Ordinanza ingiunzione o revoca n. 312 del 18/07/2023

Comune di Modica - videosorveglianza per il controllo del conferimento dei rifiuti e violazioni GDPR

Il provvedimento riguarda il Comune di Modica, destinatario di una sanzione amministrativa pecuniaria per l’utilizzo di sistemi di videosorveglianza installati presso cassonetti e aree di raccolta dei rifiuti al fine di accertare conferimenti illeciti e contrastare l’abbandono dei rifiuti. Il procedimento è stato avviato a seguito di segnalazione di un cittadino che aveva ricevuto verbali di contestazione fondati sulla visione di filmati registrati dai dispositivi video.

Origine del procedimento e fatti contestati

Il segnalante ha lamentato, da un lato, che gli accertamenti sarebbero avvenuti oltre un mese dopo la registrazione delle immagini e, dall’altro, che l’informativa resa agli interessati fosse inidonea. In particolare, ha contestato la presenza di un cartello apposto direttamente sul cassonetto, poco visibile e privo di indicazioni essenziali.

Nel corso dell’istruttoria il Comune ha dichiarato di aver installato telecamere fisse e mobili per contrastare l’abbandono e il non corretto conferimento dei rifiuti, nonché per prevenire degrado, pericoli per l’igiene e la salute pubblica e atti vandalici. Ha inoltre riferito di aver affidato a imprese esterne attività di prelievo, analisi e selezione dei filmati, e di aver nominato ausiliari di polizia giudiziaria i titolari delle ditte coinvolte.

Valutazione del Garante sulla liceità del trattamento in ambito pubblico

Il Garante ha richiamato il quadro normativo che consente, per i soggetti pubblici, trattamenti mediante videosorveglianza quando necessari per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, parr. 1, lett. c) ed e), e 3, GDPR, nonché dell’art. 2-ter del Codice. Ha tuttavia sottolineato che i Comuni devono comunque rispettare i principi di cui all’art. 5 GDPR e verificare caso per caso necessità e proporzionalità del trattamento.

È stato evidenziato che il ricorso alla videosorveglianza per finalità di tutela ambientale è ammissibile solo se non risultano possibili o efficaci strumenti alternativi e comunque nel rispetto del principio di minimizzazione dei dati.

Informativa di primo e secondo livello: carenze riscontrate

Il Garante ha ritenuto che il cartello utilizzato dal Comune non fosse conforme agli artt. 12 e 13 GDPR. Pur richiamando genericamente ragioni di sicurezza, non indicava con sufficiente chiarezza la finalità concreta del trattamento né le modalità per accedere all’informativa completa di secondo livello. Inoltre, non risultava che tale informativa estesa fosse stata resa disponibile in modo adeguato nel periodo rilevante, mentre la pubblicazione sul sito istituzionale risulta avvenuta solo in un momento successivo.

È stata inoltre ritenuta inadeguata un’ulteriore informativa pubblicata sul sito, riferita al settore ecologia, perché faceva riferimento a finalità diverse, come la pubblica sicurezza e l’incolumità pubblica, non coincidenti con quella specifica dell’accertamento di illeciti amministrativi in materia di rifiuti.

Il Garante ha anche osservato che il cartello semplificato era collocato direttamente sui cassonetti e in prossimità di altri cartelli, con conseguente scarsa visibilità e confusione per gli interessati. Non è stata inoltre ritenuta provata l’affermazione del Comune circa l’esistenza di cartelli autonomi e ben visibili nelle aree interessate.

Conservazione delle immagini, minimizzazione e accountability

Sul fronte della conservazione, il Comune aveva indicato un termine generale di sette giorni, ma ha anche ammesso che, in un periodo specifico, la conservazione era stata prolungata a quindici giorni in ragione di fatti vandalici e delittuosi verificatisi nella zona.

Il Garante ha ritenuto non applicabile in modo diretto il richiamo al termine di sette giorni previsto dall’art. 6, comma 8, del d.l. 11/2009 nel contesto esaminato, poiché la finalità perseguita non era propriamente quella della sicurezza urbana disciplinata dal quadro normativo specifico. In ogni caso, l’ente avrebbe dovuto definire e motivare adeguatamente il termine di conservazione in rapporto alla finalità di accertamento delle violazioni amministrative ambientali.

Poiché dalle risultanze istruttorie le contestazioni erano state formulate oltre un mese dopo la registrazione delle immagini, è stato accertato che i dati erano stati conservati oltre il limite di legge richiamato dal Comune. Il Garante ha quindi ravvisato la violazione dei principi di minimizzazione, limitazione della conservazione, responsabilizzazione e protezione dei dati fin dalla progettazione e per impostazione predefinita.

Rapporti con i soggetti esterni e art. 28 GDPR

Il Comune aveva affidato a CAT S.r.l. e, successivamente, a Ermeslink attività di prelievo e analisi dei filmati. Il Garante ha chiarito che gli atti di nomina ad ausiliari di polizia giudiziaria non bastano a integrare un valido accordo o atto giuridico ai sensi dell’art. 28, par. 3, GDPR.

È stato dunque accertato che le società hanno operato nel trattamento senza che il loro ruolo fosse stato correttamente definito, prima dell’inizio delle attività, mediante un accordo sulla protezione dei dati contenente gli elementi essenziali richiesti dal Regolamento.

Designazione del RPD e pubblicazione dei dati di contatto

Ai sensi dell’art. 37 GDPR, il Comune, in quanto autorità pubblica, era tenuto a designare un Responsabile della protezione dei dati e a pubblicarne i dati di contatto. Il provvedimento rileva che la designazione è avvenuta in ritardo rispetto all’entrata in vigore del GDPR e che, anche a voler considerare la complessità della procedura di affidamento, il titolare avrebbe dovuto comunque assicurare una designazione temporanea, eventualmente interna.

Anche la pubblicazione dei dati di contatto del RPD è stata effettuata solo successivamente, con ulteriore violazione dell’art. 37, parr. 1 e 7, GDPR.

Esito finale, sanzione e pubblicazione

Il Garante ha concluso che il trattamento effettuato dal Comune di Modica era illecito per violazione degli artt. 5, par. 1, lett. a), c) ed e), e par. 2, in combinato disposto con l’art. 24, 12, par. 1, 13, 25, 28 e 37, parr. 1 e 7, GDPR. Ha quindi applicato una sanzione amministrativa pecuniaria di euro 45.000, ritenuta congrua alla luce della durata del trattamento, del luogo pubblico interessato, del numero elevato di interessati, della collaborazione prestata e dell’assenza di precedenti pertinenti.

È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice, nonché l’annotazione nel registro interno dell’Autorità.