Ordinanza ingiunzione o revoca n. 244 del 29/04/2025

Comune di Noli - videosorveglianza per accertamento di violazioni del Codice della strada e trattamento illecito dei dati

Il Garante per la protezione dei dati personali ha esaminato un reclamo relativo al trattamento di dati personali effettuato dal Comune di Noli nell’ambito dell’accertamento di una violazione del Codice della strada tramite sistema foto/video. Il procedimento riguarda, in particolare, la qualità dell’informativa resa agli interessati e la gestione delle immagini raccolte e rese consultabili tramite il servizio online collegato alle sanzioni amministrative.

Origine del procedimento e svolgimento dell’istruttoria

Il reclamo, proposto ai sensi dell’art. 77 GDPR, lamentava due profili principali: l’assenza di adeguata cartellonistica informativa in prossimità del tratto di strada sottoposto a rilevazione automatizzata e il mancato oscuramento dei volti dei soggetti presenti nel veicolo nelle immagini utilizzate per la contestazione della violazione.

Nel corso dell’istruttoria, a seguito di richieste di informazioni ex art. 157 del Codice, il Comune ha riferito che:

• la violazione era stata documentata con supporto video/fotografico in relazione all’art. 80 C.d.S.;
• i cartelli di preavviso erano stati progressivamente collocati o ricollocati sul territorio comunale;
• l’informativa completa di secondo livello era resa disponibile tramite link sul sito istituzionale;
• il portale MulteOnline consentiva la visione degli atti e dei fotogrammi, in alcuni casi non oscurati, e il Comune stava cercando una soluzione software per l’oscuramento automatico oppure, nelle more, la rimozione dei fotogrammi dal servizio con successiva trasmissione solo su richiesta diretta.

In fase successiva il Comune ha rappresentato di aver disabilitato l’importazione automatica dei fotogrammi sul portale e di aver avviato il recepimento delle indicazioni sul preavviso e sulla gestione delle immagini, senza però aver dimostrato una piena conformazione del trattamento.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina generale applicabile ai soggetti pubblici, ricordando che il trattamento è lecito se necessario per adempiere obblighi di legge o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR e dell’art. 2-ter del Codice.

Sono stati inoltre richiamati i principi di:

• liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a), GDPR;
• minimizzazione dei dati, ex art. 5, par. 1, lett. c), GDPR;
• obblighi informativi di cui agli artt. 12 e 13 GDPR.

Per la videosorveglianza sono state richiamate le Linee guida 3/2019 del Comitato europeo per la protezione dei dati, le FAQ del Garante in materia di videosorveglianza e il Provvedimento generale in materia di videosorveglianza dell’8 aprile 2010. È stato inoltre citato il D.M. 11 aprile 2024 sulle modalità di collocazione e uso dei dispositivi di controllo a distanza delle violazioni del Codice della strada, con particolare riferimento all’oscuramento di soggetti e targhe estranei all’infrazione al momento dell’accesso alle immagini.

Violazione degli obblighi di informativa e del principio di trasparenza

Il Garante ha accertato che, dal momento di attivazione del sistema di rilevazione, il Comune ha trattato i dati in violazione del principio di trasparenza e degli obblighi informativi.

In particolare, i cartelli installati all’epoca dei fatti non risultavano adeguati perché:

• non erano collocati correttamente in prossimità dell’area di ripresa;
• non contenevano tutti gli elementi minimi essenziali, come titolare del trattamento e finalità;
• non indicavano in modo chiaro dove reperire l’informativa di secondo livello.

Quanto all’informativa estesa, il Garante ha osservato che essa non era facilmente reperibile sul sito istituzionale del Comune. L’accesso richiedeva infatti un percorso articolato attraverso pagine e link che conducevano a un’ulteriore piattaforma con numerose informative, senza che quella relativa alla videosorveglianza fosse collocata in sezioni intuitivamente collegate al trattamento in esame. Questo assetto è stato ritenuto non conforme all’art. 12, par. 1, e agli artt. 13, parr. 1 e 2, GDPR.

Violazione del principio di minimizzazione

Sul secondo profilo, il Garante ha ritenuto che il Comune non avesse adottato misure tecniche e organizzative sufficienti a evitare la diffusione o la visibilità di elementi non pertinenti rispetto alla violazione contestata.

È stato ricordato che, in materia di videosorveglianza per finalità sanzionatorie, la documentazione fotografica o video deve, per quanto possibile, non comprendere o comunque mascherare soggetti non coinvolti nell’accertamento; inoltre, al momento dell’accesso da parte del destinatario del verbale, devono essere oscurati i passeggeri e gli altri soggetti o veicoli ripresi.

Nel caso concreto, la mancata predisposizione di strumenti per l’anonimizzazione automatica o comunque per l’oscuramento sistematico di soggetti e targhe estranei all’infrazione ha integrato una violazione dell’art. 5, par. 1, lett. c), GDPR.

Valutazioni finali del Garante

L’Autorità ha ritenuto che le dichiarazioni del Comune, pur apprezzabili per la collaborazione e per le iniziative correttive intraprese, non fossero sufficienti a superare tutti i rilievi contestati. Non è stata quindi disposta l’archiviazione del procedimento.

È stata affermata l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1, e 13, parr. 1 e 2, GDPR, con conseguente applicabilità della sanzione amministrativa pecuniaria ai sensi dell’art. 83, par. 5, GDPR, in combinato con gli artt. 58, par. 2, lett. i), e 83, par. 3, GDPR e con l’art. 166 del Codice.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• fornire agli interessati l’informativa di primo livello, completando l’installazione della cartellonistica aggiornata in prossimità dei dispositivi di ripresa foto/video;
• rendere l’informativa di secondo livello facilmente reperibile e accessibile sul sito istituzionale;
• cancellare eventuali informative obsolete o duplicate;
• rivedere l’organizzazione del sito web per evitare percorsi di navigazione multipli o eccessivamente complessi e la cosiddetta "click fatigue".

Il Comune deve inoltre comunicare all’Autorità, entro trenta giorni dalla notifica del provvedimento, le iniziative intraprese e le misure adottate per assicurare la conformità del trattamento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto che le violazioni derivassero da una condotta unitaria, riferita al medesimo sistema di videosorveglianza, e che trovasse applicazione l’art. 83, par. 3, GDPR. Poiché le violazioni accertate ricadevano tutte nell’ambito dell’art. 83, par. 5, GDPR, l’importo massimo teorico era pari a euro 20.000.000.

Nella quantificazione della sanzione sono stati considerati, tra gli altri, i seguenti elementi dell’art. 83, par. 2, GDPR:

• natura, gravità e durata della violazione;
• assenza di danni comprovati agli interessati;
• carattere colposo della condotta;
• assenza di categorie particolari di dati;
• mancanza di precedenti pertinenti;
• cooperazione del Comune e adozione di alcune misure correttive nel corso dell’istruttoria;
• dimensioni ridotte dell’ente.

In base a tali elementi, la sanzione è stata determinata in euro 2.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo

Il Garante ha quindi:

• rilevato l’illiceità del trattamento;
• ordinato al Comune di Noli il pagamento di euro 2.000,00 a titolo di sanzione amministrativa pecuniaria;
• ricordato la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice;
• ingiunto l’adozione delle misure correttive indicate;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito del Garante;
• disposto la pubblicazione del provvedimento sul sito istituzionale dell’Autorità e l’annotazione delle violazioni nel registro interno.

Impugnazioni

Avverso il provvedimento è ammesso ricorso dinanzi all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.