Se sei entrato allo stadio Olimpico di Roma tra il 2021 e il 2025, con ogni probabilità il tuo volto è stato fotografato sette volte prima ancora che tu trovassi il tuo posto. Sette scatti a testa, conservati per sette giorni insieme ai dati stampati sul biglietto: nome, cognome, data e luogo di nascita, posto, fila, settore. Non è un’ipotesi da distopia: è quanto ricostruisce l’inchiesta di IrpiMedia firmata da Rosita Rijtano e pubblicata il 9 settembre 2026, costruita su richieste di accesso agli atti e documenti finora inediti. La stessa testata che, già nel 2023, aveva rivelato per prima l’esistenza di quel sistema.
Il punto è che tutto questo è avvenuto senza una legge che lo permettesse. Nel maggio 2025 il Garante per la protezione dei dati personali ha messo nero su bianco che le telecamere «intelligenti» della casa di Roma e Lazio erano state usate «nella perdurante assenza di un’adeguata base giuridica», e ha chiesto al Viminale di spegnere tutto. Il ministero ha obbedito il giorno dopo. Sembrerebbe la fine della storia, e invece è appena l’inizio: il 4 agosto 2026 il governo ha approvato in via definitiva un decreto legislativo che quella base giuridica potrebbe fornirla. A cose fatte. Dopo quattro anni di fotografie e circa 149 mila euro di spesa pubblica.
Quattro anni di fotografie senza una legge che le autorizzasse
Facciamo un passo indietro, perché la sequenza conta più di ogni singolo dettaglio tecnico. Il sistema viene installato nel 2021 e resta operativo fino al 2025: ogni volta che veniva attivato, le telecamere agli ingressi scattavano quelle sette fotografie a chiunque passasse. Un archivio potenzialmente enorme, alimentato attraverso «un trattamento illecito dei dati», sostiene l’avvocato Francesco Paolo Micozzi, esperto di diritti digitali interpellato da IrpiMedia. E qui non stiamo parlando di una banca dati di sospetti: stiamo parlando di chiunque, tifosi, famiglie, bambini, gente che era lì per vedere una partita. Chi entra allo stadio non ha alternative — o accetti di essere fotografato, o resti fuori. Il consenso, in un contesto del genere, è una parola vuota.
Micozzi mette il dito esattamente dove fa male, e vale la pena riportarlo per intero:
«L’ordinamento europeo non ammette una compressione generalizzata dei diritti fondamentali per soddisfare l’esigenza di individuare una singola persona sospettata di un reato grave».
La ragione per cui questa storia riguarda tutti, e non solo chi va allo stadio, la spiega ancora l’avvocato: la stessa logica di controllare indiscriminatamente chiunque partecipi a un evento «rischia di essere applicata anche a manifestazioni LGBTQIA+, incontri religiosi o riunioni sindacali». In quei casi identificare i presenti significa rivelarne l’orientamento sessuale, la fede, l’appartenenza a un sindacato. E soprattutto significa produrre un effetto che non lascia tracce nei verbali: sapere di poter essere sorvegliati «potrebbe spingere molte persone a non partecipare a un’iniziativa per timore di subire discriminazioni o persecuzioni». La sorveglianza non ha bisogno di arrestare nessuno per funzionare. Le basta essere possibile. È lo stesso meccanismo che abbiamo visto all’opera con il controllo preventivo delle chat in Europa: si sposta il confine di ciò che è normale, e il resto lo fa l’autocensura.
Il Garante arriva tardi, il Viminale rassicura fino al giorno prima
La cronologia è il pezzo più imbarazzante di tutta la vicenda. La prima ispezione del Garante sul prodotto sviluppato per l’Olimpico da Reco 3.26 risale all’8 agosto 2024: tre anni dopo l’installazione, quando il sistema era già stato potenziato. Una seconda verifica, il 27 gennaio 2025, accerta che la macchina continuava a girare: aveva immagazzinato i volti di tutti gli spettatori di Lazio-Real Sociedad del 23 gennaio e di Lazio-Fiorentina del 26. Il 20 marzo 2025 il ministro dell’Interno Matteo Piantedosi, rispondendo in Senato a un’interrogazione del senatore Filippo Sensi, assicura che la tecnologia usata all’Olimpico rispetta le norme sulla privacy. Il 14 aprile Reco 3.26 si aggiudica altri 72 mila euro per la manutenzione del «Sistema di Safety & Security installato presso lo Stadio Olimpico Roma» fino a fine anno. Settanta giorni dopo le rassicurazioni in Senato, e quarantacinque dopo quell’appalto, il Viminale deve sospendere tutto.
L’email del Garante è del 28 maggio 2025, classificata come «urgentissima», e chiede di fermare qualsiasi uso della tecnologia «prima di dover, eventualmente, prendere i provvedimenti necessari». Tradotto: smettete adesso, o passiamo alle sanzioni. Il ministero accoglie il giorno successivo. L’istruttoria per verificare le violazioni e valutare eventuali sanzioni, però, a oggi non si è ancora conclusa. Viminale, Sport e Salute e Reco 3.26, contattati più volte da IrpiMedia, non hanno rilasciato dichiarazioni. Il commento di Micozzi su questa catena di decisioni è secco: «Chi doveva decidere ha ignorato gli aspetti relativi alla protezione dei dati personali o li ha valutati in modo sbagliato». Il diritto alla privacy trattato come fanalino di coda, come un ostacolo all’innovazione anziché come una tutela.
Chi ha comprato cosa, comunque, è utile saperlo. Ad acquistare il sistema con affidamento diretto è stata Sport e Salute, la società controllata dal ministero dell’Economia e delle Finanze che gestisce lo stadio e il Foro Italico. Lo sviluppo è andato a Reco 3.26, azienda nata nel 2018 in provincia di Lecce e già nota alle forze dell’ordine: è la stessa che produce Sari Enterprise, l’unico sistema di riconoscimento facciale di cui sia noto l’impiego da parte della polizia italiana, una specie di motore di ricerca per volti che pesca nell’Afis, l’archivio del Viminale con foto e impronte di chi è già stato identificato. Per l’Olimpico, però, la determina del 2021 parlava d’altro: un sistema «chiavi in mano, denominato Real time face identification system», capace «di analizzare i flussi video delle telecamere per riconoscere automaticamente i volti presenti». Una descrizione che ricorda da vicino Sari Real Time, tecnologia della stessa azienda che il Garante aveva bocciato proprio nel 2021 perché sproporzionata.
E qui restano due buchi, entrambi decisivi e nessuno dei due chiarito. Il primo: il documento del 2021 descrive un prodotto «real time», mentre davanti agli ispettori un rappresentante di Sport e Salute ha sostenuto che la versione in uso in tempo reale non funzionasse davvero — i documenti aggiornati promessi all’autorità non sono mai arrivati a IrpiMedia. Il secondo, più pesante: non si sa in quale momento venissero creati i dati biometrici, cioè le impronte matematiche del volto. Se all’ingresso, il sistema costruiva una banca dati biometrica temporanea di tutti gli spettatori, compresi quelli che non c’entravano nulla con nessun episodio violento — quella che lo stesso Garante ha già definito altrove «sorveglianza indiscriminata, di massa». Se invece solo dopo un reato, saremmo su un altro piano. Secondo una fonte qualificata sentita da IrpiMedia sotto anonimato, è esattamente qui la differenza rispetto al sistema autorizzato nel 2016, che quella raccolta preventiva non la prevedeva. Sul resto, il Viminale si è opposto a fornire informazioni: le risposte, dice, provocherebbero un «pregiudizio concreto per l’ordine e la sicurezza pubblici». Comodo.
Il laboratorio Olimpico: 22mila volti nel 2014, cinque obiettivi
Lo stadio come banco di prova non è una novità del 2021. Un video ottenuto in esclusiva da IrpiMedia riprende una presentazione riservata a forze dell’ordine e autorità governative, tenuta il 3 giugno 2026 all’ISS World Europe di Praga — una fiera a porte chiuse dove le aziende di sorveglianza incontrano i potenziali acquirenti. Sul palco c’è un manager di Sio, società che fornisce sistemi di intercettazione alle procure italiane. Alle sue spalle, la foto degli spalti dell’Olimpico, con i volti dei tifosi della Roma riconoscibili dalle maglie. La frase che pronuncia è di quelle che meritano di essere lette due volte:
«Queste sono 22mila persone e noi le abbiamo identificate tutte per individuare cinque target».
Ventiduemila persone passate al setaccio per cinque. Interpellata da IrpiMedia, è Zenita Group — il gruppo che dal 2022 riunisce Sio e Sind, l’azienda che quella tecnologia l’aveva sviluppata — a collocare l’episodio: «un test del 2014», dice un portavoce, aggiungendo che «l’affermazione secondo cui sarebbero state identificate 22mila persone è un’imprecisione comunicativa». Nessuna identificazione generalizzata, assicura la società: il sistema confronterebbe i volti solo con i soggetti segnalati dalle autorità. Resta però senza risposta la domanda più ovvia, e cioè perché un’azienda porti a una fiera del 2026 un caso del 2014, limitandosi a precisare di essere oggi «guidata da un management completamente rinnovato». Va anche detto che nel 2014 Sind era controllata da Enrico Fincati e Nicola Franzoso, usciti dal consiglio di amministrazione lo scorso aprile pur mantenendo l’11,25 per cento della società: i due sono indagati dalla procura di Roma — che ha emesso nei loro confronti un decreto di perquisizione — per aver venduto alla Presidenza del Consiglio un software a prezzo maggiorato, contratto ottenuto, secondo l’accusa, grazie ai rapporti con Giuseppe Del Deo, ex vicedirettore del Dipartimento delle informazioni per la sicurezza. Contattati, non hanno risposto.
C’è un dettaglio che dice tutto sul modo in cui queste tecnologie entrano nella vita pubblica: prima di sperimentare un sistema del genere in un luogo aperto al pubblico sarebbe servita una verifica preliminare del Garante, come prevedevano il Codice della privacy e un provvedimento del 2010 che già allora definiva questi strumenti «particolarmente invasivi sulla sfera di autodeterminazione dell’interessato e di conseguenza sul suo comportamento». Il Garante, però, dichiara a IrpiMedia di non essersi «mai occupato del riconoscimento facciale di Sind». Nessuno ha chiesto il permesso. Nessuno l’ha dato. Il test si è fatto lo stesso, e dodici anni dopo è finito in una slide per vendere il prodotto. È la parabola della sorveglianza che si costruisce sul corpo delle persone senza mai passare da una discussione pubblica.
Un decreto che arriva dopo, e che vale ben oltre lo stadio
Veniamo all’oggi. Secondo una fonte qualificata sentita da IrpiMedia, il decreto legislativo approvato il 4 agosto 2026 dovrebbe servire proprio a colmare la lacuna contestata dal Garante e poi ammessa dallo stesso Viminale. Sul come, c’è stato un braccio di ferro tra le due istituzioni. Nella versione iniziale il testo permetteva di trasformare automaticamente in dati biometrici i volti di tutte le persone presenti in luoghi o eventi considerati sensibili — partite, concerti, cortei — tenendoli a disposizione delle forze dell’ordine per sette giorni. Il Garante, nel parere del 14 luglio, ha risposto che una soluzione simile «non appare coerente» con l’AI Act, il regolamento europeo che vieta il riconoscimento facciale in tempo reale nei luoghi pubblici salvo eccezioni che ogni Stato deve regolare per legge.
Dopo le critiche il governo ha cambiato meccanismo con un escamotage. Secondo quanto ricostruito da Ansa e Cybersecurity Italia, la legge ammetterebbe sistemi che fotografano e conservano per sette giorni i volti di tutte le persone che entrano, senza però trasformarli subito in dati biometrici: quel passaggio avverrebbe solo dopo un reato. Detto in parole povere, non sarebbe più preventiva la creazione della banca dati biometrica, ma resterebbe preventiva la raccolta delle fotografie da cui quei dati si ricavano. La differenza è reale sul piano giuridico e sottilissima su quello pratico: le immagini vengono comunque scattate e archiviate, e la trasformazione è a un clic di distanza. Palazzo Chigi assicura che l’identificazione in tempo reale sarà ammessa solo «in casi eccezionali, per periodi limitati e previa autorizzazione dell’autorità giudiziaria», e di aver precisato obblighi di cancellazione e limiti alle banche dati. Ma non dice chi dovrà autorizzare ogni singolo utilizzo, né come funzionerà la raccolta delle immagini. Il testo non è ancora in Gazzetta Ufficiale e non è in vigore: quali garanzie siano state davvero introdotte, semplicemente, non lo sappiamo.
Che la posta in gioco non sia il calcio lo dice bene la Rete Diritti Umani Digitali, la coalizione che riunisce The Good Lobby, Privacy Network, StraLi, Amnesty International Italia, Hermes Center, Period Think Tank, Antigone, Sloweb, Italiani Senza Cittadinanza e Comunicazione pubblica:
«Per anni gli stadi sono stati utilizzati come laboratorio della sorveglianza biometrica su larga scala e adesso questa tecnologia verrà portata al di fuori, nelle piazze, nei luoghi della democrazia».
Anche il test sui 22mila tifosi, per la coalizione, non è un incidente isolato ma «una finestra su un futuro ormai vicinissimo». Ed è esattamente così che funziona il collaudo del controllo: si comincia da un posto dove nessuno protesta troppo, perché in fondo è solo una partita e la sicurezza negli stadi è un tema su cui è facile mettere d’accordo tutti. Poi la stessa infrastruttura si sposta di qualche isolato, e ti ritrovi le telecamere puntate su un presidio davanti a una fabbrica. Nessuno ha mai votato per questo. Nessuno ce l’ha chiesto.
Resta la domanda che Micozzi lascia in sospeso e a cui nessuno, allo stato, può rispondere: «Chi ci assicura che siano stati effettivamente cancellati?». Quei dati potrebbero essere stati violati, anche da dipendenti infedeli, oppure — osserva l’avvocato — «essere già stati condivisi con altre autorità europee, rendendo difficile ricostruirne la circolazione e ottenerne la cancellazione». Un decreto approvato nel 2026 non cancella quattro anni di fotografie scattate senza titolo, non restituisce niente a nessuno e non chiude nessun conto. Sana il futuro, semmai. E intanto all’Olimpico l’impianto è lì, spento ma installato, che aspetta solo il timbro giusto per ripartire. La lezione da portarsi a casa è che, quando si tratta di sorveglianza, la tecnologia arriva sempre prima della legge — e la legge, quando arriva, tende ad assomigliare molto a quello che nel frattempo è già stato fatto. Il lavoro di chi documenta queste cose, come il progetto #Sorveglianze di IrpiMedia, è l’unica ragione per cui ne stiamo parlando invece di scoprirlo tra dieci anni in una slide a una fiera di Praga.