Ordinanza ingiunzione o revoca n. 102 del 12/02/2026

Comune di Mazara del Vallo - videosorveglianza per accertamento di violazioni del Codice della strada

Il provvedimento riguarda il trattamento di dati personali effettuato dal Comune di Mazara del Vallo mediante un sistema di videosorveglianza/lettura targhe utilizzato, anche, per l’accertamento di violazioni dell’art. 80, comma 14, del Codice della strada. Il procedimento origina dal reclamo di un interessato che contestava la notifica di un verbale emesso a seguito di rilevazione da remoto, nonché l’inadeguatezza della segnaletica e dell’informativa privacy.

Origine del reclamo e oggetto dell’istruttoria

Il reclamante ha riferito di aver ricevuto, tramite piattaforma SEND/App IO, un verbale per omessa revisione del veicolo. Ha sostenuto che il verbale richiamasse l’impossibilità di contestazione immediata perché l’infrazione sarebbe stata accertata esclusivamente con sistemi di videosorveglianza, e ha contestato anche la carenza del cartello di primo livello e l’assenza di un’informativa di secondo livello sulle diverse finalità del trattamento.

L’Ufficio del Garante ha avviato l’istruttoria ai sensi dell’art. 157 del Codice, chiedendo informazioni al Comune e successivamente contestando tre profili di possibile illecito:

• trattamento non conforme ai principi di liceità, correttezza e trasparenza e privo di idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1-3, GDPR, nonché dell’art. 2-ter del Codice;
• informativa di primo livello inidonea e mancata/inadeguata informativa di secondo livello, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR;
• mancata valutazione d’impatto, in violazione dell’art. 35 GDPR.

Trattamento esaminato e difese del Comune

Il Comune ha affermato di aver installato un sistema video con lettura targhe in un progetto validato dalla Prefettura, sostenendo che il sistema non acquisisse in modo massivo tutte le targhe ma solo quelle che generavano un alert. Ha inoltre dichiarato che le immagini erano conservate per 7 giorni e che la documentazione fotografica, insieme ai dati acquisiti dalle banche dati della Motorizzazione, costituiva il fascicolo digitale accessibile all’interessato.

Nella difesa, il Comune ha sostenuto che l’alert del sistema fosse una mera attività prodromica, mentre l’accertamento e la contestazione sarebbero stati completati in ufficio tramite ulteriori verifiche documentali e consultazione del Portale dell’automobilista. Ha anche comunicato di aver sospeso l’accertamento diretto da remoto, sostituendolo con l’accertamento su strada supportato dall’alert delle telecamere, e di aver avviato aggiornamenti della cartellonistica e dell’informativa di secondo livello.

Liceità del trattamento e contestazione differita

Il Garante ha richiamato il quadro generale applicabile ai trattamenti effettuati da soggetti pubblici mediante dispositivi video, fondato sugli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché sull’art. 2-ter del Codice privacy. Ha ricordato che la normativa di settore consente l’uso di dispositivi video per alcune violazioni del Codice della strada, ma nel rispetto di condizioni precise, in particolare quando si procede a contestazione differita.

In base alla disciplina richiamata e alla circolare del Ministero dell’Interno del 3 luglio 2020, la contestazione differita richiede la presenza di apparecchi approvati o omologati, l’uso da parte degli organi di polizia stradale come mero supporto documentale e la contestazione immediata salvo oggettivi motivi contingenti da indicare nel verbale. Nel caso esaminato, il verbale notificato al reclamante riportava soltanto che non era stato possibile contestare immediatamente la violazione perché l’infrazione era stata accertata a mezzo sistemi di videosorveglianza, senza spiegare le modalità concrete dell’accertamento né i motivi specifici dell’impossibilità della contestazione immediata.

Per tale ragione, il Garante ha ritenuto che il trattamento sia avvenuto in assenza dei necessari presupposti previsti dalla legge, con conseguente violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1-3, GDPR, nonché dell’art. 2-ter, comma 1, del Codice.

Informativa agli interessati: primo e secondo livello

Il provvedimento dedica ampio spazio agli obblighi informativi in materia di videosorveglianza. Il Garante ha ricordato che, oltre al cartello di avvertimento in prossimità della zona sorvegliata, devono essere resi disponibili agli interessati anche elementi di secondo livello, facilmente accessibili e contenenti tutti gli elementi dell’art. 13 GDPR, secondo le linee guida EDPB 3/2019 e la prassi dell’Autorità.

Nel caso concreto, il cartello iniziale risultava carente perché:

• conteneva riferimenti normativi non aggiornati;
• non indicava correttamente titolare e dati di contatto;
• non riportava i dati del DPO;
• non specificava le basi giuridiche;
• indicava in modo promiscuo finalità diverse, tra cui infrazioni al Codice della strada e abbandono di rifiuti;
• non indicava il periodo di conservazione;
• non menzionava compiutamente diritti e modalità di esercizio;
• non spiegava come accedere all’informativa completa di secondo livello.

Quanto all’informativa di secondo livello, il Garante ha accertato che non era inizialmente reperibile sul sito istituzionale. Anche gli aggiornamenti successivi non sono stati ritenuti sufficienti: la sezione online risultava difficilmente raggiungibile e il rinvio tramite QR code conduceva all’informativa generale del sito, non a quella specifica sul sistema di videosorveglianza. Inoltre, la cartellonistica aggiornata non è stata prodotta in modo completo e la base giuridica indicata restava incompleta o imprecisa per l’accertamento delle violazioni del Codice della strada.

Ne è derivata la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Valutazione d’impatto sulla protezione dei dati

Il Garante ha ritenuto che il sistema in questione richiedesse la preventiva valutazione d’impatto ai sensi dell’art. 35, par. 3, lett. c), GDPR, poiché integrava una sorveglianza sistematica su larga scala di una zona accessibile al pubblico. La DPIA è stata considerata un adempimento distinto e non sostituibile dagli obblighi informativi o dalla validazione del progetto in sede prefettizia.

Il Comune ha ammesso di non aver redatto la valutazione d’impatto, ritenendo erroneamente sufficiente il richiamo a un provvedimento del Garante del 2010 e a una circolare ministeriale sull’ordine pubblico. Il Garante ha respinto tale impostazione, affermando che l’obbligo di DPIA sussisteva certamente e che la mancata redazione integra violazione dell’art. 35 GDPR.

Esito: illecito del trattamento e poteri correttivi

All’esito dell’istruttoria, il Garante ha concluso per l’illiceità del trattamento effettuato dal Comune, in violazione degli artt. 5, par. 1, lett. a), 6, parr. 1-3, 12, par. 1, 13 e 35 GDPR, nonché dell’art. 2-ter, comma 1, del Codice. Ha ritenuto insufficienti le difese e gli adeguamenti dichiarati dal Comune ai fini dell’archiviazione.

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, è stato ingiunto al Comune di:

• fornire un’idonea informativa di primo livello, completando l’installazione della cartellonistica aggiornata;
• rendere l’informativa di secondo livello facilmente reperibile e accessibile sul sito istituzionale, con specifica informativa per il sistema di videosorveglianza usato ai fini dell’accertamento delle violazioni al Codice della strada;
• svolgere o adeguare la valutazione d’impatto sulla protezione dei dati.

È stato inoltre imposto al Comune di comunicare entro 30 giorni dalla notifica del provvedimento le iniziative intraprese e ogni ulteriore misura adottata per la conformità del trattamento.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha applicato l’art. 83 GDPR, considerando le violazioni come unitarie ai sensi del par. 3, poiché riferite al medesimo sistema di videosorveglianza. Per la violazione più grave, riconducibile agli artt. 5, 6, 12 e 13 GDPR e all’art. 2-ter del Codice, è stato richiamato il massimo edittale fino a euro 20.000.000.

Nella quantificazione concreta sono stati considerati:

• la natura e la gravità della violazione, ritenuta di grado medio;
• il carattere colposo della condotta;
• l’assenza di categorie particolari di dati;
• le dimensioni modeste del Comune;
• l’assenza di precedenti pertinenti;
• la cooperazione successiva, con aggiornamento della cartellonistica, pubblicazione dell’informativa e sospensione dell’accertamento diretto da remoto.

La sanzione è stata determinata in euro 4.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Pubblicazione del provvedimento e rimedi

Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito internet dell’Autorità e l’annotazione nel registro interno. È stato ricordato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.