Ordinanza ingiunzione o revoca n. 314 del 18/07/2023

Cat s.r.l.: trattamento illecito in videosorveglianza per il controllo dei rifiuti

Il Garante ha esaminato il trattamento di dati personali effettuato da Cat s.r.l. nell’ambito della gestione di un sistema di videosorveglianza installato dal Comune di Modica per contrastare l’abbandono e il non corretto conferimento dei rifiuti. Il procedimento è nato da una segnalazione e si è concluso con l’accertamento della non conformità del trattamento ai principi del GDPR, con conseguente ordinanza ingiunzione e sanzione pecuniaria.

Origine della segnalazione e attività istruttoria

Un cittadino ha segnalato la presenza di telecamere nei pressi dei cassonetti destinati alla raccolta dei rifiuti. L’istruttoria ha chiarito che il Comune aveva affidato a Cat s.r.l. attività di fornitura, installazione, gestione e manutenzione dei dispositivi, nonché di prelievo e analisi dei filmati relativi a possibili violazioni ambientali, sia amministrative sia penali. Il Comune ha riferito di avere nominato la società quale ausiliario di polizia giudiziaria per il prelievo, l’analisi e la consegna dei filmati. La società ha confermato di aver inizialmente svolto attività di spostamento delle telecamere, sostituzione delle memorie e consegna dei supporti, e successivamente di visione ed estrazione delle immagini dalle micro SD.

Valutazione sulla base giuridica e sul ruolo della società

L’Autorità ha richiamato il principio per cui i trattamenti effettuati da soggetti pubblici devono essere fondati su una base giuridica riconducibile all’art. 6, par. 1, lett. c) o e), GDPR; in ogni caso, il titolare deve rispettare i principi di cui all’art. 5 GDPR. Quanto al rapporto con soggetti terzi, il Garante ha ricordato che l’art. 28 GDPR richiede un atto giuridico scritto che disciplini in modo puntuale il trattamento e consenta al responsabile di operare solo su istruzione documentata del titolare.

Nel caso esaminato, la nomina della società come ausiliario di polizia giudiziaria non è stata considerata sufficiente a integrare un valido atto di designazione a responsabile del trattamento, poiché mancavano gli elementi richiesti dall’art. 28 GDPR in relazione alla disciplina del trattamento dei dati personali. In assenza di tale inquadramento e di altri presupposti di liceità indicati dalla società, il trattamento è stato considerato privo di valida base giuridica.

Violazioni accertate

Il Garante ha quindi ritenuto integrata la violazione di:

• art. 5, par. 1, lett. a), GDPR, per difetto di liceità, correttezza e trasparenza;
• art. 6 GDPR, in combinato disposto con l’art. 2-ter del Codice privacy, per assenza di un idoneo presupposto normativo.

L’Autorità ha anche osservato che, pur essendo il trattamento iniziato prima dell’entrata in vigore del GDPR, la violazione aveva natura permanente e doveva essere valutata alla data di cessazione della condotta, avvenuta in piena vigenza del Regolamento e del Codice come modificato dal d.lgs. 101/2018.

Determinazione della sanzione

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 10.000. Nella quantificazione ha considerato:

• l’ampiezza potenziale del trattamento, riferito ai residenti del Comune di Modica e ai non residenti;
• la violazione del principio di liceità, correttezza e trasparenza;
• l’assenza di dolo;
• l’assenza di precedenti violazioni a carico della società.

La sanzione è stata ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Misure accessorie e tutela giurisdizionale

Il provvedimento dispone:

• la pubblicazione sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento del Garante n. 1/2019;
• l’annotazione nel registro interno dell’Autorità;
• la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.

È inoltre richiamata la facoltà di definizione agevolata della controversia mediante pagamento, entro 30 giorni, della metà della sanzione comminata, ai sensi dell’art. 166, comma 8, del Codice.