio dei ministri del 3 agosto e del Consiglio dei ministri del 4 agosto sono riportate dalla stampa citata sopra: alla verifica delle 6:50 di stamattina sull’archivio ufficiale, nessuna delle due riunioni risultava ancora pubblicata. Lo stato dell’Atto del Governo n. 418 (sedute, termini) è verificato sul documento server-rendered della Camera, che riporta «Aggiornata alle ore 07:31:03 del giorno 03/08/2026».