Ordinanza ingiunzione o revoca n. 457 del 18/06/2026

Comune di Vasto: videosorveglianza per infrazioni al Codice della strada, trasparenza, minimizzazione e DPIA

Il provvedimento riguarda il trattamento di dati personali effettuato dal Comune di Vasto mediante un sistema foto/video utilizzato per l’accertamento di violazioni del Codice della strada, in particolare di un’infrazione semaforica contestata al reclamante. L’istruttoria è stata avviata a seguito di reclamo ex art. 77 GDPR e art. 141 Codice privacy.

Origine del procedimento e attività istruttoria

L’interessato ha lamentato di non aver ricevuto un’adeguata informativa in prossimità del dispositivo di rilevazione e di aver ricevuto immagini non oscurate in modo sufficiente, con visibilità di soggetti e targhe di veicoli estranei all’infrazione. Il Comune ha difeso la legittimità del trattamento richiamando la presenza di informative di primo e secondo livello, la collocazione di cartellonistica con QR code, l’inserimento dei dispositivi nel sistema di videosorveglianza cittadino e l’esistenza di una valutazione d’impatto.

Trasparenza e informative agli interessati

Il Garante ha richiamato gli artt. 5, par. 1, lett. a), 12 e 13 GDPR, nonché le Linee guida 3/2019 del Comitato europeo e il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010. In caso di videosorveglianza, il titolare deve fornire sia un’informativa di primo livello, mediante cartello posto in prossimità dell’area controllata, sia un’informativa di secondo livello facilmente accessibile e completa.

Nel caso concreto:

• il Comune non ha dimostrato la data di effettivo posizionamento dei cartelli nel luogo dell’infrazione;
• la cartellonistica era generica, cumulava finalità diverse e non distingueva il trattamento per l’accertamento delle infrazioni del Codice della strada dagli altri trattamenti di videosorveglianza comunale;
• il periodo di conservazione era indicato in modo non specifico;
• i diritti degli interessati e le modalità di esercizio non erano adeguatamente esplicitati sin dal primo livello;
• l’informativa di secondo livello non era facilmente reperibile sul sito istituzionale e, anche nella versione poi rinvenibile tramite QR code, risultava ancora riferita a finalità plurime e con indicazioni insufficienti sulla conservazione.

È stato inoltre rilevato che anche l’informativa allegata al verbale notificato al reclamante era carente, poiché non indicava correttamente le modalità di esercizio dei diritti ex artt. 15-22 GDPR e riportava informazioni non aggiornate sul titolare/responsabile del trattamento.

Minimizzazione dei dati e oscuramento delle immagini

Sul piano della minimizzazione, il Garante ha applicato l’art. 5, par. 1, lett. c) GDPR, richiamando anche le indicazioni del provvedimento del 2010 e il D.M. 11 aprile 2024, che impongono l’oscuramento, all’atto dell’accesso, di soggetti e targhe di veicoli non pertinenti. Dalla documentazione del caso è emerso che, nell’accertamento relativo al reclamante, non erano state oscurate ulteriori targhe e immagini di altri veicoli coinvolti nelle riprese. Il Comune ha qualificato l’accaduto come errore tecnico occasionale, ma l’Autorità ha comunque ritenuto integrata la violazione del principio di minimizzazione.

Valutazione d’impatto sulla protezione dei dati

Il Garante ha ritenuto violato anche l’art. 35 GDPR, poiché la DPIA era stata predisposta solo dopo l’avvio del trattamento. La valutazione trasmessa risultava inoltre priva di data certa, non sottoscritta e priva del parere del Responsabile della protezione dei dati. L’Autorità ha sottolineato che, trattandosi di un sistema di sorveglianza sistematica in area accessibile al pubblico, la valutazione d’impatto doveva essere preventiva e specifica per i diversi trattamenti ricompresi nel sistema, con indicazione puntuale dei rischi e dei tempi di conservazione differenziati.

Esito, misure correttive e sanzione

Il Garante ha concluso per l’illiceità del trattamento, per violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1, 13 e 35 GDPR. Ha quindi:

• ordinato, ex art. 58, par. 2, lett. d) GDPR, di fornire un’idonea informativa di primo livello;
• ordinato di rendere l’informativa di secondo livello facilmente reperibile e accessibile sul sito istituzionale, con specifico riferimento al sistema di videosorveglianza per l’accertamento delle violazioni al Codice della strada;
• ingiunto di adeguare la DPIA, distinguendo in modo più puntuale i singoli trattamenti e i relativi tempi di conservazione;
• richiesto un riscontro documentato entro 30 giorni dalla notifica.

Sotto il profilo sanzionatorio, il Garante ha considerato la condotta come unitaria e ha applicato l’art. 83, par. 3 GDPR. Ha valorizzato, ai fini della quantificazione, la natura colposa della violazione, l’assenza di dati particolari, la modesta dimensione del Comune e l’assenza di precedenti, ma anche il limitato grado di cooperazione. La sanzione è stata determinata in euro 5.000. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante e la pubblicazione del provvedimento ai sensi delle norme interne richiamate.