Ordinanza ingiunzione o revoca n. 202 del 10/04/2025

Agenzia Mobilità Ambiente e Territorio S.r.l.: trattamento di dati personali tramite telecamere e intelligenza artificiale per il monitoraggio del traffico

Il provvedimento riguarda AMAT, società in house del Comune di Milano, che ha sviluppato un sistema di rilevazione dei flussi di traffico basato su telecamere mobili e intelligenza artificiale. L’istruttoria è nata da un articolo di stampa e ha riguardato le fasi di pre-esercizio ed esercizio del sistema, con acquisizione e analisi di filmati ripresi su pubblica via.

Il trattamento esaminato

Dall’attività istruttoria è emerso che il sistema analizzava in tempo reale i flussi video per classificare e conteggiare veicoli, bici, monopattini e pedoni, nonché la direzione delle manovre nelle intersezioni monitorate. Nella fase di pre-esercizio i filmati venivano temporaneamente salvati su server, poi offuscati con anonimizzazione di targhe e volti, quindi eliminati nella versione sorgente; i filmati offuscati erano conservati per una settimana e alcuni spezzoni per tutta la durata del progetto.

Il Garante ha qualificato tale attività come trattamento di dati personali ai sensi dell’art. 4, par. 1, nn. 1 e 2, GDPR, evidenziando che:

• i volti ripresi da dispositivi video costituiscono dati personali;
• anche le targhe dei veicoli sono dati personali;
• la mera acquisizione e temporanea memorizzazione delle immagini integra un trattamento;
• i filmati offuscati non erano realmente anonimi, poiché gli interessati potevano essere comunque identificabili tramite elementi di contesto, caratteristiche fisiche o informazioni di terzi.

Base giuridica: contestazione iniziale superata

Nella comunicazione di avvio del procedimento era stata inizialmente contestata anche l’assenza di base giuridica, con richiamo agli artt. 5, par. 1, lett. a), 6 GDPR e 2-ter del Codice. Tuttavia, nel corso dell’istruttoria il Garante ha ritenuto superata tale contestazione, prendendo atto della natura privatistica di AMAT e della riflessione in corso a livello europeo sul legittimo interesse in contesti analoghi.

Trasparenza e informative agli interessati

La parte centrale del provvedimento riguarda la violazione degli obblighi di trasparenza. Il Garante ha rilevato che:

• la prima informativa di primo livello era solo testuale, senza icone o formato adeguato alla videosorveglianza;
• l’informativa affermava in modo non corretto che i dati venissero anonimizzati durante l’acquisizione;
• non indicava correttamente la base giuridica del trattamento;
• non riportava in modo adeguato il periodo di conservazione;
• il rinvio all’informativa di secondo livello puntava a una pagina generale del sito, non specifica per il progetto;
• l’informativa estesa specifica è stata pubblicata solo successivamente, con ritardo dovuto a un errore di comunicazione interna.

Il Garante ha quindi accertato la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Valutazione d’impatto sulla protezione dei dati

Poiché il trattamento comportava l’uso di nuove tecnologie e una sorveglianza sistematica di una zona accessibile al pubblico, AMAT avrebbe dovuto effettuare una DPIA ai sensi dell’art. 35 GDPR prima dell’avvio del trattamento.

L’Autorità ha ritenuto non provata la tempestiva redazione della valutazione d’impatto, osservando che i documenti prodotti erano privi di data certa e non risultavano protocollati. Anche la versione successiva non consentiva di dimostrare con precisione che la DPIA fosse stata predisposta prima dell’inizio del trattamento. Ne è derivata la violazione dell’art. 35 GDPR.

Posizione del RPD e conflitto d’interessi

Un ulteriore profilo di illiceità ha riguardato il Responsabile della protezione dei dati. AMAT aveva attribuito al RPD il compito di redigere e sottoscrivere la DPIA. Il Garante ha ritenuto che ciò avesse determinato un conflitto d’interessi, in contrasto con il ruolo del RPD, che deve essere consultato dal titolare e sorvegliare la valutazione d’impatto, non sostituirsi al titolare nella sua redazione.

È stata quindi accertata la violazione dell’art. 38, par. 6, GDPR, in riferimento agli artt. 35, par. 2, e 39, par. 1, lett. c), GDPR.

Valutazioni finali del Garante

Il Garante ha concluso che le giustificazioni fornite da AMAT non erano sufficienti a consentire l’archiviazione del procedimento. Ha quindi dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 12, par. 1, 13, 35 e 38, par. 6, GDPR.

Il provvedimento rileva che la violazione è derivata da un’unica condotta o da trattamenti tra loro collegati, con applicazione dell’art. 83, par. 3, GDPR.

Sanzione e criteri di quantificazione

Il Garante ha considerato le violazioni degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR come le più gravi, soggette all’art. 83, par. 5, GDPR. Ha ricordato che, per le imprese, la sanzione può arrivare fino al 4% del fatturato mondiale annuo o a 20 milioni di euro, se superiore.

Ai fini della quantificazione della sanzione, sono stati considerati:

• il numero limitato di dispositivi utilizzati, solo due;
• la durata contenuta del trattamento e i 150 ore complessive di acquisizione in 27 giorni non consecutivi;
• l’assenza di conseguenze pregiudizievoli ulteriori per gli interessati;
• la presenza, seppur inadeguata, di cartelli informativi;
• il carattere colposo della violazione;
• l’assenza di dati biometrici o categorie particolari di dati;
• la collaborazione prestata dall’Agenzia;
• l’assenza di precedenti pertinenti.

Tenuto conto anche del fatturato indicato per l’anno di riferimento, il Garante ha determinato la sanzione in euro 9.000.

Dispositivo

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ordinato ad AMAT il pagamento di euro 9.000;
• indicato la possibilità di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ordinato l’annotazione nel registro interno.

È inoltre indicata la possibilità di ricorso all’autorità giudiziaria ordinaria entro i termini di legge.