Ordinanza ingiunzione o revoca n. 165 del 27/03/2025

Comune di Milazzo - informativa privacy non conforme nei verbali per violazioni al Codice della strada

Il provvedimento riguarda il trattamento di dati personali svolto dal Comando di Polizia locale del Comune di Milazzo nell'ambito delle procedure di accertamento e contestazione delle violazioni al Nuovo Codice della strada. Il Garante è intervenuto a seguito di reclami di più interessati che lamentavano l'assenza di un'informativa adeguata nei verbali notificati.

Origine del procedimento e attività istruttoria

I reclami, presentati ai sensi dell'art. 77 GDPR, avevano il medesimo oggetto: la presunta violazione degli obblighi informativi da parte del Comune. I verbali di contestazione contenevano una sezione denominata "Informativa privacy", ma il suo contenuto era sostanzialmente limitato a un rinvio generico al Regolamento UE 2016/679 e alla possibilità di consultare l'informativa sul sito istituzionale o presso le sedi del Corpo di Polizia locale.

Nel corso dell'istruttoria, il Comune ha riferito di avere già adottato misure migliorative nella modulistica e di avere aggiornato l'informativa online. Ha anche sostenuto che le informazioni fossero comunque reperibili sul sito o presso gli uffici e che non vi fossero stati danni per i cittadini.

Quadro normativo richiamato

Il Garante ha richiamato in particolare:

• l'art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• gli artt. 12, 13 e 14 GDPR, in tema di modalità e contenuto dell'informativa;
• l'art. 6 GDPR e l'art. 2-ter del Codice privacy, per i trattamenti effettuati da soggetti pubblici nell'esercizio di pubblici poteri;
• l'art. 58, par. 2, lett. d) e i), GDPR, per le misure correttive e la sanzione;
• l'art. 83 GDPR, per i criteri sanzionatori.

Valutazioni sulla non conformità dell'informativa

L'Autorità ha ritenuto che l'informativa di primo livello riportata nei verbali non fosse conforme ai requisiti di trasparenza, perché consisteva in un mero rinvio alla consultazione online o presso gli uffici, senza fornire le informazioni essenziali sul trattamento.

Per l'informativa estesa pubblicata sul sito, il Garante ha evidenziato diversi profili di criticità:

• riferimenti normativi non aggiornati;
• utilizzo del consenso come base giuridica, talvolta indicato persino come "obbligatorio", in un contesto in cui il trattamento è svolto da un'autorità pubblica nell'esercizio di pubblici poteri;
• difficoltà di reperimento dell'informativa, a causa della presenza di più sezioni e documenti simili sul sito;
• disomogeneità nei dati di contatto del Responsabile della protezione dei dati tra le diverse sezioni del portale.

Il Garante ha inoltre osservato che l'indicazione del "Sindaco quale Titolare del Trattamento" nell'informativa di primo livello non era corretta, richiamando i chiarimenti del Comitato europeo per la protezione dei dati sul fatto che il titolare è normalmente l'organizzazione e non una persona fisica interna all'ente.

Esito: illecito del trattamento e violazioni accertate

All'esito dell'istruttoria, il Garante ha confermato che il Comune ha violato:

• l'art. 5, par. 1, lett. a), GDPR;
• l'art. 12 GDPR;
• l'art. 13 GDPR.

È stata quindi accertata l'illiceità del trattamento per mancata preventiva e idonea informativa agli interessati, con conseguente applicazione dell'art. 83, par. 5, GDPR.

Misure correttive ingiunte

Ai sensi dell'art. 58, par. 2, lett. d), GDPR, il Garante ha ordinato al Comune di:

• inserire i corretti riferimenti al titolare del trattamento nell'informativa di primo livello;
• rendere l'informativa di secondo livello facilmente reperibile e accessibile;
• eliminare eventuali informative obsolete o duplicate;
• indicare in modo omogeneo e coerente i dati di contatto del DPO nelle diverse sezioni del sito;
• riorganizzare il sito per evitare percorsi di navigazione troppo complessi e la cosiddetta "click fatigue".

Il Comune deve inoltre comunicare entro trenta giorni dalla notifica del provvedimento le iniziative adottate per conformarsi all'ordine impartito.

Sanzione amministrativa pecuniaria

Il Garante ha qualificato la violazione come unitaria ai sensi dell'art. 83, par. 3, GDPR, ritenendo applicabile il tetto edittale previsto per la violazione più grave. Poiché le violazioni accertate ricadono tutte nell'art. 83, par. 5, GDPR, l'importo massimo astrattamente applicabile era pari a 20 milioni di euro.

Nella quantificazione concreta sono stati considerati:

• la gravità media della violazione, per l'omessa informazione essenziale agli interessati;
• l'assenza di danni comprovati;
• il carattere colposo della condotta;
• l'assenza di precedenti violazioni pertinenti;
• la cooperazione del Comune, che ha adottato alcune misure correttive in corso di istruttoria.

Sulla base di tali elementi, la sanzione è stata determinata in euro 3.600,00.

Ulteriori disposizioni

Il provvedimento dispone anche:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito web dell'Autorità;
• l'annotazione nel registro interno dell'Autorità.

È inoltre ricordata la possibilità di proporre ricorso davanti all'autorità giudiziaria ordinaria entro trenta giorni dalla comunicazione del provvedimento, o sessanta giorni se il ricorrente risiede all'estero.