Ordinanza ingiunzione o revoca n. 313 del 18/07/2023

Impresa individuale Ermeslink di Giovanni Di Stefano: trattamento illecito nel servizio di videosorveglianza per il Comune di Modica

Il provvedimento riguarda il trattamento di dati personali effettuato nell’ambito di un sistema di videosorveglianza installato presso i cassonetti per la raccolta dei rifiuti nel Comune di Modica. Il Garante è intervenuto a seguito di una segnalazione di un cittadino e ha accertato che l’impresa incaricata della gestione tecnica del sistema aveva operato, per un periodo iniziale, senza un valido inquadramento del rapporto con il Comune ai sensi dell’art. 28 GDPR.

Origine del procedimento e attività istruttoria

La segnalazione lamentava una presunta violazione della disciplina privacy per l’uso di telecamere nei pressi dei cassonetti. Dagli accertamenti è emerso che il Comune aveva affidato all’impresa Ermeslink la fornitura, gestione e manutenzione dei dispositivi video, nonché il prelievo e l’analisi dei filmati relativi a violazioni ambientali.

Nel corso dell’istruttoria, il Comune ha riferito di avere affidato l’incarico per contrastare l’abbandono dei rifiuti e il conferimento non corretto dei rifiuti solidi urbani, nominando il titolare dell’impresa anche ausiliario di Polizia Giudiziaria per il prelievo, l’analisi e la consegna dei filmati. Successivamente ha dichiarato di avere stipulato un accordo sul trattamento dei dati personali ai sensi dell’art. 28 GDPR con apposita determina, mentre prima vi era solo un verbale di ausiliario giudiziario.

L’impresa ha sostenuto che il sistema fosse obsoleto, che le telecamere funzionanti fossero solo cinque, utilizzate alternativamente, e che la propria attività fosse svolta in buona fede, sotto le direttive del Comune e della Polizia Municipale. Ha inoltre affermato che il servizio era durato circa 15/20 giorni e che i dati erano stati trattati da un solo soggetto.

Quadro normativo richiamato

Il Garante ha richiamato innanzitutto gli artt. 6, par. 1, lett. c) ed e), e 5 GDPR, osservando che il trattamento da parte di un ente pubblico è lecito solo se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, fermo restando il rispetto dei principi generali di protezione dei dati.

Per quanto riguarda il rapporto tra Comune e impresa, è stato ribadito che, ai sensi dell’art. 28 GDPR, il responsabile del trattamento deve essere designato con un contratto o altro atto giuridico scritto che disciplini puntualmente materia, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati, obblighi e diritti del titolare, e che il responsabile agisca solo su istruzione documentata del titolare.

Sono stati inoltre richiamati gli artt. 58, par. 2, lett. i), e 83 GDPR, l’art. 166 del Codice privacy e l’art. 2-ter del Codice, in relazione alla violazione dei presupposti di liceità e alla comunicazione illecita di dati.

Valutazioni del Garante sulla liceità del trattamento

Secondo il Garante, il trattamento svolto dall’impresa per conto del Comune è stato avviato senza che il ruolo fosse regolato in modo conforme all’art. 28 GDPR. La nomina ad ausiliario di Polizia Giudiziaria non è stata considerata sufficiente, poiché non presentava i contenuti richiesti per un atto giuridico di designazione del responsabile del trattamento.

In assenza di una valida nomina e di altri specifici presupposti giuridici invocati dall’impresa, il trattamento è stato giudicato privo di una condizione di liceità e quindi in violazione dei principi di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), e dell’art. 6 GDPR, in combinato disposto con l’art. 2-ter del Codice privacy.

Il Garante ha inoltre richiamato precedenti analoghi e le Linee guida EDPB sui concetti di titolare e responsabile del trattamento, a supporto dell’interpretazione secondo cui il rapporto di responsabilità non può essere surrogato da una diversa qualificazione formale non coerente con l’art. 28 GDPR.

Difese dell’impresa e loro mancato accoglimento

L’impresa ha insistito su diversi profili difensivi: breve durata dell’irregolarità, buona fede, operatività su istruzioni dell’ente, limitazione dell’accesso ai dati, mancata diffusione e adozione di misure di sicurezza. Ha sostenuto che la nomina ad ausiliario di PG le avesse consentito di operare in deroga o in equivalenza al responsabile esterno.

Il Garante ha ritenuto tali elementi non idonei a superare i rilievi contestati. Le dichiarazioni difensive non hanno consentito l’archiviazione del procedimento e non ricorreva alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Determinazione della sanzione

Accertata l’illiceità del trattamento, il Garante ha applicato la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a), GDPR. Nell’individuare l’importo, sono stati considerati i criteri dell’art. 83, par. 2 e 3, GDPR.

In particolare, il Collegio ha tenuto conto:

• della potenziale ampiezza della platea degli interessati, pari ai residenti del Comune di Modica e anche ai non residenti transitanti nell’area;
• della durata comunque limitata del trattamento in assenza di valido art. 28 GDPR, stimata in circa 6 mesi;
• dell’assenza di dolo;
• dell’assenza di precedenti violazioni a carico dell’impresa.

Sulla base di tali elementi, la sanzione è stata determinata in euro 5.000.

Dispositivo e conseguenze operative

Il Garante ha rilevato l’illiceità del trattamento effettuato dall’impresa individuale Ermeslink di Giovanni Di Stefano e ha ordinato il pagamento della sanzione di euro 5.000.

È stata inoltre richiamata la facoltà, prevista dall’art. 166, comma 8, del Codice, di definire la controversia entro 30 giorni versando un importo pari alla metà della sanzione comminata. In caso di mancata definizione, l’ordinanza ingiunzione produce gli effetti esecutivi previsti dall’art. 27 della l. n. 689/1981.

Infine, il provvedimento ha disposto:

• la pubblicazione sul sito web del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del Regolamento n. 1/2019;
• l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate;
• la possibilità di ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o entro 60 giorni se il ricorrente risiede all’estero.