Ordinanza ingiunzione o revoca n. 532 del 25/09/2025

Provincia autonoma di Trento: contitolarità non formalizzata e trattamento illecito nel progetto di monitoraggio del traffico

Il provvedimento riguarda la Provincia autonoma di Trento, ritenuta contitolare del trattamento insieme alla Provincia XX nell’ambito di un progetto di monitoraggio dei flussi veicolari realizzato tramite telecamere con lettura automatizzata delle targhe. L’Autorità conclude per l’illiceità del trattamento e adotta un’ordinanza ingiunzione con sanzione pecuniaria.

Fatti e origine del procedimento

Il Garante richiama un precedente provvedimento adottato nei confronti della Provincia XX, nell’ambito di un’attività istruttoria più ampia relativa a un sistema di videosorveglianza stradale. Il progetto prevedeva l’installazione di 124 telecamere, anche sul territorio della Provincia autonoma di Trento, sulla base di una convenzione tra le due Province.

I dispositivi erano dotati di funzionalità di lettura automatizzata delle targhe e consentivano di ricavare informazioni ulteriori rispetto alla semplice presenza del veicolo, tra cui:

• classe del veicolo;
• nazionalità;
• eventuale classe di velocità;
• eventuale codice KEMLER;
• origine e destinazione del viaggio.

Secondo l’Autorità, tali strumenti erano utilizzati per comprendere e analizzare i flussi di traffico e per orientare scelte amministrative coerenti con le caratteristiche del traffico nell’area interessata.

Attività istruttoria e difese della Provincia di Trento

A seguito di richiesta di informazioni ai sensi dell’art. 157 del Codice privacy, la Provincia di Trento ha confermato che i dispositivi erano collocati anche sul proprio territorio e che la proprietà dei dispositivi era in capo a entrambe le Province. Ha tuttavia sostenuto che il proprio apporto fosse limitato a una compartecipazione finanziaria e alla mera acquisizione di dati aggregati, senza alcuna determinazione delle modalità tecniche e organizzative del trattamento.

Nella memoria difensiva la Provincia ha affermato, in sintesi, di non aver definito finalità, mezzi, categorie di dati, durata del trattamento o destinatari, sostenendo che tutte le scelte progettuali e tecniche fossero state assunte dalla Provincia XX. Ha inoltre rappresentato di aver chiesto, una volta ricevuta la contestazione, la disattivazione degli impianti installati sul territorio trentino.

Qualificazione della Provincia di Trento come contitolare

Il Garante respinge la ricostruzione difensiva e afferma che, ai sensi dell’art. 4, par. 1, n. 7, GDPR, è titolare chi determina, singolarmente o insieme ad altri, finalità e mezzi del trattamento. Richiamando l’art. 26 GDPR, le Linee guida EDPB 07/2020 e la giurisprudenza della Corte di giustizia, l’Autorità ribadisce che la contitolarità ricorre quando due o più soggetti determinano congiuntamente finalità e mezzi del trattamento, anche in forme non necessariamente paritarie.

Nel caso concreto, il Garante valorizza diversi elementi:

• la convenzione tra le due Province;
• il cofinanziamento del progetto da parte della Provincia di Trento nella misura del 50%;
• l’autorizzazione alla Provincia XX a stipulare e gestire il contratto anche per conto della Provincia di Trento;
• l’installazione dei dispositivi anche sul territorio trentino;
• l’accesso da parte di entrambe le Province ai dati di output aggregati.

L’Autorità osserva che i risultati del progetto arrecavano un vantaggio reciproco a entrambe le amministrazioni, in quanto utili alle rispettive politiche in materia di mobilità. Viene inoltre escluso che la mancata disponibilità materiale dei dati personali o la mancata conservazione degli stessi in proprie banche dati siano elementi idonei a escludere la contitolarità.

Violazioni accertate

La Provincia autonoma di Trento viene ritenuta responsabile, in qualità di contitolare, delle medesime violazioni già contestate alla Provincia XX. Il Garante conferma la violazione dei seguenti articoli:

• art. 5, par. 1, lett. a) ed e), GDPR, per violazione dei principi di liceità, correttezza, trasparenza e limitazione della conservazione;
• art. 6, par. 1, lett. c) ed e), e parr. 2 e 3, GDPR, per assenza di idonea base giuridica;
• art. 12, par. 1, GDPR, per carenze di trasparenza;
• art. 13 GDPR, per informazioni non adeguate agli interessati;
• art. 21, par. 4, GDPR, in relazione all’informativa sul diritto di opposizione;
• art. 26 GDPR, per mancata stipula di un accordo di contitolarità prima dell’avvio del trattamento;
• art. 35 GDPR, per mancata previa valutazione d’impatto;
• art. 2-ter del Codice privacy.

L’Autorità sottolinea che il trattamento è stato realizzato in assenza di un accordo interno tra contitolari e senza che le rispettive responsabilità fossero definite in modo trasparente.

Valutazioni del Garante e assenza di ulteriori misure correttive

Le dichiarazioni difensive della Provincia non sono ritenute sufficienti a superare i rilievi formulati. Il Garante afferma di non poter procedere all’archiviazione e di non ravvisare i presupposti per le ipotesi previste dall’art. 11 del Regolamento del Garante n. 1/2019.

Pur dichiarando l’illiceità del trattamento, l’Autorità esclude l’adozione di ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, osservando che la condotta aveva già esaurito i propri effetti, poiché la Provincia di Trento aveva chiesto e ottenuto la disattivazione dei dispositivi sul proprio territorio subito dopo aver appreso della contestazione.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni derivano da un’unica condotta e sono tra loro collegate, il Garante applica l’art. 83, par. 3, GDPR. Rileva che le violazioni più gravi ricadono nell’art. 83, par. 5, GDPR, con una soglia massima astratta fino a 20 milioni di euro.

Nella quantificazione della sanzione, l’Autorità considera numerosi elementi ex art. 83, par. 2, GDPR, tra cui:

• l’adozione di misure di pseudonimizzazione;
• l’assenza di decisioni automatizzate pregiudizievoli per gli interessati;
• l’esistenza, pur in modo non adeguato, di cartelli informativi nelle aree interessate;
• il fatto che i dati non siano stati utilizzati in procedimenti amministrativi;
• la finalità di interesse pubblico perseguita, seppure in un quadro di colpa nell’erronea convinzione di non assumere responsabilità privacy;
• la mancata trattazione di categorie particolari di dati;
• la gravità media della violazione.

Rilevano inoltre, in senso attenuante:

• il ruolo della Provincia di Trento, che non ha definito gli aspetti tecnologici principali del progetto;
• il dato che solo 24 dispositivi erano in comproprietà e soltanto 6 erano collocati sul territorio trentino;
• la dichiarata mancata richiesta, da parte della Provincia, dei dati aggregati;
• l’assenza di precedenti pertinenti;
• la cooperazione con l’Autorità e la pronta richiesta di disattivazione degli impianti.

Sulla base di tali elementi, il Garante determina la sanzione in euro 8.000, ritenendola effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Dispositivo finale e pubblicazione

Il Garante:

• dichiara, ai sensi dell’art. 57, par. 1, lett. f), GDPR, l’illiceità del trattamento effettuato dalla Provincia autonoma di Trento;
• ordina il pagamento della sanzione amministrativa pecuniaria di euro 8.000;
• ricorda la facoltà di definizione agevolata mediante pagamento, entro 30 giorni, della metà della sanzione;
• ingiunge il pagamento entro 30 giorni dalla notificazione, in difetto di definizione della controversia;
• dispone la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;
• dispone la pubblicazione del provvedimento sul sito dell’Autorità;
• dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È inoltre indicata la possibilità di proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.