Ordinanza ingiunzione o revoca n. 341 del 20/10/2022

Comune di Salento – uso illecito della videosorveglianza per l’accertamento di violazioni anti-Covid, carenze informative, accesso alle immagini e registro dei trattamenti

Il provvedimento riguarda il Comune di Salento e trae origine da un reclamo presentato da un cittadino in relazione all’uso di un impianto di videosorveglianza sulla pubblica via per accertare una violazione delle misure di contenimento del contagio da SARS-CoV-2. Il Garante ha esaminato anche la gestione dell’informativa, la conservazione delle immagini, il diritto di accesso dell’interessato e la tenuta del registro dei trattamenti.

Origine del procedimento e fatti contestati

Il reclamante ha riferito che il Comune avrebbe utilizzato le telecamere per accertare la violazione del divieto di uscire dalla propria abitazione durante il periodo di confinamento e ha lamentato l’assenza di idonea cartellonistica informativa. Ha inoltre dichiarato di aver richiesto, ai sensi del regolamento comunale sulla videosorveglianza, l’accesso alle immagini riprese in una specifica fascia oraria, senza ricevere riscontro.

Nel corso dell’istruttoria il Comune ha sostenuto di aver agito in buona fede, in un contesto emergenziale e con risorse limitate, per garantire il rispetto della normativa anti-Covid. Ha inoltre affermato che la cartellonistica era presente e che l’informativa estesa era stata uniformata al regolamento comunale. Quanto alla richiesta di accesso, l’Ente ha sostenuto di aver applicato un contributo spese per l’estrazione delle immagini.

Trattamento tramite videosorveglianza e finalità perseguita

Dagli atti è emerso che la Polizia locale aveva notificato al reclamante una violazione amministrativa per inosservanza delle misure di contenimento del contagio, precisando che l’accertamento era stato effettuato mediante impianto di videosorveglianza.

Il Garante ha rilevato che l’impianto era stato installato per finalità di sicurezza urbana, mentre le immagini sono state utilizzate per una diversa finalità, cioè l’accertamento di violazioni amministrative della normativa emergenziale. Tale uso è stato ritenuto non compatibile con la finalità originaria, non logicamente connesso al trattamento iniziale e non sorretto da una base giuridica autonoma adeguatamente dimostrata.

Violazioni in materia di trasparenza e informativa

L’Autorità ha ritenuto non adeguata l’informativa di primo livello. Il cartello prodotto non era integralmente leggibile e, per quanto visibile, riportava solo il nome/logo del Comune, il simbolo della videocamera e la dicitura che l’area era sottoposta a videosorveglianza, senza indicare:

• la finalità del trattamento perseguita in concreto;
• il riferimento chiaro a un’informativa completa di secondo livello;
• gli elementi richiesti dall’art. 13 del GDPR.

Quanto all’informativa estesa, il Comune non ha dimostrato che fosse pubblicata o comunque disponibile agli interessati al momento dei fatti. Inoltre, il testo prodotto faceva riferimento a finalità generiche di sicurezza urbana, prevenzione e repressione dei reati e controllo degli accessi, ma non alla specifica finalità di accertamento delle violazioni anti-Covid. Il trattamento è stato quindi ritenuto non conforme ai principi di liceità, correttezza e trasparenza di cui agli artt. 5, par. 1, lett. a), 12 e 13 GDPR.

Principio di limitazione della finalità e liceità del trattamento

Il Garante ha richiamato il quadro normativo che consente ai soggetti pubblici di trattare dati mediante videosorveglianza quando ciò sia necessario per un compito di interesse pubblico o per l’esercizio di pubblici poteri, ma sempre nel rispetto del principio di limitazione della finalità.

Nel caso concreto, il trattamento delle immagini per contestare la violazione delle misure anti-Covid è stato giudicato incompatibile con la finalità originaria del sistema, destinato alla sicurezza urbana. È stato inoltre evidenziato che tale finalità ulteriore non rientrava nelle ragionevoli aspettative degli interessati, i quali avrebbero potuto confidare che le immagini fossero trattate solo per gli scopi dichiarati nel regolamento comunale. Il Garante ha quindi riscontrato la violazione dell’art. 5, par. 1, lett. b), e dell’art. 6 del GDPR.

Limitazione della conservazione

In materia di conservazione, l’Autorità ha rilevato che l’informativa estesa richiamava una conservazione "a tempo illimitato", formula incompatibile con il principio di limitazione della conservazione. Il Comune non ha dimostrato di aver definito tempi certi e coerenti con la finalità perseguita, come invece richiesto dall’art. 5, par. 1, lett. e), GDPR e dai principi di minimizzazione e responsabilizzazione.

Il trattamento delle immagini per finalità amministrative è stato pertanto ritenuto illecito anche sotto il profilo della conservazione.

Diritto di accesso alle immagini

Il reclamante aveva esercitato il diritto di accesso alle immagini riprese dalle telecamere, ma il Comune aveva subordinato la visione o la copia delle immagini al pagamento di euro 307,84. Il Garante ha osservato che, ai sensi dell’art. 12 GDPR, il titolare deve fornire gratuitamente il riscontro alle richieste dell’interessato, salvo che esse siano manifestamente infondate o eccessive.

Poiché la richiesta non risultava né infondata né eccessiva, il Comune non poteva legittimamente pretendere il pagamento del contributo spese. È stato quindi ingiunto di fornire gratuitamente all’interessato le immagini richieste, previa verifica dei presupposti di legge e dell’eventuale necessità di oscurare dati di terzi, oppure di comunicare, con adeguato riscontro documentato, eventuali motivi ostativi in fatto o in diritto.

Registro delle attività di trattamento

Dalle dichiarazioni del Comune è emerso che, almeno fino a un certo momento, non era stato redatto il registro delle attività di trattamento nonostante l’Ente svolgesse trattamenti non occasionali e potenzialmente rischiosi, compresa la videosorveglianza su pubblica via e il trattamento di dati relativi a categorie particolari o a reati/condanne.

Il Garante ha ravvisato la violazione dell’art. 30 GDPR, precisando che il successivo adempimento dichiarato dal Comune non incideva sull’accertamento della violazione per il periodo precedente.

Valutazione finale e sanzione

L’Autorità ha concluso che il trattamento effettuato dal Comune di Salento era illecito per la violazione degli artt. 5, par. 1, lett. a), b) ed e), 6, 12, 13, 15 e 30 del GDPR.

Ai sensi dell’art. 83, par. 5, GDPR, e tenendo conto dei criteri dell’art. 83, par. 2, sono stati valutati:

• la natura e gravità della violazione;
• l’uso invasivo e sproporzionato della videosorveglianza in un contesto emergenziale;
• la mancata trasparenza verso gli interessati;
• la scarsa collaborazione istruttoria;
• le ridotte dimensioni dell’ente;
• l’assenza di precedenti rilevanti.

Il Garante ha quindi irrogato una sanzione amministrativa pecuniaria di euro 12.000 e ha disposto la pubblicazione del provvedimento sul proprio sito istituzionale ai sensi dell’art. 166, comma 7, del Codice privacy.

Dispositivo e termini

Il provvedimento:

• dichiara l’illiceità del trattamento effettuato dal Comune;
• ordina il pagamento della sanzione di euro 12.000, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, Codice privacy entro 30 giorni;
• ingiunge di fornire gratuitamente all’interessato copia delle immagini richieste entro 30 giorni dalla notifica, oppure di comunicare motivatamente l’eventuale impossibilità di accoglimento;
• dispone la pubblicazione del provvedimento sul sito del Garante;
• prevede l’annotazione nel registro interno dell’Autorità.

Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.