Ordinanza ingiunzione o revoca n. 322 del 04/06/2025

Comune di Recco - videosorveglianza e obblighi informativi

Il provvedimento riguarda il trattamento di dati personali effettuato dal Comune di Recco mediante un sistema foto/video utilizzato anche per accertare scorretto conferimento di rifiuti urbani. Il procedimento trae origine da un reclamo dell’interessata che contestava l’assenza di adeguata informativa nell’area sottoposta a ripresa e la non completa informazione resa dal Comune.

Origine del procedimento

L’interessata aveva ricevuto un verbale di contestazione per violazione del regolamento comunale in materia di rifiuti, redatto sulla base delle immagini acquisite dal sistema di videosorveglianza. Nel reclamo ex art. 77 GDPR segnalava, in particolare:

• la mancanza di cartellonistica informativa in prossimità della zona videosorvegliata;
• l’assenza di un’informativa completa sul trattamento dei dati personali.

Istruttoria e riscontri del Comune

A seguito della richiesta di informazioni ex art. 157 del Codice privacy, il Comune ha riferito che:

• il verbale era stato redatto a seguito della visione delle immagini di videosorveglianza;
• sul territorio erano presenti numerose telecamere installate per motivi di sicurezza e ordine pubblico;
• le immagini erano conservate per 7 giorni;
• sul sito istituzionale era disponibile un’informativa estesa e il regolamento comunale per la videosorveglianza;
• la cartellonistica di primo livello era temporaneamente rimossa per lavori, con successivo ripristino in corso;
• il sistema era stato progressivamente adeguato con cartelli nuovi e con aggiornamenti dell’informativa online.

Il Comune ha sostenuto di avere anche differenziato i mezzi di ripresa tra telecamere di contesto e dispositivi dedicati al controllo del conferimento dei rifiuti, minimizzando l’angolo di ripresa per questi ultimi.

Valutazioni del Garante sulla normativa applicabile

L’Autorità ha ricordato che i trattamenti effettuati da soggetti pubblici devono fondarsi, in generale, sull’art. 6, par. 1, lett. c) o e), GDPR e sull’art. 2-ter del Codice, e devono comunque rispettare i principi del Regolamento, in particolare quello di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a).

È stato precisato che anche la sola raccolta del numero di targa integra trattamento di dati personali. In materia di videosorveglianza, il titolare deve fornire:

• un’informativa di primo livello, mediante cartelli chiari e ben visibili in prossimità dell’area ripresa;
• un’informativa di secondo livello, facilmente accessibile e contenente tutti gli elementi dell’art. 13 GDPR.

Il Garante ha richiamato le Linee guida 3/2019 del Comitato europeo per la protezione dei dati, il Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010 e le FAQ dell’Autorità.

Violazioni accertate

L’Autorità ha accertato che, al momento dei fatti:

• mancava sul luogo alcun cartello informativo idoneo a informare gli interessati sul trattamento effettuato mediante dispositivi foto/video;
• l’informativa di primo livello, allora predisposta, non richiamava chiaramente quella di secondo livello;
• l’informativa web non risultava facilmente accessibile tramite QR code;
• l’informativa di secondo livello non era conforme, poiché riportava più finalità di trattamento, non sempre pertinenti al trattamento oggetto di istruttoria;
• veniva indicato anche il legittimo interesse quale base giuridica, ma tale base non è utilizzabile da una pubblica amministrazione nell’esecuzione dei propri compiti.

Il Garante ha quindi ritenuto integrata la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Misure correttive imposte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Comune è stato ingiunto di:

• completare l’installazione della cartellonistica aggiornata in prossimità dei dispositivi foto/video;
• adattare l’informativa di primo livello, indicando la specifica finalità del trattamento e rimuovendo le finalità ultronee;
• rendere l’informativa di secondo livello facilmente reperibile e accessibile, anche tramite QR code;
• rendere l’informativa web conforme alla disciplina privacy, con corretta indicazione della base giuridica e della finalità del trattamento;
• uniformare i dati di contatto per l’esercizio dei diritti degli interessati tra informativa di primo e di secondo livello.

Il Comune deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese e le misure adottate per rendere conforme il trattamento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha qualificato la condotta come trattamento unitario riferito al medesimo sistema di videosorveglianza e ha ritenuto applicabile l’art. 83, par. 3, GDPR. Poiché le violazioni accertate rientrano nell’art. 83, par. 5, la sanzione massima astrattamente applicabile è stata indicata in euro 20.000.000.

Nella determinazione dell’importo sono stati considerati, tra gli altri, i seguenti elementi ex art. 83, par. 2, GDPR:

• natura e gravità della violazione, con mancata informativa agli interessati anche di primo livello;
• assenza di danni comprovati;
• carattere colposo della violazione;
• assenza di categorie particolari di dati;
• modeste dimensioni del Comune;
• assenza di precedenti violazioni pertinenti;
• collaborazione del titolare con l’Autorità.

La sanzione è stata fissata in euro 5.000, ritenuta effettiva, proporzionata e dissuasiva.

Esito finale e pubblicazione

Il Garante ha ordinato al Comune di Recco il pagamento della sanzione pecuniaria di euro 5.000, con possibilità di definizione agevolata ai sensi dell’art. 166, comma 8, del Codice mediante pagamento della metà entro 30 giorni. Ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno.

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.