Ordinanza ingiunzione o revoca n. 730 del 04/12/2025

Comune di Tuscania: videosorveglianza urbana, fototrappole e diniego dell’accesso ai dati

Il provvedimento riguarda il Comune di Tuscania e prende le mosse da un reclamo dell’interessato relativo a un sistema di videosorveglianza esteso sul territorio comunale, comprensivo di telecamere di contesto, lettura targhe e presunti dispositivi per il controllo dei rifiuti. Il Garante accerta molteplici violazioni del GDPR e del Codice privacy, adottando insieme misure correttive e ordinanza-ingiunzione.

Origine del procedimento e attività istruttoria

Il reclamante segnala:

• l’assenza o l’inadeguatezza dei cartelli informativi presso le aree videosorvegliate;
• il diniego opposto dal Comune alla richiesta di accesso alle immagini che lo riguardano;
• la mancata stipula di idonei accordi con i responsabili del trattamento.

Nel corso dell’istruttoria il Garante aveva già emesso il provvedimento n. 68 del 13 febbraio 2025, con cui aveva ingiunto al Comune di fornire elementi informativi richiesti. Il successivo riscontro dell’Ente è ritenuto solo parziale e inadeguato.

Liceità del trattamento e base giuridica

L’Autorità richiama la disciplina applicabile ai soggetti pubblici, in particolare gli artt. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), e 2-ter del Codice, nonché la normativa di settore sulla sicurezza urbana.

Il Garante osserva che:

• il patto con la Prefettura prodotto dal Comune è generico e non specifica puntualmente numero di telecamere e aree effettivamente sottoposte a videosorveglianza;
• gli atti della Giunta municipale, adottati unilateralmente, non bastano a fondare la legittimità del trattamento;
• il protocollo provinciale sulla rete di videosorveglianza riguarda l’interconnessione di sistemi già esistenti, non la base giuridica del trattamento originario;
• per i dispositivi con lettura automatizzata delle targhe non risulta una disciplina specifica idonea a legittimarne l’impiego nel caso concreto.

Ne deriva la violazione del principio di liceità, correttezza e trasparenza e degli artt. 5, 6 e 2-ter.

Trasparenza e informativa agli interessati

Il Garante accerta anche la violazione degli artt. 12 e 13 GDPR. In particolare:

• non vi è prova adeguata dell’effettiva affissione dei cartelli di primo livello in prossimità delle aree videosorvegliate;
• il Comune dichiara che alcuni cartelli devono ancora essere integrati;
• l’informativa di secondo livello non è chiaramente individuata né correttamente resa accessibile.

Il cartello prodotto è ritenuto non conforme perché:

• indica finalità troppo generiche, come la mera “tutela del patrimonio”;
• non riporta correttamente il riferimento al RPD;
• menziona solo alcuni diritti dell’interessato, omettendo quelli di limitazione e opposizione;
• rimanda, per errore, al sito del Garante invece che a quello del Comune, compromettendo il sistema informativo stratificato richiesto dalla normativa.

Valutazione di impatto sulla protezione dei dati

Poiché si tratta di sorveglianza sistematica su larga scala di una zona accessibile al pubblico, il Comune era tenuto a svolgere una DPIA ai sensi dell’art. 35, par. 3, lett. c), GDPR.

L’Autorità rileva che:

• il Comune dichiara inizialmente di non disporre della valutazione di impatto;
• solo successivamente afferma di aver avviato lo studio e la realizzazione della DPIA.

La violazione dell’art. 35 è quindi confermata per mancato svolgimento della DPIA prima dell’avvio del trattamento.

Responsabili del trattamento e accordi mancanti o inadeguati

Il Garante verifica anche la conformità dell’art. 28 GDPR. Il Comune afferma che due ditte installatrici e manutentrici del sistema siano state designate responsabili del trattamento, ma non prova:

• la data certa di stipula degli atti;
• la loro esistenza prima dell’avvio dei trattamenti;
• la piena conformità degli accordi ai requisiti dell’art. 28, par. 3 e 9, GDPR.

Gli accordi prodotti risultano incompleti rispetto agli impegni minimi richiesti dal Regolamento.

Diniego del diritto di accesso ai dati personali

Il reclamante aveva chiesto accesso alle immagini che lo riguardavano, ai sensi degli artt. 12 e 15 GDPR. Il Comune aveva respinto la richiesta sostenendo che fosse non motivata secondo il regolamento comunale sulla videosorveglianza.

Il Garante chiarisce che:

• il diritto di accesso ex art. 15 GDPR non richiede alcuna motivazione;
• non spetta al titolare valutare l’utilità della richiesta per l’interessato;
• il regolamento comunale non può introdurre limiti incompatibili con il GDPR;
• è illegittimo anche il richiamo a un contributo spese preventivo e generalizzato, poiché l’accesso è gratuito salvo richieste manifestamente infondate o eccessive.

Il diniego viene quindi giudicato in violazione degli artt. 12 e 15 GDPR.

Prescrizioni già impartite e loro mancato pieno adempimento

Il provvedimento dà atto che il Comune non ha dato pieno seguito al precedente ordine del Garante del 13 febbraio 2025. In particolare non ha chiarito in modo adeguato:

• la natura e la provenienza delle telecamere di lettura targhe e di contesto;
• eventuali comunicazioni dei dati di targa ad altri soggetti pubblici;
• i tempi di conservazione e le modalità di consultazione;
• l’esistenza di altri patti sulla sicurezza urbana;
• la data certa degli accordi con i responsabili;
• l’effettiva pubblicazione dell’informativa di secondo livello;
• la reale presenza e utilizzazione di fototrappole.

Questo comporta la violazione degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice.

Misure correttive e limitazioni al trattamento

Ai sensi dell’art. 58, par. 2, il Garante dispone:

• la limitazione del trattamento in corso, vietando ogni ulteriore trattamento dei dati relativi alle targhe dei veicoli in transito acquisiti tramite i dispositivi video;
• la cancellazione dei dati delle targhe conservati negli archivi comunali;
• una ricognizione di tutte le telecamere presenti sul territorio comunale;
• la verifica, anche tramite revisione degli accordi con le autorità di pubblica sicurezza, di quali impianti siano effettivamente strumentali alla sicurezza urbana;
• l’adozione di un’informativa pienamente conforme e lo svolgimento della DPIA per i trattamenti confermati;
• la verifica sull’eventuale presenza di fototrappole e, se esistenti o esistite, la trasmissione di tutti gli elementi informativi richiesti.

Il Comune deve comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante applica due sanzioni distinte, cumulabili ai sensi dell’art. 83, par. 3, GDPR:

• euro 8.000 per la prima condotta, relativa al trattamento video illecito e al diniego dell’accesso;
• euro 4.000 per la seconda condotta, relativa al mancato pieno adempimento alle prescrizioni del Garante.

Importo complessivo: euro 12.000.

Nella quantificazione, l’Autorità considera:

• la natura colposa della prima condotta;
• l’assenza di dati particolari ex art. 9 GDPR;
• la gravità media della violazione, ma anche la delicatezza dei dati di targa;
• le ridotte dimensioni del Comune;
• l’assenza di precedenti pertinenti per la prima condotta;
• la scarsa cooperazione con l’Autorità;
• per la seconda condotta, il carattere doloso del mancato completo riscontro e il disvalore dell’ulteriore ostacolo all’istruttoria.

Dispositivo finale e pubblicazione

Il Garante:

• dichiara l’illiceità del trattamento;
• ordina al Comune di Tuscania il pagamento di euro 12.000;
• informa della facoltà di definizione agevolata ex art. 166, comma 8, Codice;
• dispone la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante;
• dispone la pubblicazione del provvedimento sul sito dell’Autorità;
• ordina l’annotazione nel registro interno delle violazioni.

È inoltre indicata la possibilità di ricorso davanti all’autorità giudiziaria ordinaria entro i termini di legge.