Dati personali raccolti mediante bodycam: applicabili le tutele del GDPR

La Corte di Giustizia UE ha emesso la sentenza C-422/24 il 18 dicembre 2025, stabilendo che i dati raccolti tramite bodycam da controllori dei trasporti (come a Stoccolma nel caso di specie) sono considerati raccolti direttamente dall'interessato, imponendo quindi l'obbligo di informare immediatamente i passeggeri (art. 13 GDPR) e non tramite l'articolo 14, poiché l'individuo è la fonte primaria dei dati. Questo significa che le aziende devono fornire trasparenza immediata sull'uso di queste telecamere, con informative chiare e proporzionate.

Il caso

Un'azienda di trasporto pubblico svedese fornisce ai propri controllori telecamere indossabili (bodycam) per filmare i passeggeri durante i controlli dei biglietti.
L'autorità svedese per la protezione dei dati ha inflitto una sanzione a tale azienda, contestandole di aver violato diverse disposizioni del regolamento generale sulla protezione dei dati (GDPR). Essa ritiene, tra l'altro, che l'uso delle bodycam abbia consentito di raccogliere dati personali direttamente dalle persone filmate, che non sono state adeguatamente informate al riguardo.
L'azienda contesta la violazione dell'obbligo di informazione. Essa sostiene di aver effettuato una raccolta indiretta dei dati, una modalità di raccolta che determina in modo diverso il momento e la portata di tale obbligo e che, a suo avviso, rende la sanzione ingiustificata.
Il giudice svedese adito di tale controversia ha chiesto alla Corte di giustizia di interpretare il GDPR.

La decisione della Corte

La Corte risponde che, poiché i dati ottenuti tramite bodycam sono raccolti direttamente presso l'interessato, quest'ultimo deve ricevere immediatamente determinate informazioni.
Infatti, la qualificazione di una raccolta di dati come «diretta» non richiede né che l'interessato fornisca consapevolmente dati né alcuna azione particolare da parte sua. Pertanto, i dati derivanti dall'osservazione della persona che ne è la fonte sono considerati raccolti direttamente presso di essa.
La seconda ipotesi, quella relativa alla raccolta indiretta di dati, si applica quando il titolare del trattamento non è in contatto diretto con l'interessato e ottiene i dati a partire da un'altra fonte.
In caso di raccolta di dati direttamente presso l'interessato, l'obbligo di informazione può essere attuato nell'ambito di un approccio a più livelli:

• Primo livello: un cartello o un avviso ben visibile che indichi l'uso delle bodycam e le informazioni essenziali (titolare, finalità, base giuridica).
• Secondo livello: informazioni complete e facilmente accessibili tramite QR code, sito web o documentazione disponibile a bordo.

Le informazioni più importanti possono essere indicate su un cartello di avvertenze. Le altre informazioni obbligatorie possono essere fornite all'interessato, in modo adeguato e completo, in un luogo facilmente accessibile.

Fonte: CGUE 18 dicembre 2025 n. 422/24