5' di lettura
5' di lettura
Trattamento dei dati, telecamere, sistemi di riconoscimento facciali e contratti cinesi nei Balcani. Tutti elementi con i quali misurare l’allargamento dell’Ue. La Serbia è il caso più avanzato e documentato: Huawei ha avviato un progetto Safe City destinato a Belgrado e potenzialmente all’intero Paese, mentre la Commissione europea continua a contestare l’assenza di garanzie sull’uso della biometria. Per l’Italia non è una vicenda periferica. Riguarda l’Adriatico, le infrastrutture europee, la cooperazione di polizia, i corridoi logistici e la credibilità dell’allargamento.
Nel gennaio 2019 una pubblicazione di Huawei affermava che il ministero dell’Interno serbo intendeva sviluppare una «leading Safe City» capace di coprire Belgrado e, in prospettiva, l’intero Paese. Una piattaforma integrata non coincide solo con l’acquisto di telecamere: può comprendere sensori, reti, server, archivi, software di comando, riconoscimento facciale, lettura delle targhe, analisi dei movimenti, manutenzione e collegamenti con banche dati pubbliche. È l’integrazione, non il dispositivo ottico, a trasformare la videosorveglianza in infrastruttura strategica. Ciò che è stato realmente attivato potrebbe essere meno trasparente rispetto a quanto progettato. L’8 novembre 2023 la Commissione europea riferì che, dopo i pareri negativi del Commissario serbo per l’informazione di interesse pubblico e la protezione dei dati sulla valutazione d’impatto del ministero dell’Interno, Belgrado aveva dichiarato di avere sospeso il trattamento dei dati biometrici in attesa di una base giuridica. Il 30 ottobre 2024 Bruxelles rilevò che la base giuridica non era ancora stata sviluppata e che occorreva verificare se la Serbia avesse trattato dati personali mediante riconoscimento facciale. Il rapporto del 4 novembre 2025 ha poi giudicato la normativa serba soltanto prevalentemente allineata al GDPR e alla direttiva europea sul trattamento dei dati da parte delle autorità di polizia, difficile da applicare e ancora carente sul piano sanzionatorio. Non esiste la prova che Pechino riceva dati biometrici serbi. Esiste però un problema istituzionale già grave: l’Europa non dispone ancora di una rappresentazione pubblica completa delle funzioni installate, attive o utilizzate. Una telecamera registra un volto anonimo. Un algoritmo lo trasforma in un vettore biometrico. Una banca dati gli assegna una possibile identità. La correlazione fra più telecamere ne ricostruisce gli spostamenti. Il collegamento con targhe, documenti, archivi di polizia o movimenti di frontiera trasforma infine la presenza nello spazio pubblico in una storia personale interrogabile.
Il punto più delicato è la manutenzione. Questi sistemi dipendono da aggiornamenti del firmware, rinnovi delle licenze, certificati digitali, ottimizzazione degli archivi e interventi tecnici. Gli account di assistenza possono possedere privilegi superiori a quelli degli operatori di polizia. Se il fornitore conserva il controllo esclusivo sugli aggiornamenti, sulle chiavi di recupero o sui formati proprietari, lo Stato possiede formalmente il sistema ma non ne controlla integralmente la continuità. Il rapporto annuale Huawei 2025 indica che il gruppo ha valutato i rischi cyber e privacy di oltre 4.000 fornitori e dispone di più di 890 certificazioni di sicurezza e protezione dei dati. Sono indicatori rilevanti della governance aziendale, ma non certificano la configurazione di una specifica centrale operativa balcanica. La sicurezza dichiarata dal gruppo e quella verificata nel singolo impianto restano due livelli distinti.
Le proteste iniziate in Serbia dopo il crollo della pensilina della stazione di Novi Sad del 1° novembre 2024, costato la vita a 16 persone, si sono trasformate in una mobilitazione nazionale per trasparenza e responsabilità. Nell’agosto 2025 esperti delle Nazioni Unite hanno riferito accuse di intimidazioni, aggressioni e sorveglianza nei confronti del movimento studentesco. Si tratta di contestazioni da investigare, non di sentenze né di attribuzioni alla piattaforma Huawei. Nel 2026 l’Assemblea parlamentare del Consiglio d’Europa ha espresso preoccupazione per le rivelazioni riguardanti la sorveglianza di giornalisti e attivisti serbi, chiedendo indagini efficaci e responsabilità. Il Regolamento UE 2024/1689, pubblicato il 12 luglio 2024, disciplina sia l’identificazione biometrica remota in tempo reale sia quella successiva all’evento. L’AI Act considera particolarmente invasivo il riconoscimento in tempo reale negli spazi pubblici per finalità di polizia e lo ammette soltanto entro condizioni ed eccezioni rigorose. La maggior parte della disciplina è divenuta applicabile il 2 agosto 2026, dopo l’entrata progressiva di alcune disposizioni dal febbraio e dall’agosto 2025. Il 24 luglio 2026 l’Unione ha inoltre introdotto codici specifici per identificare i sistemi biometrici soggetti all’AI Act, compresa l’identificazione remota. Il secondo pilastro è la sicurezza della filiera. Il 13 febbraio 2026, il gruppo di cooperazione NIS — Stati membri, Commissione ed ENISA — ha adottato l’ICT Supply Chain Security Toolbox: valutazione dei fornitori critici, strategie multi-vendor e riduzione delle dipendenze da operatori ad alto rischio. Per i Paesi candidati, la videosorveglianza diventa così materia di adesione. Non basterà approvare leggi formalmente europee: occorrerà dimostrare quali moduli siano installati, quali banche dati risultino collegate, chi controlli gli aggiornamenti e se il sistema possa funzionare senza il fornitore originario.
La Serbia è il caso più documentato, non l’unico ambiente vulnerabile. Nel 2025 la Commissione ha rilevato che la normativa del Montenegro sulla protezione dei dati non era ancora allineata alle norme Ue; che in Macedonia del Nord persistevano bassa consapevolezza e protezioni informatiche insufficienti negli organismi pubblici; che in Albania il Total Information Management System continuava a presentare vulnerabilità di sicurezza e tutela dei dati. Stati candidati destinati a integrarsi progressivamente nello spazio europeo potrebbero collegare infrastrutture non pienamente verificabili a sistemi di frontiera, identità digitale, cooperazione giudiziaria e scambio informativo. L’allargamento, senza convergenza tecnica, importerebbe vulnerabilità oltre a nuovi membri.
