Ordinanza ingiunzione o revoca n. 752 del 18/12/2025

Comune di Nave - videosorveglianza e lettura targhe in violazione del GDPR

Il Garante ha esaminato il trattamento di dati personali effettuato dal Comune di Nave mediante impianti di videosorveglianza e tre varchi dotati di lettura automatizzata delle targhe dei veicoli. Il procedimento trae origine da un reclamo dell’interessata, che aveva contestato un verbale del Codice della strada emesso all’esito di un controllo effettuato con tali dispositivi e lamentato anche il mancato riscontro a una richiesta di cancellazione dei dati.

Origine del reclamo e attività istruttoria

L’Autorità ha acquisito informazioni dal Comune mediante più richieste istruttorie e ha successivamente notificato l’avvio del procedimento ai sensi dell’art. 166, comma 5, del Codice privacy, contestando la violazione degli artt. 5, 6, 12, 13 e 35 GDPR e dell’art. 2-ter del Codice. Il Comune ha depositato memoria difensiva e richiesto audizione, sostenendo che i dispositivi servissero principalmente come supporto per la contestazione delle violazioni del Codice della strada, nonché per finalità di sicurezza urbana e di rilevazione della classe ambientale dei veicoli.

Trattamenti oggetto di esame

Dall’istruttoria è emerso che il Comune disponeva di circa 103 telecamere, di cui 3 varchi per la lettura targhe, collegati alle banche dati della Motorizzazione Civile per verifiche in tempo reale su copertura assicurativa, revisione periodica e classe ambientale. Il sistema memorizzava i transiti per 7 giorni. Il Comune ha anche dichiarato di trasmettere alla Regione Lombardia, con cadenza semestrale, dati aggregati e anonimi sui flussi veicolari e sulla relativa caratterizzazione ambientale.

Liceità del trattamento e base giuridica

Il Garante ha ritenuto che il Comune non avesse individuato una base giuridica adeguata e specifica per ciascuna delle finalità perseguite. La finalità di sicurezza urbana non era utilizzabile perché il Comune non aveva stipulato il patto per l’attuazione della sicurezza urbana con la Prefettura, previsto dal d.l. 14/2017 per l’installazione di sistemi di videosorveglianza per prevenzione e contrasto della criminalità diffusa e predatoria.

Quanto al controllo delle violazioni del Codice della strada, il Garante ha rilevato che i dispositivi non erano usati secondo un modello conforme alla normativa di settore: erano attivi in modo continuativo e memorizzavano tutti i transiti per 7 giorni, anziché trattare i dati solo in presenza di effettive infrazioni o in connessione con una contestazione immediata, salvo specifiche impossibilità da documentare. La molteplicità di finalità dichiarate dal Comune è stata considerata indice di una non corretta distinzione tra i diversi trattamenti e le relative basi giuridiche.

Trasparenza e informative agli interessati

Sul piano della trasparenza, il Garante ha rilevato l’inadeguatezza dell’informativa di primo livello, cioè della cartellonistica. Il cartello presente al momento dei fatti non conteneva tutti gli elementi richiesti: mancavano, tra l’altro, i dati del responsabile della protezione dei dati, l’indicazione completa delle finalità e delle basi giuridiche, i tempi di conservazione e un richiamo adeguato all’informativa estesa.

L’informativa di secondo livello non era inizialmente disponibile. Solo successivamente, nel corso dell’istruttoria, il Comune ha pubblicato un testo esteso, che però è stato ritenuto ancora non pienamente conforme, perché includeva finalità ulteriori e tra loro eterogenee senza indicare in modo chiaro le norme di settore che le giustificassero e senza dare adeguato conto dei trattamenti relativi alla classe ambientale dei veicoli e alla trasmissione di dati alla Regione Lombardia.

Valutazione di impatto sulla protezione dei dati

Il Garante ha ritenuto violato l’art. 35 GDPR, evidenziando che il trattamento rientrava tra quelli per i quali la DPIA è sempre necessaria, in quanto comporta sorveglianza sistematica su larga scala di una zona accessibile al pubblico. Il Comune ha ammesso di non aver svolto la valutazione prima dell’avvio del trattamento, dichiarando solo successivamente di volerla predisporre e di aver avviato un percorso di adeguamento dell’impianto.

Riscontro all’istanza di cancellazione

È stata accertata anche la violazione degli artt. 12, parr. 3 e 4, GDPR. La reclamante aveva chiesto la cancellazione dei propri dati personali, ma il Comune non aveva fornito alcun riscontro. L’Autorità ha ricordato che, anche quando la richiesta non può essere accolta nel merito, il titolare deve comunque informare l’interessato dei motivi del diniego e dei rimedi esperibili. Il Comune ha ammesso l’irregolarità e ha dichiarato di aver predisposto una procedura interna per la corretta gestione delle istanze degli utenti.

Valutazioni conclusive del Garante

Alla luce dell’istruttoria, il Garante ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, 12, parr. 1, 3 e 4, 13 e 35 GDPR, nonché dell’art. 2-ter del Codice privacy. Ha ritenuto che le giustificazioni del Comune non fossero sufficienti a superare i rilievi contestati e che non ricorressero i presupposti per l’archiviazione.

Misure correttive impartite

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• effettuare una ricognizione di tutte le telecamere presenti sul territorio;
• verificare quali dispositivi siano effettivamente strumentali alla sicurezza urbana e, per essi, stipulare gli accordi con le autorità di pubblica sicurezza;
• individuare per ogni ulteriore finalità una base giuridica idonea;
• svolgere o adeguare la valutazione di impatto sulla protezione dei dati;
• rivedere le informative di primo e di secondo livello.

Il Comune deve inoltre comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative adottate per ottemperare alle prescrizioni.

Sanzione amministrativa e criteri di quantificazione

Per le violazioni accertate è stata applicata la sanzione amministrativa pecuniaria di euro 6.000. Il Garante ha richiamato l’art. 83, par. 3, GDPR, osservando che le violazioni derivavano da un’unica condotta e che il massimo edittale era quello della violazione più grave, sanzionabile ai sensi dell’art. 83, par. 5, GDPR. Nella quantificazione sono stati considerati, tra gli altri, il carattere colposo della violazione, l’assenza di precedenti pertinenti, la cooperazione del Comune con l’Autorità, le dimensioni dell’ente e l’assenza di dati particolari ex art. 9 GDPR. Il Garante ha ritenuto il livello di gravità medio.

Pubblicazione e rimedi

È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, nonché la pubblicazione del provvedimento e l’annotazione delle violazioni nel registro interno dell’Autorità. Contro il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.