Ordinanza ingiunzione o revoca n. 805 del 19/12/2024

Comune di Levanto - videosorveglianza con lettura targhe, informativa e DPIA

Il provvedimento riguarda il Comune di Levanto, destinatario di un’ordinanza ingiunzione per l’uso di un sistema di videosorveglianza con lettura automatizzata delle targhe dei veicoli e per le carenze riscontrate in materia di trasparenza e valutazione d’impatto. Il procedimento è stato avviato a seguito di notizie stampa e di ulteriori verifiche istruttorie svolte dal Garante.

Origine del procedimento e accertamenti istruttori

L’Autorità ha appreso che il Comune aveva installato telecamere in grado di leggere le targhe dei veicoli in transito e di elaborare dati sui flussi veicolari, anche con funzioni avanzate relative a marca, modello, colore e classificazione EURO. In risposta alle richieste dell’Autorità, il Comune ha descritto un sistema composto da 118 telecamere di contesto e 5 telecamere di lettura targhe, di cui una dotata di funzionalità avanzate tramite software di terza parte.

Dalla documentazione acquisita è emerso che:

• le telecamere di lettura targhe acquisivano i numeri di targa di tutti i veicoli in transito;
• il software conservava i dati delle targhe per 180 giorni e le immagini per 7 giorni;
• una telecamera consentiva anche l’estrazione di ulteriori dati sui veicoli;
• il Comune ha poi dichiarato di aver sospeso l’intero sistema dopo la contestazione dell’Autorità.

Trattamento dei dati delle targhe e base giuridica

Il Garante ha ritenuto che il trattamento dei dati personali fosse illecito perché il Comune aveva impiegato in modo continuativo i dispositivi di lettura targhe per registrare e conservare i dati di tutti i transiti, non limitandosi all’accertamento immediato di eventuali violazioni del Codice della Strada.

L’Autorità ha richiamato la possibilità, per i soggetti pubblici, di trattare dati personali tramite videosorveglianza solo se il trattamento è necessario per un compito di interesse pubblico o per l’esercizio di pubblici poteri, ma ha evidenziato che nel caso concreto mancava un’idonea base giuridica. In particolare, ha escluso che il trattamento potesse essere ricondotto alla disciplina della sicurezza urbana di cui al d.l. n. 14/2017, poiché i patti stipulati con la Prefettura non prevedevano l’impiego di dispositivi con quelle funzionalità per la prevenzione e il contrasto della criminalità diffusa e predatoria.

L’Autorità ha quindi ravvisato la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché dell’art. 2-ter del Codice privacy.

Funzionalità avanzate e trattamenti statistici

Per quanto riguarda le funzionalità avanzate del software, il Garante ha osservato che dall’istruttoria non è emerso l’uso concreto di sistemi di decisione automatizzata ai sensi dell’art. 22 GDPR. Tuttavia, è stato considerato decisivo il fatto che la raccolta e conservazione dei numeri di targa in assenza di una base giuridica impediva comunque di legittimare anche le elaborazioni statistiche ulteriori.

Sono stati quindi ricondotti al medesimo contesto anche i trattamenti finalizzati alla classificazione dei veicoli per provincia o Stato di immatricolazione, nonché per tipologia, marca, modello, colore e classe EURO, svolti mediante un software fornito da un’azienda terza.

Informativa di primo livello e informativa di secondo livello

Il Garante ha ritenuto inidonea l’informativa di primo livello apposta nei cartelli, perché:

• indicava le finalità in modo troppo generico;
• non menzionava la finalità amministrativa connessa ai controlli su revisione e assicurazione;
• non indicava la base giuridica del trattamento;
• riportava solo i 7 giorni di conservazione delle immagini, ma non i 180 giorni previsti per i dati di targa;
• indicava come contatto del DPO un indirizzo PEC istituzionale del Comune, non un contatto diretto del Responsabile della protezione dei dati;
• rinviava a un indirizzo web non corrispondente a quello effettivamente utilizzato per la pubblicazione dell’informativa estesa.

Quanto all’informativa di secondo livello, l’Autorità ha rilevato che il Comune non ha provato di averla resa effettivamente disponibile in modo facilmente accessibile nel periodo iniziale del trattamento. La mera disponibilità presso la sede comunale non è stata considerata sufficiente, specie perché i dispositivi erano distribuiti sull’intero territorio comunale e quindi era necessario un rinvio chiaro a un’informativa online facilmente consultabile.

Anche la versione pubblicata successivamente è stata giudicata non adeguata, perché cumulava più finalità senza specificare a quali dispositivi e a quali aree esse si riferissero. In particolare, il Garante ha osservato che la finalità relativa al controllo dell’abbandono dei rifiuti avrebbe dovuto riferirsi esclusivamente alle telecamere delle isole ecologiche, e che l’informativa non indicava correttamente neppure i dispositivi destinati ai controlli amministrativi sul Codice della Strada.

L’Autorità ha quindi ravvisato la violazione degli artt. 12, par. 1, e 13 GDPR, oltre all’art. 5, par. 1, lett. a), per difetto di trasparenza.

Valutazione d’impatto sulla protezione dei dati

Il Garante ha considerato obbligatoria la DPIA ai sensi dell’art. 35, par. 3, lett. c), GDPR, trattandosi di sorveglianza sistematica su larga scala di una zona accessibile al pubblico, con ulteriori funzionalità di lettura targhe. Il Comune ha dichiarato che la valutazione d’impatto era stata avviata e poi perfezionata nel corso del progetto, ma non ha saputo dimostrare una data certa anteriore all’avvio del trattamento.

Il documento prodotto è risultato privo di data certa, con indicazioni temporali generiche e incongruenti, ed è stato inoltre sottoscritto da un soggetto esterno (“progettista”) e non dal Sindaco o da un delegato formalmente autorizzato. Ne è derivata la violazione dell’art. 35 GDPR.

Valutazioni conclusive del Garante

L’Autorità ha ritenuto che le diverse violazioni fossero riconducibili a un’unica condotta complessiva, ossia l’uso del sistema di videosorveglianza con lettura targhe in assenza di presupposti di liceità e con carenze informative e documentali. Ha pertanto applicato l’art. 83, par. 3, GDPR, individuando la violazione più grave tra quelle contestate.

Il Garante ha escluso l’adozione di ulteriori misure correttive, rilevando che il Comune aveva già disattivato il sistema dopo la contestazione amministrativa e che la condotta aveva esaurito i suoi effetti.

Sanzione, criteri di quantificazione e pubblicazione

La sanzione è stata determinata in euro 4.000, tenendo conto dei criteri di cui all’art. 83, par. 2, GDPR. In particolare, sono stati considerati:

• la finalità pubblicistica perseguita, seppur in assenza di base giuridica idonea;
• l’assenza di dati particolari ex art. 9 GDPR;
• il numero elevato di interessati coinvolti e la durata estesa del trattamento;
• la cooperazione del Comune con l’Autorità;
• la spontanea interruzione del trattamento;
• l’assenza di precedenti violazioni pertinenti.

Il Garante ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul proprio sito internet;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni nel registro interno.

È stata richiamata la facoltà di definizione agevolata mediante pagamento entro 30 giorni di un importo pari alla metà della sanzione, nonché la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.