Ordinanza ingiunzione o revoca n. 271 del 17/04/2026

Comune di Cogoleto – uso di bodycam della Polizia Locale in violazione della disciplina privacy e lavoristica

Il Garante ha esaminato il trattamento di dati personali effettuato dal Comune di Cogoleto mediante bodycam assegnate agli agenti di Polizia Locale. Il procedimento è stato avviato a seguito di segnalazione e ha riguardato sia i dati dei lavoratori dotati dei dispositivi sia quelli dei soggetti eventualmente ripresi durante il servizio.

Origine del procedimento e istruttoria

Dall’istruttoria è emerso che il Comando di Polizia Locale aveva acquistato in via sperimentale quattro dispositivi audio/video portatili, di cui due in uso e due di riserva, con finalità di deterrenza e di documentazione di situazioni di rischio per l’incolumità degli agenti, in particolare in caso di aggressioni fisiche, frasi gravemente oltraggiose o minacciose. Il Comune ha riferito di aver stipulato un accordo quadro in materia di videosorveglianza con le rappresentanze sindacali nel 2017, di aver pubblicato un’informativa sul sito web e di non aver ritenuto necessario svolgere una DPIA, poiché non avrebbe riscontrato un rischio elevato immediato.

Successivamente, in sede difensiva, il Comune ha dichiarato di aver sospeso l’uso delle bodycam dopo la richiesta di informazioni del Garante, che i dispositivi erano stati attivati solo in due occasioni e che i filmati erano stati trasmessi alla Procura della Repubblica insieme alla notizia di reato relativa a fatti commessi in danno di un operatore di Polizia locale.

Liceità del trattamento e disciplina applicabile ai luoghi di lavoro

Il Garante ha ricostruito il trattamento come attività idonea a incidere sul diritto alla protezione dei dati sia dei lavoratori che indossano le bodycam sia dei soggetti ripresi. Ha quindi richiamato il principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR e le condizioni di liceità di cui all’art. 6 GDPR.

Poiché le bodycam erano utilizzate per prevenire e documentare situazioni di pericolo sul luogo di lavoro, l’Autorità ha ritenuto applicabile la disciplina dell’art. 4 della l. 300/1970, che consente strumenti dai quali derivi anche la possibilità di controllo a distanza solo per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, previo accordo sindacale o autorizzazione dell’Ispettorato nazionale del lavoro. Tale disciplina, considerata specificazione nazionale dell’art. 88 GDPR, è stata ritenuta condizione di liceità anche nel settore pubblico.

Il Garante ha escluso che l’accordo quadro del 2017 potesse valere come base legittimante, poiché riguardava impianti di videosorveglianza esterni alla sede municipale e non le bodycam. È stato inoltre precisato che il consenso dei lavoratori non può sostituire le garanzie collettive previste dall’art. 4 Statuto dei lavoratori, né costituire, di regola, base giuridica sufficiente nel rapporto di lavoro, soprattutto in presenza di un titolare pubblico.

Violazione della trasparenza e dell’informativa

Il Garante ha rilevato la mancata dimostrazione da parte del Comune di aver fornito un’informativa specifica agli agenti di Polizia locale cui erano assegnate le bodycam, in violazione degli artt. 12, par. 1, e 13 GDPR, oltre che del principio generale di trasparenza.

Anche nei confronti degli eventuali terzi ripresi non è stata ritenuta adeguata la semplice indicazione di un link a una pagina web esterna, priva di prova documentale dell’informativa e non specificamente riferita alle bodycam. L’Autorità ha osservato che tale pagina non era agevolmente reperibile sul sito istituzionale del Comune e che, comunque, non risultava contenere un’informativa specifica per l’uso dei dispositivi indossabili da parte della Polizia Locale.

Omessa valutazione di impatto sulla protezione dei dati

Secondo il Garante, il trattamento avrebbe imposto una valutazione di impatto ex art. 35 GDPR prima dell’avvio, trattandosi di trattamento suscettibile di presentare un rischio elevato per i diritti e le libertà degli interessati. La necessità della DPIA è stata motivata con riferimento alla vulnerabilità dei lavoratori nel contesto occupazionale e al fatto che l’uso delle bodycam integra un monitoraggio sistematico in ambito lavorativo.

Il Comune non ha tuttavia provato di aver effettuato alcuna valutazione preventiva, con conseguente violazione dell’art. 35 GDPR.

Valutazione complessiva dell’illiceità

All’esito dell’istruttoria, il Garante ha concluso che il Comune aveva effettuato un trattamento illecito dei dati personali mediante bodycam in violazione degli artt. 5, par. 1, lett. a), 6, 12, par. 1, 13, 35 e 88 GDPR, nonché degli artt. 2-ter e 114 del Codice privacy, in riferimento all’art. 4 della l. 300/1970.

L’Autorità ha ritenuto che le dichiarazioni difensive del Comune, pur valutabili, non fossero sufficienti a superare i rilievi contestati e a giustificare l’archiviazione. È stata inoltre richiamata l’unitarietà della condotta, che ha condotto all’applicazione dell’art. 83, par. 3, GDPR.

Sanzione e criteri di quantificazione

Considerato che le violazioni più gravi ricadevano nell’art. 83, par. 5, GDPR, il Garante ha individuato un tetto massimo teorico fino a 20 milioni di euro, ma ha poi quantificato la sanzione in concreto in misura molto inferiore.

Ai fini della determinazione dell’importo, sono stati valorizzati:

• il carattere sperimentale e limitato del trattamento, con due sole bodycam utilizzate in due occasioni;
• la finalità di documentare episodi di reato ai danni di agenti di Polizia locale e di mettere i filmati a disposizione dell’autorità giudiziaria;
• la natura colposa della violazione;
• l’assenza di dati particolari ex art. 9 GDPR;
• la collaborazione del Comune durante l’istruttoria;
• la spontanea interruzione dell’uso delle bodycam;
• l’assenza di precedenti violazioni pertinenti;
• le ridotte dimensioni del Comune e le limitate risorse organizzative ed economiche.

Sulla base di tali elementi, è stata irrogata una sanzione amministrativa pecuniaria di euro 4.000, ritenuta effettiva, proporzionata e dissuasiva.

Provvedimenti finali e mezzi di impugnazione

Il Garante ha dichiarato l’illiceità del trattamento e ha ordinato al Comune di pagare la sanzione di euro 4.000. È stato ricordato che il contravventore può definire la controversia pagando entro 30 giorni la metà della sanzione comminata.

È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, nonché la pubblicazione del provvedimento e l’annotazione delle violazioni nel registro interno dell’Autorità. Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.