IT EN
Avvia una prova

Note operative Normativa

Riconoscimento facciale della polizia: a chi si applicherà l’autorizzazione del giudice?

7 min di lettura

Telecamera di videosorveglianza bianca fissata a un muro di cemento, ripresa dal basso in controluce, in bianco e nero
La correzione promessa riguarda chi la punta in tempo reale su una persona specifica. Quella che resta accesa sopra l’ingresso di uno stadio segue un’altra regola, e per ora nessuno propone di cambiarla.

Il 31 luglio 2026, a margine di una riunione in Prefettura a Napoli, il sottosegretario Alfredo Mantovano ha detto una frase che promette di correggere il decreto italiano sul riconoscimento facciale della polizia: «mettiamo in maniera esplicita quello che per noi era scontato, e cioè che ci voglia l’autorizzazione del magistrato». Non ha detto quale dei tre canali di autorizzazione già scritti nel decreto verrebbe toccato. La domanda non è polemica: ne abbiamo già ricostruito la struttura, e uno di quei tre canali — proprio quello che userebbero gli stadi e i grandi eventi — oggi non prevede né un giudice né un procuratore.

I fatti degli ultimi tre giorni

Il 30 luglio la Commissione Politiche dell’Unione europea della Camera (XIV, competente sui rilievi di compatibilità UE sull’Atto del Governo n. 418) ha rinviato a sorpresa il voto sui propri rilievi. Il giorno dopo un portavoce della Commissione europea ha dichiarato, secondo quanto riportano più testate italiane: «Il riconoscimento facciale negli spazi accessibili al pubblico è una pratica vietata dall’AI Act». Palazzo Chigi ha risposto lo stesso giorno: «Sul riconoscimento facciale negli spazi pubblici accessibili l’Italia continuerà a rispettare la normativa europea, a partire dall’AI Act». Poche ore dopo Mantovano ha annunciato la correzione, con l’obiettivo — riferiscono le stesse fonti — di farla arrivare al Consiglio dei ministri del 4 agosto 2026: due giorni da oggi.

Tre canali, tre autorizzazioni diverse

Il testo trasmesso alle Camere il 24 giugno — l’abbiamo letto articolo per articolo — non ha un solo regime di autorizzazione per l’identificazione biometrica. Ne ha tre, e li tiene distinti.

Articolo 8: identificazione biometrica in tempo reale per finalità di prevenzione o ricerca di persone scomparse e vittime di reati specifici. L’autorizzazione la chiede il questore o il comandante provinciale al procuratore della Repubblica, per un evento specifico e per un tempo «non superiore a quindici giorni, prorogabili»; nei casi d’urgenza il sistema parte con una comunicazione anche orale al procuratore, che decide entro 24 ore.

Articolo 359-ter del codice di procedura penale (introdotto dall’art. 14): identificazione o localizzazione, in un procedimento penale, di indiziati di reati puniti con almeno quattro anni di reclusione o di latitanti. Qui l’autorizzazione la chiede il pubblico ministero, ma a deciderla è il giudice per le indagini preliminari, con decreto motivato, sempre entro i quindici giorni prorogabili.

Articolo 10: riconoscimento facciale a posteriori su sistemi di videosorveglianza, per identificare persone già indiziate di un reato sulla base di immagini registrate. Qui non compare né un procuratore né un giudice: il titolare del trattamento — per legge il Ministero dell’interno — effettua una valutazione d’impatto e «consulta il Garante», poi l’uso è sotto la responsabilità diretta dell’ufficiale designato dal questore.

Tre soglie di controllo diverse per tre usi diversi. E qui la cronaca smette di aiutare: le due testate maggiori che hanno dato la notizia il 31 luglio l’hanno titolata in modo diverso. La Stampa scrive «Servirà l’autorizzazione del giudice», che rimanda al canale in tempo reale; Il Sole 24 Ore titola «IA e videosorveglianza: per esaminare le immagini ci vuole l’autorizzazione del magistrato» — e «videosorveglianza» ed «esaminare le immagini» sono il linguaggio dell’articolo 10, non dell’articolo 8. Quale dei tre regimi verrà toccato, allo stato, non è dato saperlo da nessuna fonte pubblica. Non è un dettaglio da addetti ai lavori: fra un procuratore che autorizza in quindici giorni, un giudice per le indagini preliminari e un ufficiale designato dal questore corrono tre modelli di responsabilità diversi, e chi installa l’impianto deve sapere in quale si troverà.

Il canale che userebbero gli stadi è quello senza giudice

L’articolo 10, comma 12, dice una cosa che riguarda direttamente chi non fa ordine pubblico di mestiere: all’installazione e alla manutenzione dei sistemi possono provvedere i gestori dei luoghi, gli organizzatori o i promotori degli eventi — uno stadio, un’arena, una fiera — che poi li concedono «in comodato gratuito alla questura», la quale ne acquisisce «la completa ed esclusiva disponibilità». Il comma 3 aggiunge che l’ingresso comporta il trattamento automatizzato dei dati biometrici di chiunque acceda al luogo o all’evento, non solo di chi sarà poi cercato: la base di confronto si costruisce prima, il sospetto arriva dopo, se arriva.

È esattamente il punto che il Garante aveva già segnalato nel parere n. 531 del 14 luglio, chiedendo di chiarire il ruolo privacy di chi installa l’impianto. Ma il dibattito di questi giorni — Bruxelles, Palazzo Chigi, l’annuncio di Mantovano — ha ruotato attorno all’identificazione biometrica in tempo reale, quella con meno probabilità di passare per l’impianto di un privato. Se la correzione di agosto aggiunge un giudice solo all’articolo 8, il regime che un gestore di stadio userebbe davvero — l’articolo 10 — resta con la sola valutazione d’impatto e la consultazione del Garante come unico contrappeso scritto oggi nel testo.

Perché conta anche se non gestite un impianto sportivo

Non serve gestire uno stadio per essere toccati dalla stessa logica. Chi fornisce o ospita un sistema di videosorveglianza con componenti IA per conto della pubblica sicurezza — un aeroporto, una stazione, un centro fieristico, un impianto industriale sotto Perimetro di Sicurezza Nazionale Cibernetica — eredita gli stessi tre nodi: quale articolo si applica al proprio caso, chi è titolare del trattamento anche quando l’hardware è vostro, e quale traccia resta se un giorno un giudice — o il Garante — chiede conto di un’identificazione. Aspettare che la battaglia politica sull’articolo 8 si chiuda non risolve nulla per chi userà l’articolo 10.

Cosa fare adesso

Se gestite o fornite un impianto che potrebbe rientrare nel comma 12 dell’articolo 10: mettete per iscritto, prima che il decreto sia definitivo, chi sarà titolare e chi responsabile del trattamento — il testo oggi lo lascia implicito, ed è proprio quello che il Garante ha contestato. Predisponete la valutazione d’impatto sui diritti fondamentali richiesta dall’art. 27 del regolamento IA prima che il sistema sia acceso, non dopo un’ispezione. Tenete distinti i due orologi che il decreto fissa: i dati biometrici raccolti si cancellano dopo sette giorni, i file di log dell’accesso restano invece cinque anni, non modificabili — confonderli in un capitolato è l’errore più facile da fare leggendo il testo in fretta. E seguite il 4 agosto: se la correzione tocca solo l’articolo 8, saperlo prima di scriverlo in un contratto vi evita di promettere una garanzia giudiziaria che il testo non contiene ancora.

Come lo risolviamo noi

Il problema non è decidere se serva un giudice: è sapere, articolo per articolo, quale regola si applica al sistema che avete acceso, e poterlo dimostrare quando qualcuno lo chiede — un’ispezione del Garante, una richiesta della questura, un giudice che verifica una prova. Costruiamo il controllo che gira sui log del vostro impianto — non un parere che si esaurisce nella lettura del decreto — e distingue da solo i sette giorni dei dati dai cinque anni dei log, segnala l’autorizzazione mancante o scaduta, e prepara il fascicolo prima che qualcuno lo chieda.

Lo stesso impianto tiene insieme, in un modello operativo unico, i dati che oggi restano sparsi tra gestore del luogo, questura e Ministero — chi ha installato, chi ha autorizzato, chi ha effettivamente guardato quell’immagine — così che un’AI proponga il confronto e resti sempre un operatore al comando a confermarlo: è lo stesso principio che l’articolo 10, comma 9, scrive già da solo, vietando ogni decisione basata unicamente sull’output del riconoscimento facciale. Lo facciamo per pubbliche amministrazioni e difesa quanto per i grandi gestori di impianti e infrastrutture privati, sempre in due modalità disponibili insieme: on-premise, su macchine autonome che restano nel vostro perimetro senza integrarsi in profondità nella rete esistente, oppure cloud dedicato CSIDIA — accesso via VPN riservata, data center in Italia, locali che presidiamo noi direttamente.

Gestite o fornite un sistema che potrebbe rientrare nell’articolo 10 del decreto sul riconoscimento facciale? Mezz’ora con un nostro esperto basta per capire quale regime vi si applica oggi, prima che sia il decreto definitivo a dirvelo.

Fonti

Le dichiarazioni di Mantovano, del portavoce della Commissione europea e di Palazzo Chigi sono riportate dalla stampa: non esiste, alla data di pubblicazione, un testo ufficiale che le contenga. Il contenuto del decreto è invece verificato sul testo depositato alla Camera.