Ordinanza ingiunzione o revoca n. 700 del 23/10/2025

Comune di Arcinazzo Romano: videosorveglianza per controllo rifiuti e verifica TARI

Il provvedimento riguarda il trattamento di dati personali effettuato dal Comune di Arcinazzo Romano mediante un sistema foto/video installato per il controllo del conferimento dei rifiuti urbani. Nel corso dell’istruttoria è emerso che il sistema era stato utilizzato anche per una finalità ulteriore, ossia verificare il corretto pagamento della TARI da parte dei proprietari dei veicoli ripresi, tramite interrogazione del PRA e della banca dati tributaria.

Origine del procedimento e fatti accertati

Il Garante ha avviato il procedimento a seguito di una segnalazione relativa all’ordinanza comunale con cui era stato introdotto il sistema video. Dalla documentazione acquisita risultava che il Comune utilizzava le immagini per identificare i soggetti che conferivano rifiuti e, in caso di veicoli ripresi, per risalire al proprietario e verificare la posizione tributaria.

Il Comune ha spiegato che il sistema era stato adottato per contrastare il deposito incontrollato di rifiuti, anche da parte di soggetti provenienti da comuni vicini, e per tutelare esigenze igienico-sanitarie. Ha inoltre affermato di aver progressivamente aggiornato cartellonistica, informativa e regolamento interno.

Liceità del trattamento e base giuridica

Il Garante ha ricordato che le pubbliche amministrazioni possono trattare dati personali mediante dispositivi video quando il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, sulla base di una norma di legge, di regolamento o di atto amministrativo generale, ai sensi degli artt. 6, parr. 1, lett. c) ed e), 2 e 3, del GDPR e dell’art. 2-ter del Codice privacy.

Nel caso di specie, l’Autorità ha ritenuto non dimostrata una base giuridica idonea a legittimare l’uso delle immagini per la verifica del pagamento della TARI. Pur riconoscendo l’esigenza del Comune di contenere il conferimento dei rifiuti, il Garante ha osservato che non esisteva un quadro normativo specifico e sufficientemente qualificato per autorizzare l’impiego dei numeri di targa e delle immagini a fini tributari.

Violazione del principio di limitazione della finalità

Il provvedimento chiarisce che le immagini erano raccolte per una finalità di controllo del corretto conferimento dei rifiuti, ma venivano poi trattate anche per accertare il pagamento della TARI. Tale utilizzo è stato giudicato ultroneo rispetto alla finalità originaria e quindi contrario all’art. 5, par. 1, lett. b), del GDPR.

Il Garante ha sottolineato che, anche nel settore ambientale, l’impiego di fototrappole o sistemi analoghi deve essere circoscritto ad aree specifiche, segnalate, e limitato a quanto strettamente necessario, nel rispetto del principio di minimizzazione.

Informativa di primo livello e trasparenza

L’Autorità ha poi accertato l’inadeguatezza dell’informativa di primo livello collocata in prossimità delle aree sorvegliate. Il cartello non riportava correttamente tutti gli elementi richiesti dall’art. 13 GDPR: mancavano, tra l’altro, i dati del RPD, l’indicazione delle specifiche finalità amministrative, della base giuridica, del periodo di conservazione e delle modalità di accesso all’informativa estesa.

Secondo il Garante, la segnaletica di primo livello deve consentire agli interessati di comprendere immediatamente che cosa accade ai loro dati e, se del caso, di evitare di esporsi alla ripresa. Nel caso esaminato, invece, il contenuto risultava generico e non idoneo a garantire una trasparenza effettiva.

Informativa di secondo livello

Anche l’informativa estesa è stata ritenuta non conforme. Pubblicata solo nel corso dell’istruttoria, essa risultava comunque incompleta e incoerente: indicava finalità troppo ampie, non esplicitava la base giuridica del trattamento, non descriveva adeguatamente i diritti degli interessati e riportava un riferimento errato al soggetto cui rivolgersi per l’esercizio dei diritti, confondendo il responsabile del trattamento con il responsabile della protezione dei dati.

Il Garante ha inoltre rilevato che l’informativa pubblicata sul sito istituzionale presentava contenuti non allineati rispetto a quella trasmessa all’Autorità e a quella della cartellonistica, con ulteriori riferimenti a finalità non pertinenti al trattamento oggetto di istruttoria.

Valutazione complessiva dell’illecito

Il trattamento è stato quindi ritenuto illecito per violazione degli artt. 5, par. 1, lett. a) e b), 6, parr. 1-3, 12, par. 1, e 13 del GDPR, nonché dell’art. 2-ter, comma 1, del Codice privacy. Il Garante ha escluso che le memorie difensive del Comune fossero sufficienti a giustificare l’archiviazione del procedimento.

Sanzione amministrativa e criteri di quantificazione

Poiché le violazioni derivavano da un’unica condotta, è stato applicato l’art. 83, par. 3, GDPR. La sanzione massima astrattamente applicabile è stata individuata in 20 milioni di euro ai sensi dell’art. 83, par. 5, ma l’importo concreto è stato determinato in 4.500 euro.

Nella quantificazione il Garante ha considerato:

• la natura e gravità della violazione, ritenuta media;
• il carattere colposo della condotta;
• l’assenza di categorie particolari di dati;
• l’assenza di precedenti pertinenti;
• la cooperazione del Comune durante l’istruttoria;
• le ridotte dimensioni dell’ente;
• il contesto locale legato all’elevato conferimento di rifiuti anche da residenti di comuni vicini.

Misure correttive e adempimenti richiesti

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• aggiornare l’informativa di primo livello, indicando la specifica finalità amministrativa di rilevazione del non corretto conferimento dei rifiuti ed eliminando le finalità ultronee;
• rendere conforme l’informativa di secondo livello, indicando la base giuridica del trattamento ex art. 6, par. 1, lett. c) ed e), GDPR, la specifica finalità di rilevazione del non corretto conferimento dei rifiuti, eliminando le finalità ulteriori e uniformando i contatti per l’esercizio dei diritti degli interessati.

Il Comune deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare esecuzione alle prescrizioni e per assicurare la conformità del trattamento.

Ordinanza ingiunzione, pubblicazione e impugnazione

Il Garante ha ordinato al Comune di Arcinazzo Romano il pagamento di 4.500 euro, precisando la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni. Ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito e la pubblicazione del provvedimento, oltre all’annotazione nel registro interno.

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011.