Ordinanza ingiunzione o revoca n. 669 del 13/11/2025

Comune di Orte - videosorveglianza comunale illecita, informative non conformi, DPIA assente e riscontro tardivo al Garante

Il provvedimento riguarda il Comune di Orte, destinatario di una segnalazione relativa all’installazione e attivazione di un sistema di videosorveglianza sul territorio comunale. L’istruttoria ha riguardato la liceità del trattamento, la trasparenza verso gli interessati, l’adempimento dell’obbligo di valutazione d’impatto e la collaborazione con l’Autorità.

Origine della segnalazione e attività istruttoria

L’Autorità ha appreso, tramite segnalazione ex art. 144 del Codice, che il Comune avrebbe installato telecamere di videosorveglianza senza garantire la necessaria trasparenza. Nell’attività istruttoria, svolta anche mediante richieste di informazioni ex art. 157 Codice, il Comune ha dichiarato che il sistema era composto da 43 telecamere, con eventuale lettura automatizzata delle targhe non attivata, conservazione delle immagini per 7 giorni, finalità di tutela della sicurezza urbana e presenza di cartelli informativi e informativa online.

Il Comune ha anche riferito che le telecamere, dopo il collaudo del 18 gennaio 2024, sarebbero rimaste spente salvo una settimana di test e sarebbero state riattivate dall’11 settembre al 9 dicembre 2024 a seguito di una direttiva della Questura di Viterbo del 10 settembre 2024.

Liceità del trattamento e base giuridica

Il Garante ha richiamato la disciplina generale del Regolamento e la normativa di settore in tema di videosorveglianza per la sicurezza urbana, evidenziando che i Comuni possono utilizzare telecamere per prevenzione e contrasto della criminalità diffusa e predatoria solo nei limiti previsti dalla normativa e in presenza di un patto con la Prefettura territorialmente competente.

Nel caso concreto, il patto richiamato dal Comune risultava generico e non indicava in modo specifico le telecamere installate, i siti puntuali o valutazioni congiunte di necessità e proporzionalità riferite ai singoli luoghi controllati. Il Garante ha quindi ritenuto non dimostrato che tutti i trattamenti effettuati tramite le 43 telecamere fossero riconducibili alla disciplina della sicurezza urbana.

Quanto alla direttiva della Questura, l’Autorità ha osservato che essa era finalizzata a fronteggiare una possibile presenza di un ordigno e a verificare il corretto funzionamento del sistema, non a disporne l’attivazione come base giuridica del trattamento. Inoltre, non è risultata documentata un’attività di polizia giudiziaria delegata al Comune. Da qui la conclusione di illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e 2-ter del Codice.

Trasparenza e informative di primo livello

L’Autorità ha esaminato la cartellonistica di primo livello, ritenendola inadeguata sotto il profilo della trasparenza. I cartelli generici indicavano soltanto una zona sottoposta a videosorveglianza, senza specificare finalità, base giuridica o diritti in modo sufficiente.

Anche i cartelli più dettagliati sono stati giudicati non conformi: riportavano una finalità incongrua o troppo generica, non indicavano la base giuridica del trattamento, menzionavano soltanto alcuni diritti degli interessati e rinviavano a una pagina del sito del Garante invece che all’informativa del Comune. Il QR code presente sulla segnaletica rinviava al medesimo contenuto errato, compromettendo il meccanismo informativo a livelli previsto dalle linee guida sulla videosorveglianza.

Informativa di secondo livello

Il Garante ha rilevato che l’informativa estesa era stata resa disponibile solo dopo l’avvio dell’istruttoria e comunque in modo incompleto. In particolare, l’informativa pubblicata sul sito istituzionale non riportava adeguatamente i dati del RPD, indicando solo una PEC e persino un indirizzo riconducibile al Comune, in contrasto con l’autonomia del responsabile della protezione dei dati.

L’informativa menzionava finalità ulteriori e non dichiarate nel corso dell’istruttoria, senza specificare la base giuridica di ciascuna. Inoltre, qualificava erroneamente il Comando di Polizia Locale come responsabile del trattamento, ometteva di evidenziare correttamente il diritto di opposizione e non informava adeguatamente sulla possibile conservazione più lunga delle immagini in caso di illeciti penali. Era inoltre prevista solo la PEC come canale di esercizio dei diritti.

Anche la successiva nuova cartellonistica e la nuova informativa di secondo livello, prodotte dal Comune nel 2025, sono state ritenute non pienamente conformi: persistevano indicazioni improprie sulle finalità, assenza di base giuridica specifica, rinvio generico al sito istituzionale, omissione del diritto di opposizione e limitazione indebita dei canali di contatto e di esercizio dei diritti.

Valutazione d’impatto sulla protezione dei dati

Il Garante ha accertato che il Comune non aveva effettuato la valutazione d’impatto prima dell’avvio del trattamento, nonostante la sorveglianza sistematica su larga scala di una zona accessibile al pubblico rendesse necessaria una DPIA ai sensi dell’art. 35 GDPR.

Il Comune ha prodotto solo successivamente una prima versione della valutazione d’impatto e poi una versione nuova con data 20 maggio 2025, ma ciò non ha sanato la violazione, poiché il requisito era quello della preventiva valutazione dei rischi prima dell’attivazione del sistema.

Riscontro tardivo e incompleto alle richieste del Garante

L’Autorità ha inoltre contestato la violazione dell’art. 157 del Codice per il riscontro solo parziale e tardivo alle richieste informative. Dopo una prima richiesta del 31 maggio 2024 e ulteriori solleciti, il Comune ha risposto compiutamente solo il 16 dicembre 2024, oltre il termine assegnato.

Il Comune ha ammesso il ritardo e ha riferito di avere avviato un piano di miglioramento per la gestione della comunicazione con l’Autorità. Il Garante ha comunque ritenuto integrata la violazione.

Esito finale, sanzioni e misure accessorie

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Comune di Orte per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), 12, par. 1, 13 e 35 GDPR, nonché 2-ter e 157 del Codice.

In considerazione della diversa natura delle condotte, ha quantificato:

• euro 5.000 per le violazioni relative al trattamento mediante videosorveglianza, tenendo conto della durata limitata dell’attività, della buona fede dichiarata, dell’assenza di uso delle immagini in procedimenti amministrativi, ma anche di precedenti pertinenti e di una collaborazione non piena;
• euro 1.000 per la violazione dell’art. 157 Codice, considerando la gravità media e la modesta dimensione dell’ente.

È stata quindi ordinata la pagamento complessiva di euro 6.000, con possibilità di definizione agevolata entro 30 giorni per metà dell’importo. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità.