La diretta video dei consigli comunali e il nodo della conformità privacy

Sempre più Comuni trasmettono in diretta le sedute del Consiglio Comunale. È un gesto che sembra scontato: si accende una telecamera, si apre un canale YouTube, e i cittadini possono seguire da casa la discussione sul bilancio o sulla nuova viabilità. Ma dietro questa apparente semplicità si nasconde un problema giuridico che moltissimi enti locali sottovalutano, ed è proprio questo il motivo per cui, prima di premere "diretta", conviene fermarsi a riflettere.

1Il punto che quasi nessuno considera

La diffusione di immagini e video delle sedute consiliari non può essere avviata in modo automatico. Deve essere disciplinata ai sensi del Regolamento (UE) 2016/679, il GDPR, perché si tratta di un trattamento di dati personali che riguarda, su larga scala, tutti i partecipanti alla seduta: consiglieri, assessori, dipendenti comunali, dirigenti a volte invitati a intervenire, cittadini che intervengono dal pubblico.

Chi si occupa di privacy nella pubblica amministrazione lo sa bene: prima di trattare dati serve individuare con chiarezza due cose, la base giuridica del trattamento e la finalità specifica che lo giustifica. E qui arriva la sorpresa per molti amministratori: oggi, in Italia, non esiste alcuna norma che autorizzi automaticamente la ripresa e la diffusione delle sedute ordinarie del Consiglio Comunale. Fa eccezione il caso dei cosiddetti "consigli aperti", cioè di eventi o manifestazioni pubbliche aperte alla cittadinanza (ad esempio quando il Consiglio si riunisce per conferire una cittadinanza onoraria, o per altre sedute solenni con un pubblico più ampio del consueto), dove la ripresa è normalmente compatibile con le finalità istituzionali dell'evento stesso.

Prima di arrivare alle regole italiane, vale la pena fare un passo indietro e guardare a come si comportano gli altri Paesi europei. Non è un esercizio accademico: gli enti locali di Austria e Germania applicano lo stesso Regolamento (UE) 2016/679 che vale per i Comuni italiani, quindi osservare le soluzioni che hanno adottato aiuta a capire, in concreto, come ci si può muovere per essere conformi.

2Il modello europeo: il video ha una data di scadenza

In Europa il ragionamento ruota attorno a un principio preciso del GDPR, quello di limitazione della conservazione (art. 5, par. 1, lett. e): i dati personali non possono restare conservati più a lungo di quanto sia davvero necessario per la finalità del trattamento.

Per capire bene come si applica questo principio ai video delle sedute consiliari, occorre distinguere due attività di trattamento diverse, anche se riguardano lo stesso file. La prima è la diffusione, cioè la messa a disposizione del pubblico tramite streaming o pubblicazione online: è qui che vale in pieno il principio di minimizzazione, ed è qui che il video deve avere un termine definito, proprio perché la sua funzione è informare la collettività nell'immediato, non restare esposto a tempo indeterminato. La seconda è la conservazione documentale, che riguarda invece l'archiviazione del file, non più pubblico ma custodito dall'ente: qui il video non è considerato un semplice contenuto multimediale, ma un vero e proprio documento amministrativo informatico, al pari di una delibera o di un verbale. Dopo la sua pubblicazione, il video seguirà quindi le regole proprie di un documento amministrativo, e dovrà essere conservato per i tempi previsti per questa categoria di documenti, spesso cinque anni, secondo il piano di conservazione adottato dall'ente ai sensi del Codice dell'Amministrazione Digitale (D.Lgs. 82/2005), restando accessibile a chi esercita il diritto di accesso agli atti.

Ne discende una distinzione che vale in quasi tutti gli ordinamenti europei: da una parte il verbale formale della seduta, che è un documento giuridico e resta conservato senza limiti come archivio storico; dall'altra la registrazione audio-video, che ha una funzione informativa immediata e che, una volta esaurita quella funzione di diffusione pubblica, dovrebbe essere rimossa dalla disponibilità online, pur potendo restare in archivio secondo le regole di conservazione documentale, salvo che una legge nazionale specifica imponga soluzioni diverse. È questa la posizione delle autorità garanti per la protezione dei dati dei vari Paesi europei, compreso il Garante Privacy italiano.

All'interno di questo quadro comune, ogni Paese ha poi trovato la propria misura.

In Austria, sotto il Datenschutzgesetz (DSG) e il GDPR, la diretta streaming è consentita, ma la conservazione online resta limitata a poche ore o al massimo qualche settimana: vince la logica della minimizzazione, e tenere un video online a tempo indeterminato viene considerato sproporzionato.

In Germania le leggi regionali sulla protezione dei dati (LDSG) e i regolamenti comunali condizionano spesso la stessa diretta streaming al consenso dei partecipanti, o quantomeno alla possibilità, per chi interviene, di non essere ripreso. La conservazione è breve, in genere da uno a sei mesi, e un archivio permanente online è di regola vietato.

3L'Italia: perché serve un regolamento comunale

L'Italia si colloca pienamente nel modello europeo, con una particolarità operativa che riguarda da vicino ogni sindaco e ogni segretario comunale: il Garante per la protezione dei dati personali chiede che ogni ente si doti di un apposito regolamento, capace di disciplinare in modo puntuale la base giuridica del trattamento, le finalità perseguite e le modalità operative di ripresa, diffusione e conservazione dei contenuti.

Le finalità possono, ad esempio, riguardare la partecipazione dei cittadini con disabilità o impossibilitati a essere presenti fisicamente, forme di trasparenza aggiuntive rispetto a quelle già previste dal D.Lgs. 33/2013, oppure la promozione della partecipazione democratica alla vita istituzionale dell'ente. Non basta insomma invocare in modo generico "la trasparenza": bisogna spiegare quale valore aggiunto porti la ripresa video rispetto al verbale, che già di per sé garantisce la pubblicità della seduta.

Il regolamento dovrà poi entrare nel dettaglio operativo, definendo chi è autorizzato a effettuare le riprese e a gestire i contenuti, per quanto tempo i video restano pubblicati e conservati, come vengono archiviati i documenti, quali misure di sicurezza tracciano gli accessi, e come viene gestito l'archivio storico presso gli uffici competenti, anche in vista di eventuali richieste di accesso agli atti.

Un punto centrale è stabilire in anticipo per quanto tempo il video resta disponibile online: sei mesi, un anno, cinque anni, o un termine diverso deciso dall'ente, in linea con la varietà che si osserva nella prassi italiana, che spazia da dodici mesi fino alla fine del mandato. Altrettanto importante è indicare i canali autorizzati alla diffusione, con le eventuali garanzie aggiuntive richieste quando si usano piattaforme esterne o extra UE, un tema che dopo le note vicende sui trasferimenti di dati verso gli Stati Uniti non può più essere trattato come un dettaglio secondario. A questo si aggiunge un adempimento spesso trascurato: se la piattaforma di streaming è fornita da una società esterna, va stipulato un apposito accordo di nomina a Responsabile del trattamento ai sensi dell'art. 28 GDPR, senza il quale l'ente non ha alcuna garanzia contrattuale su come il fornitore tratta e custodisce i dati.

A completare il quadro serve un'informativa privacy pubblicata sul sito istituzionale dell'ente e resa facilmente conoscibile a chi partecipa alle sedute, in modo da garantire piena trasparenza su come vengono effettuate le riprese e trattati i dati personali.

4Uno sguardo d'insieme: la tabella comparativa

Confronto tra i principali modelli normativi su streaming e conservazione dei video delle sedute consiliari

Tabella europea (dove vige il GDPR)

Tabella extra-UE (dove il GDPR non vige)

Fonte: rielaborazione OltreCode su Open Meeting Acts statali (USA), Datenschutzgesetz (Austria), leggi regionali sulla protezione dei dati (Germania), Openness of Local Government Bodies Regulations 2014 e UK GDPR (Regno Unito), TUEL e linee guida del Garante Privacy (Italia).

5Il modello extra-UE: Stati Uniti e Regno Unito

Fuori dall'Unione Europea il quadro cambia sensibilmente, e i due casi più istruttivi sono proprio quelli della tabella qui sopra.

Negli Stati Uniti la questione è risolta alla radice dagli Open Meeting Acts e dalle Sunshine Laws statali, come nel caso del Montana. La diretta pubblica via TV locale o via web è la regola, e l'archiviazione digitale dei video è permanente e illimitata. La logica è semplice e netta: la trasparenza viene prima della privacy, e in una seduta pubblica né i cittadini né i consiglieri possono aspettarsi riservatezza. L'accesso alle riprese è considerato un diritto costituzionale immodificabile, e le amministrazioni pubbliche mantengono gli archivi storici a disposizione di chiunque, senza limiti di tempo. Non esiste, in questo modello, alcun equivalente del principio di minimizzazione europeo.

Il Regno Unito è un caso a sé, perché dopo la Brexit il GDPR europeo non si applica più: è in vigore un regime nazionale, lo UK GDPR, che ricalca da vicino i principi del regolamento europeo pur non essendone più vincolato, insieme al Data Protection Act 2018 e alla vigilanza dell'ICO. Sul fronte specifico dello streaming, le Openness of Local Government Bodies Regulations 2014 hanno spinto verso una diffusione capillare (tipicamente su YouTube), con una via di mezzo tra i due estremi: i protocolli standard prevedono che il video resti online per l'intera durata del mandato amministrativo, circa quattro anni, per poi essere eliminato in modo programmato.

6Un caso tipico: com'è fatto, nella pratica, un regolamento che funziona

Nella pratica professionale capita di esaminare i regolamenti effettivamente adottati da diversi Comuni italiani, e non mancano esempi virtuosi, spesso proprio nei Comuni più piccoli. Vale la pena descrivere, in forma generale, come si presenta un caso tipico tra quelli meglio impostati, senza la pretesa di indicare un modello perfetto: anche i regolamenti più solidi restano quasi sempre perfettibili su qualche punto, ad esempio un'informativa privacy poco articolata, o alcuni passaggi troppo sintetici.

Un buon regolamento, però, condivide alcuni tratti ricorrenti. È autosufficiente, senza rimandare a un disciplinare tecnico esterno non pubblicato. Richiama esplicitamente il Regolamento (UE) 2016/679. Stabilisce un tempo di diffusione online definito e prevede divieti puntuali, ad esempio sulla ripresa di dati sensibili e giudiziari o sulla diffusione di informazioni relative allo stato di salute. E soprattutto applica il doppio binario descritto sopra in modo esplicito: un tempo di pubblicazione sul portale istituzionale, spesso attorno a un anno dalla seduta, seguito da un'archiviazione su supporti idonei a cura del personale comunale, distinta dalla disponibilità online. È esattamente il meccanismo che un regolamento su questa materia dovrebbe prevedere: un tempo di diffusione chiaro, seguito da un'archiviazione separata e governata.

7Perché il Garante è stato tollerante, e perché oggi non basta più

Va detto con onestà: fino ad oggi il Garante ha adottato un atteggiamento piuttosto tollerante nei confronti dei Comuni su questo specifico tema, e la maggior parte degli enti non si è ancora dotata di un regolamento realmente conforme. Si può capire perché.

Lo streaming del Consiglio Comunale come attività ordinaria e strutturata è una pratica relativamente recente. Si è diffusa su larga scala soprattutto durante la pandemia, quando sostituiva le sedute in presenza, vietate per il rischio di contagio. In quel momento aveva un senso preciso e una finalità concreta e urgente: garantire la continuità dell'attività istituzionale quando l'alternativa, riunirsi fisicamente, non era percorribile. Era, in sostanza, una soluzione di necessità, nata per rispondere a un'emergenza reale.

Oggi quell'emergenza è alle spalle da anni, e con essa dovrebbe essere venuta meno anche la giustificazione per l'improvvisazione. Un Comune che decide di trasformarsi, di fatto, in un piccolo editore di contenuti audiovisivi si assume una responsabilità che va oltre la gestione tecnica di una telecamera: diventa un soggetto che tratta dati personali su larga scala, in modo continuativo, e che risponde delle stesse regole di chiunque altro tratti dati in quel modo. Le scuse legate all'emergenza, semplicemente, non reggono più.

Le implicazioni pratiche di una gestione non governata, del resto, sono molteplici: si pensi a un cittadino citato in un dibattito consiliare in termini che ritiene lesivi, che invia una diffida o chiede l'oblio, e che senza copie d'archivio non riesce nemmeno a esercitare il diritto di accesso agli atti per ricostruire quanto accaduto; o ai frammenti di video ripresi ed estrapolati dal contesto, che circolano sui social ben oltre la permanenza online prevista per il video originale.

8Cosa succede a chi improvvisa

La conclusione, a questo punto, è chiara. Pubblicare video delle sedute consiliari senza un regolamento comunale adeguato, senza aver individuato con precisione la base giuridica, senza un'informativa privacy in regola e senza una disciplina su tempi e modalità di diffusione e conservazione dei contenuti espone l'ente a possibili violazioni della normativa sulla protezione dei dati personali, con il rischio concreto di segnalazioni, provvedimenti correttivi e sanzioni pecuniarie da parte del Garante.

Il confronto internazionale, alla fine, insegna una cosa semplice. Il modello americano delle Sunshine Laws (archivio perpetuo, accesso illimitato) non è replicabile in Europa, dove l'art. 5 del GDPR impone di tenere distinte la memoria giuridica della seduta, affidata al verbale, e la sua rappresentazione audiovisiva, che per sua natura ha una vita pubblica limitata nel tempo. Per i Comuni italiani la strada giusta non è rinunciare allo streaming, ma governarlo con un regolamento fatto bene: uno strumento che trasforma un potenziale rischio sanzionatorio in un'occasione vera di partecipazione democratica.

9Il commento del DPO

Marco La Diega