Capitolo 6 di 6

Privacy, protezione dati, assicurazione e security

La protezione dei dati personali in Europa è disciplinata dal Regolamento UE 2016/679 (GDPR). Non è una norma aeronautica, ma si applica pienamente all'uso del drone ogni volta che le sue telecamere o i suoi sensori trattano dati personali, cioè informazioni riferite a persone fisiche identificate o identificabili. Chi decide finalità e modalità delle riprese (l'operatore UAS o il pilota) assume il ruolo di titolare del trattamento e ne risponde. Esiste un'esenzione per il trattamento svolto per fini esclusivamente personali o domestici, ma è interpretata in modo restrittivo: non copre le riprese effettuate in luoghi pubblici in cui compaiono terzi identificabili, né i video destinati alla diffusione (social, siti, YouTube). In quei casi il GDPR si applica per intero. È bene ricordare che le regole aeronautiche (Reg. UE 2019/947 e 2019/945) e le regole sulla privacy sono complementari e vanno rispettate entrambe: essere in regola con la categoria Aperta A1/A3 non esonera dagli obblighi di protezione dei dati. Il candidato all'esame deve saper distinguere il piano della sicurezza del volo da quello della tutela della riservatezza delle persone riprese.

Cosa è un dato personale nelle immagini aeree

Un dato personale è qualsiasi informazione relativa a una persona fisica identificata o identificabile. Nelle riprese con drone questo comprende il volto, ma anche elementi che rendono riconoscibile qualcuno anche in modo indiretto: la targa di un'auto, un numero civico associato a un abitante, un tatuaggio, l'abbigliamento in un contesto specifico o la combinazione di più dettagli. L'identificabilità non richiede il nome: basta che la persona possa essere distinta dalle altre. Il GDPR individua inoltre categorie particolari di dati (cosiddetti sensibili) che meritano tutela rafforzata, ad esempio quelli che rivelano origine etnica, opinioni politiche, convinzioni religiose, stato di salute o vita sessuale. Riprendere dall'alto una manifestazione politica, una processione religiosa o l'ingresso di una struttura sanitaria può quindi trattare dati sensibili, con obblighi più stringenti. Anche i dati di geolocalizzazione associati alle immagini sono dati personali. Per l'esame è utile ricordare che l'altezza di ripresa non elimina automaticamente il rischio: uno zoom o una buona risoluzione possono rendere identificabili persone che a occhio nudo sembrerebbero anonime. La valutazione va fatta sul risultato concreto della ripresa, non sulla quota di volo.

Riprese di persone e luoghi: minimizzazione e informativa

Il trattamento dei dati deve rispettare alcuni principi cardine del GDPR: liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione e limitazione della conservazione. La minimizzazione impone di raccogliere solo i dati strettamente necessari allo scopo: se l'obiettivo è riprendere un edificio o un paesaggio, occorre evitare o ridurre l'inquadratura di persone identificabili, oscurando volti e targhe non pertinenti. Serve inoltre una base giuridica: il consenso degli interessati, oppure il legittimo interesse, o un obbligo di legge; il consenso deve essere libero, informato e preventivo. La trasparenza richiede di fornire un'informativa (finalità, titolare, tempi di conservazione, diritti). Con il drone informare ogni persona è difficile: si usano allora misure pratiche come cartelli e avvisi nell'area, comunicazioni preventive, indicazioni sul sito dell'operatore. È buona prassi evitare le riprese in aree private come giardini, terrazzi e finestre, dove l'aspettativa di riservatezza è massima. Volare in modo invasivo o stazionare sopra proprietà altrui per osservarne gli occupanti può configurare un trattamento illecito e persino comportamenti penalmente rilevanti. Pianificare la missione pensando in anticipo a cosa non riprendere è il modo migliore per rispettare la privacy.

Diritti degli interessati, conservazione e sicurezza dei dati

Le persone riprese (gli interessati) godono di diritti che il titolare deve garantire: accesso ai propri dati, rettifica, cancellazione (diritto all'oblio), limitazione e opposizione al trattamento. L'operatore deve essere in grado di rispondere a queste richieste e, ad esempio, cancellare o oscurare le immagini di chi si oppone legittimamente. Vige il principio di limitazione della conservazione: le immagini vanno conservate solo per il tempo necessario alla finalità dichiarata e poi eliminate; non si tengono video indefinitamente senza motivo. È richiesta anche la sicurezza del trattamento, con misure tecniche e organizzative adeguate a proteggere i file da perdita, accesso abusivo o diffusione non autorizzata: password, cifratura dei supporti, backup controllati. Quando l'attività comporta un monitoraggio sistematico su larga scala di aree pubbliche o il trattamento di dati sensibili, il GDPR può richiedere una valutazione d'impatto sulla protezione dei dati (DPIA) prima di iniziare, per analizzare e ridurre i rischi. In caso di violazione dei dati (data breach) con rischio per gli interessati, il titolare deve notificare l'autorità di controllo, in genere entro 72 ore. Per l'esame conta ricordare che raccogliere le immagini è solo l'inizio: anche la loro gestione e cancellazione sono obblighi di legge.

Registrazione dell'operatore e legame con la privacy

Il Regolamento UE 2019/947 impone la registrazione dell'operatore UAS presso l'autorità nazionale (in Italia ENAC, tramite il portale d-flight). L'obbligo scatta quando il drone ha una massa pari o superiore a 250 g, oppure, indipendentemente dalla massa, quando è dotato di un sensore capace di rilevare dati personali, a meno che si tratti di un giocattolo. Questo è il punto chiave che collega registrazione e privacy: anche un mini-drone sotto i 250 g dotato di telecamera deve essere registrato, proprio perché può riprendere persone. Al termine della registrazione l'operatore riceve un numero di registrazione univoco che va apposto in modo visibile su tutti i propri droni e caricato nel sistema di identificazione remota (Remote ID), quando previsto. La registrazione non riguarda il singolo velivolo ma l'operatore, ossia la persona o l'organizzazione responsabile dell'impiego. Il numero operatore non va confuso con il numero di serie del drone. Per l'esame base è importante saper stabilire, di fronte a un caso pratico, se un drone richiede o meno la registrazione, e ricordare che la presenza di una camera cambia la risposta anche per i modelli più leggeri.

Assicurazione di responsabilità civile per danni a terzi

L'uso di un drone può causare danni a terzi: lesioni a persone, danni a veicoli, edifici o animali. Per questo è prevista un'assicurazione di responsabilità civile verso terzi. Il quadro di riferimento europeo è il Regolamento UE 785/2004, che fissa i massimali minimi di copertura per i danni a terzi in funzione della massa dell'aeromobile: per i velivoli con massa inferiore a 500 kg, categoria in cui rientrano tutti i droni della categoria Aperta, il massimale minimo è pari a 750.000 DSP (Diritti Speciali di Prelievo, l'unità di conto del Fondo Monetario Internazionale). Il Regolamento 2019/947 richiede che l'operatore disponga di una copertura assicurativa ove richiesta dal diritto dell'Unione o nazionale. In Italia l'assicurazione RC verso terzi è obbligatoria per tutte le operazioni con droni. La polizza deve coprire l'attività effettivamente svolta e il pilota/operatore impiegato. È bene verificare che la copertura includa i rischi specifici del volo con UAS e i massimali richiesti. Volare senza assicurazione valida espone a sanzioni e, soprattutto, a dover risarcire personalmente i danni. Per l'esame ricordare il valore di riferimento di 750.000 DSP e il principio dell'obbligo di copertura.

Security: proteggere l'UAS da accessi non autorizzati, cyber e furto

La security riguarda la protezione del drone e dei suoi sistemi da interferenze e usi malevoli, ed è distinta dalla safety (sicurezza del volo). Un UAS è un sistema informatico volante e come tale è vulnerabile. Le principali minacce sono l'accesso non autorizzato al velivolo o all'app di controllo, gli attacchi informatici, il jamming (disturbo del segnale radio o GNSS) e lo spoofing (invio di falsi segnali satellitari per ingannare il posizionamento e dirottare il drone), oltre al furto fisico. Le buone pratiche difensive includono: mantenere aggiornato il firmware, usare credenziali e PIN robusti e non predefiniti, cifrare il collegamento di comando quando possibile, evitare reti Wi-Fi aperte o non affidabili per pilotare, non condividere pubblicamente il proprio numero operatore e i dati di volo, custodire il drone in luogo sicuro e annotarne il numero di serie. In volo, conoscere le procedure di sicurezza (come il rientro automatico o l'atterraggio in caso di perdita del collegamento) aiuta a reagire a interferenze. Proteggere anche i dati registrati sul velivolo o sui supporti è parte integrante della security. Per l'esame è utile saper riconoscere jamming e spoofing e le contromisure di base.

Responsabilità legali e sanzioni in caso di violazioni

L'impiego di un drone comporta responsabilità su più piani. Sul piano civile, l'operatore e il pilota rispondono dei danni causati a terzi e sono tenuti al risarcimento: per questo l'assicurazione RC è essenziale. Sul piano amministrativo, la violazione delle regole aeronautiche (Reg. UE 2019/947 e 2019/945: volo senza registrazione, in zone vietate, oltre i limiti della categoria Aperta) è sanzionata dall'autorità nazionale, in Italia ENAC, con sanzioni pecuniarie e possibile sequestro del mezzo. Sul piano della protezione dei dati, le violazioni del GDPR possono comportare sanzioni molto elevate: fino a 20 milioni di euro oppure, per le imprese, fino al 4% del fatturato mondiale annuo, a seconda di quale importo sia maggiore, irrogate dall'autorità garante. Comportamenti come riprese abusive di ambienti privati o intercettazioni possono inoltre integrare reati con conseguenze penali. Il pilota remoto resta sempre responsabile della condotta del volo e del rispetto delle regole, anche quando opera per conto di un'organizzazione. Ignorare la normativa non è una scusa. Per l'esame è importante ricordare la distinzione tra i vari tipi di responsabilità e l'entità delle sanzioni GDPR, segno di quanto la tutela dei dati sia presa sul serio.

Torna all'indice di Patentino droni A1/A3 (base) · tutti i manuali

Avvertenza: i testi sono una sintesi redazionale a scopo di studio e autovalutazione, non sono testo ufficiale e non sostituiscono i corsi, l'addestramento e gli esami previsti dalla normativa.