Ordinanza ingiunzione o revoca n. 33 del 24/01/2024

Comune di Salento: tardivo riscontro al Garante e tardiva consegna di immagini di videosorveglianza

Il provvedimento riguarda il Comune di Salento, destinatario di una sanzione amministrativa pecuniaria per avere tardato sia nel riscontrare una richiesta di informazioni del Garante sia nell’eseguire l’ordine di fornire all’interessato copia di immagini riprese da un sistema di videosorveglianza. Il procedimento si inserisce nel seguito di un precedente provvedimento del 20 ottobre 2022, con cui l’Autorità aveva già sanzionato l’Ente e gli aveva imposto di soddisfare la richiesta dell’interessato entro 30 giorni.

Origine della vicenda e precedente provvedimento

Con il provvedimento n. 341 del 20 ottobre 2022 il Garante aveva accertato che il Comune aveva illegittimamente subordinato l’accesso alle immagini di videosorveglianza al pagamento di una somma ritenuta eccessiva, in violazione degli artt. 12 e 15 GDPR. Con lo stesso atto l’Autorità aveva ingiunto, ai sensi degli artt. 12, parr. 1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), GDPR, di fornire gratuitamente all’interessato, entro 30 giorni dalla notifica, copia delle immagini richieste oppure di rappresentare motivi ostativi, con riscontro documentato anche all’Autorità.

Il provvedimento è stato notificato al Comune il 7 novembre 2022, ma l’Ente non ha trasmesso alcun riscontro nel termine fissato, scaduto il 7 dicembre 2022.

Attività istruttoria successiva

A seguito del mancato riscontro, il Garante ha chiesto chiarimenti con nota del 16 dicembre 2022. Il giorno successivo il difensore dell’interessato ha segnalato che il Comune non aveva ottemperato all’ordine di invio delle immagini.

Solo con messaggio del 16 gennaio 2023 il Comune ha riferito di aver contattato la ditta affidataria del servizio di videosorveglianza, cessato il 31 dicembre 2022, per verificare la disponibilità delle immagini, senza ricevere risposta. Con successivo messaggio del 3 febbraio 2023 ha dichiarato di avere un supporto contenente il filmato, ma di ritenere impossibile inviarlo senza l’autorizzazione delle altre persone riprese. Infine, con messaggio del 15 febbraio 2023 ha comunicato di avere consegnato il filmato il 14 febbraio 2023 al difensore dell’interessato, tramite la Polizia Locale, allegando verbale di consegna sottoscritto per ricevuta.

Valutazioni del Garante sulle violazioni

L’Autorità ha ritenuto che il Comune avesse violato:

• l’art. 157 Codice privacy, in connessione con l’art. 58, par. 1, lett. a), GDPR, per non avere fornito entro 30 giorni un riscontro adeguatamente documentato sulle iniziative intraprese o sulle ragioni ostative all’adempimento;
• l’art. 58, par. 2, lett. c), GDPR, per non avere ottemperato tempestivamente all’ordine di soddisfare la richiesta dell’interessato.

Il Garante ha evidenziato che il Comune ha fornito un primo riscontro solo il 16 gennaio 2023 e un riscontro completo il 15 febbraio 2023, quindi molto oltre il termine assegnato, e che la consegna del filmato è avvenuta il 14 febbraio 2023, con un ritardo di 69 giorni rispetto al termine del 7 dicembre 2022.

Regime sanzionatorio applicato

Le violazioni sono state ricondotte all’art. 83, par. 5, GDPR, richiamato dall’art. 166, comma 2, Codice privacy, con sanzione massima astrattamente pari a 20 milioni di euro. Poiché le violazioni derivavano da un’unica condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, secondo cui l’importo totale non può superare quello previsto per la violazione più grave.

Quantificazione della sanzione

Nella determinazione dell’importo, il Garante ha considerato:

• la natura, gravità e durata della violazione, ritenuta elevata perché il Comune ha ulteriormente compresso il diritto di accesso già tutelato con il precedente provvedimento;
• il carattere doloso dell’omissione;
• il disvalore della condotta, vista come sostanziale disconoscimento del ruolo e dei poteri dell’Autorità;
• l’assenza di precedenti violazioni pertinenti;
• l’attivazione del titolare dopo la contestazione per porre fine alla violazione;
• la modesta dimensione dell’Ente, con meno di cinquemila abitanti.

Alla luce di tali elementi, il Garante ha irrogato una sanzione di 8.000 euro, ritenuta effettiva, proporzionata e dissuasiva.

Esito finale e misure accessorie

Poiché il Comune aveva comunque adempiuto, sia pure tardivamente, il Garante ha escluso l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR. Ha tuttavia disposto la pubblicazione del provvedimento sul sito web dell’Autorità, ai sensi dell’art. 166, comma 7, Codice privacy e dell’art. 16 del Regolamento del Garante n. 1/2019.

Dispositivo

Il Garante:

• ha dichiarato illecita la condotta del Comune di Salento, per violazione degli artt. 58, par. 2, lett. c), GDPR, e 157 Codice privacy, in connessione con l’art. 58, par. 1, lett. a), GDPR;
• ha ordinato il pagamento di 8.000 euro;
• ha ricordato la facoltà di definizione agevolata della controversia mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, Codice privacy;
• ha ingiunto il pagamento entro 30 giorni dalla notificazione, in mancanza di definizione agevolata;
• ha disposto la pubblicazione del provvedimento sul sito del Garante;
• ha indicato la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni, o 60 se il ricorrente risiede all’estero.