Ordinanza ingiunzione o revoca n. 405 del 04/07/2024

Comune di Treviso: trattamento illecito nell’app "TrevisoSicura" e archiviazione per l’uso dei droni

Il provvedimento riguarda il Comune di Treviso e trae origine da un’attività istruttoria avviata a seguito di un articolo di stampa sull’impiego di droni con telecamere termiche e sulla disponibilità dell’applicazione "TrevisoSicura" per le segnalazioni dei cittadini. Il Garante ha distinto nettamente i due ambiti: per i droni ha disposto l’archiviazione; per l’app ha invece accertato plurime violazioni della disciplina privacy e ha irrogato una sanzione pecuniaria.

Origine del procedimento e istruttoria

L’Autorità ha chiesto informazioni al Comune dopo aver appreso che la Polizia locale avrebbe impiegato droni dotati di dispositivi video e termici per contrastare furti notturni nelle abitazioni. Parallelamente, l’articolo richiamava la possibilità per i cittadini di segnalare reati e altri eventi tramite l’app "TrevisoSicura".

Il Comune ha rappresentato che:

• i droni erano in dotazione a un nucleo specializzato della Polizia locale;
• gli apparati avevano funzioni fotografiche e, in alcuni casi, termiche;
• l’uso delle tecnologie non comportava, secondo l’Ente, identificazione di soggetti;
• dopo la richiesta di informazioni del Garante, l’uso dei droni era stato sospeso in via cautelativa.

Quanto all’app, il Comune ha dichiarato che:

• il servizio era fornito da una società esterna;
• le segnalazioni dei cittadini riguardavano rifiuti abbandonati, furti e notizie al cittadino;
• per inviare una segnalazione erano richiesti nominativo e numero di telefono, con validazione via SMS;
• era possibile allegare foto o inserire testo libero;
• le segnalazioni arrivavano via e-mail al personale di Polizia locale;
• l’iniziativa era stata attivata dal 27 luglio 2020;
• dopo l’avvio dell’istruttoria le funzionalità di segnalazione erano state disabilitate.

Trattamento mediante droni con telecamere termiche

Il Garante ha chiarito che l’impiego di droni dotati di telecamere termiche, idonei a generare mappe di calore e a consentire successivi controlli visivi sul territorio, può costituire trattamento di dati personali ai sensi degli artt. 2 e 4 del GDPR, anche di dati relativi a reati ex art. 10 GDPR e art. 2-octies del Codice.

Ha inoltre osservato che il quadro normativo di settore consente alle forze di polizia l’uso degli UAS per finalità di ordine e sicurezza pubblica nei limiti previsti dalla normativa speciale, ma non riconosce in via generale alle polizie locali comunali un analogo potere per finalità di pubblica sicurezza, se non in casi specifici di funzioni ausiliarie delegate dalle autorità competenti.

Tuttavia, alla luce delle precisazioni fornite dal Comune, il Garante ha ritenuto non provata una violazione della normativa privacy. In particolare, ha valorizzato la dichiarazione secondo cui l’articolo di stampa non rappresentava correttamente le modalità d’uso dei droni, che non risultavano impiegati per finalità di polizia in via generale e che non erano stati identificati soggetti nel corso delle attività svolte. Ha quindi disposto l’archiviazione della contestazione relativa agli artt. 5, par. 1, lett. a), 6, 10 e 35 GDPR, nonché agli artt. 2-ter e 2-octies del Codice.

Liceità del trattamento nell’app "TrevisoSicura"

Diverso l’esito per l’applicazione "TrevisoSicura". Il Garante ha ricostruito il servizio come uno strumento di raccolta di segnalazioni generiche dei cittadini, utile al Comune per individuare le aree più interessate da fenomeni criminali e organizzare servizi di prevenzione, ma non come canale di denuncia formale nell’esercizio di funzioni di polizia giudiziaria.

Di conseguenza, ha escluso che la Polizia locale operasse in quel contesto quale polizia giudiziaria in senso stretto, rilevando che:

• il trattamento non era fondato su una specifica richiesta delle autorità di pubblica sicurezza;
• la Polizia locale non ha competenza generale in materia di prevenzione e contrasto dei reati;
• la raccolta delle segnalazioni avveniva quindi in assenza di una base giuridica idonea.

Ne è derivata la violazione degli artt. 5, par. 1, lett. a), 6 GDPR e 2-ter del Codice.

Errata qualificazione dei ruoli e mancato accordo con il fornitore

L’Autorità ha poi contestato la gestione dei ruoli privacy nel rapporto tra Comune e società fornitrice dell’app. Il Comune si era qualificato come responsabile del trattamento, mentre la società si era presentata come titolare. Il Garante ha invece ritenuto che il Comune fosse il titolare, poiché determinava finalità e mezzi del trattamento, e che la società dovesse essere qualificata come responsabile del trattamento, agendo per conto dell’Ente.

Nonostante ciò, il Comune non aveva stipulato con il fornitore alcun accordo sulla protezione dei dati ex art. 28, par. 3, GDPR. Il Garante ha qualificato tale omissione come violazione della disposizione, richiamando anche le linee guida EDPB sui concetti di titolare e responsabile.

Informativa agli utenti inidonea

L’informativa resa agli utenti dell’app è stata ritenuta non conforme ai requisiti dell’art. 13 GDPR. In particolare, l’Autorità ha evidenziato che:

• indicava erroneamente la società come titolare, omettendo i dati di contatto del Comune;
• non riportava i dati del responsabile della protezione dei dati designato dal Comune;
• non indicava correttamente la base giuridica, omettendo il riferimento ai compiti di interesse pubblico;
• non menzionava la società come destinatario dei dati nella veste di responsabile;
• riportava tempi di conservazione incoerenti tra informativa e pagina web dell’app;
• non informava sul diritto di proporre reclamo al Garante;
• non chiariva l’obbligatorietà del conferimento e le conseguenze del mancato conferimento.

La conseguenza è stata la violazione degli artt. 5, par. 1, lett. a), e 13 GDPR.

Violazione dei principi di privacy by design, by default e accountability

Il Garante ha inoltre accertato che il Comune aveva messo a disposizione l’app senza aver adottato atti interni idonei a disciplinare il trattamento e senza aver valutato adeguatamente gli impatti privacy prima dell’avvio. In particolare, ha rilevato la violazione:

• dell’art. 25, par. 1, GDPR, per mancata integrazione delle garanzie di protezione dei dati fin dalla progettazione;
• dell’art. 25, par. 2, GDPR, per mancata configurazione dell’app secondo il principio di minimizzazione e per il rischio di acquisire dati non pertinenti, anche appartenenti a categorie particolari o relativi a reati;
• degli artt. 5, par. 2, e 24 GDPR, per difetto di responsabilizzazione.

Il Garante ha evidenziato anche l’incongruenza sui tempi di conservazione delle segnalazioni e ha rilevato che il Comune aveva ammesso che tale conservazione nei sistemi del fornitore non era, in ogni caso, necessaria.

Valutazione complessiva e sanzione

Il Garante ha ritenuto che le violazioni dell’app derivassero da un’unica condotta complessiva, con applicazione dell’art. 83, par. 3, GDPR. Poiché le violazioni più gravi erano quelle degli artt. 5, 6 e 13 GDPR, nonché dell’art. 2-ter del Codice, il tetto teorico della sanzione era fino a 20 milioni di euro.

Nel determinare la sanzione concreta, ha considerato:

• il numero non elevato di segnalazioni complessive (414) e il numero limitato di interessati rispetto alla popolazione comunale;
• la mancata corretta regolazione del rapporto con il fornitore;
• il carattere colposo della violazione;
• l’assenza di dati particolari o giudiziari effettivamente trattati, pur in presenza di un rischio di acquisizione;
• l’alto grado di responsabilità del Comune;
• la cooperazione prestata durante l’istruttoria e la tempestiva disattivazione delle funzionalità di segnalazione;
• l’assenza di precedenti violazioni pertinenti.

Alla luce di tali elementi, il Garante ha irrogato una sanzione amministrativa pecuniaria di 7.000 euro, ritenuta effettiva, proporzionata e dissuasiva.

Misure accessorie e decisione finale

Poiché la condotta aveva già esaurito i propri effetti, essendo state disattivate le funzionalità di segnalazione e risultando decorso il periodo massimo di conservazione, il Garante ha escluso ulteriori misure correttive ex art. 58, par. 2, GDPR.

Ha quindi:

• dichiarato l’illiceità del trattamento effettuato dal Comune di Treviso per le violazioni accertate in relazione all’app;
• ordinato il pagamento della sanzione di 7.000 euro, con possibilità di definizione agevolata entro 30 giorni pagando la metà;
• ingiunto il pagamento entro 30 giorni dalla notifica in caso di mancata definizione;
• disposto la pubblicazione del provvedimento sul sito del Garante;
• disposto l’annotazione nel registro interno dell’Autorità.

Resta ferma la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o 60 giorni se il ricorrente risiede all’estero.