Il RGPD applicato alle riprese aeree
Un drone che riprende fa due cose insieme: un'operazione aerea e un trattamento di dati personali. I due regimi sono indipendenti, ed essere in regola con l'uno non dice nulla dell'altro.
Da ricordare
- L'articolo 4, punto 1), del RGPD definisce il dato personale come qualsiasi informazione riguardante una persona fisica identificata o identificabile, direttamente o indirettamente. Un volto, una targa, una sagoma in un luogo noto bastano.
- Non è la vostra intenzione di identificare ad attivare il RGPD, è la possibilità oggettiva di identificazione. Il ragionamento per intenzione è la trappola più frequente di questa materia.
- L'eccezione dell'attività a carattere esclusivamente personale o domestico (art. 2, par. 2, lettera c)) è reale ma stretta: il considerando 18 precisa che tali attività sono senza una connessione con un'attività commerciale o professionale. Il criterio è la natura dell'ATTIVITÀ, non lo status della persona né la massa dell'aeromobile.
- La Corte di giustizia ha richiuso questa eccezione per le riprese rivolte verso lo spazio pubblico: nella causa Ryneš giudica che una videosorveglianza che si estende, anche se solo parzialmente, allo spazio pubblico è diretta verso l'esterno della sfera privata di chi procede al trattamento dei dati.
- Il consenso non è l'unica base giuridica: l'articolo 6, par. 1, ne offre sei: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico, legittimo interesse. Quest'ultimo presuppone un bilanciamento, e il testo menziona espressamente il caso in cui l'interessato sia un minore.
- La minimizzazione dei dati (art. 5, par. 1, lettera c)) si gioca alla RACCOLTA, non al montaggio: riprendere in continuo l'andata e il ritorno quando bastavano alcune inquadrature del tetto eccede la finalità dichiarata.
- Le immagini che rivelano opinioni politiche o convinzioni religiose rientrano nell'articolo 9, par. 1, che pone un divieto di principio che solo le eccezioni del par. 2 possono rimuovere. Il carattere pubblico di un raduno non cambia nulla.
- Il titolare del trattamento è chi determina le finalità e i mezzi del trattamento (art. 4, punto 7)): siete voi quando riprendete con il vostro drone, per vostro conto. L'articolo 5, par. 2, vi aggiunge l'obbligo di poter DIMOSTRARE la conformità.
Il tranello. I due testi non si sovrappongono, ma si incrociano: l'articolo 15, par. 1, del regolamento 2019/947 consente a uno Stato di creare una zona geografica UAS per motivi di tutela della riservatezza, e l'articolo 2, punto 4), che definisce tali zone, vi aggiunge la protezione dei dati personali. Una carta aeronautica può quindi tradurre un vincolo che non ha nulla di aeronautico.
Fonte
Regolamento (UE) 2016/679 (CELEX 02016R0679, consolidato al 04/05/2016) (RGPD), art. 2, paragrafo 2, lettera c) e considerando 18, art. 4, punti 1) e 7), art. 5, paragrafo 1, lettera c) e paragrafo 2, art. 6, paragrafo 1, e art. 9, paragrafo 1 e paragrafo 2; CGUE, 11 dicembre 2014, Ryneš, C-212/13, punto 33 (CELEX 62013CJ0212); regolamento di esecuzione (UE) 2019/947 (CELEX 02019R0947, consolidato al 01/05/2025), art. 15, paragrafo 1