Ordinanza ingiunzione o revoca n. 374 del 20/06/2024

Comune di Forlì – trattamento illecito dei dati nell’app Falco e nel sistema di videosorveglianza comunale

Il provvedimento riguarda il Comune di Forlì, quale titolare del trattamento, in relazione al progetto "Falco – Città protetta" e all’uso del sistema comunale di videosorveglianza connesso alle segnalazioni dei cittadini. L’istruttoria è stata avviata dopo l’emersione pubblica del progetto e ha portato all’accertamento di plurime violazioni del GDPR, nonostante il Comune avesse progressivamente adottato misure di regolarizzazione e poi disattivato l’app.

Contesto fattuale e funzionamento del sistema

Il progetto prevedeva un’applicazione mobile che consentiva agli utenti di segnalare situazioni di degrado o allarme alla Polizia locale, visualizzando le aree videosorvegliate e richiamando l’attenzione degli operatori sui filmati relativi alla zona interessata. La componente server gestiva le segnalazioni anonime o anonimizzate, conservando per un periodo limitato il numero di telefono associato alla segnalazione, le coordinate statiche e il timestamp, per eventuali richiami da parte della centrale operativa.

L’app è stata resa disponibile sugli store nel periodo dicembre 2021-gennaio 2022, poi modificata ad aprile 2022, sospesa a fine aprile, riattivata a giugno e infine rimossa l’11 luglio 2022 a seguito dell’avvio dell’istruttoria.

Responsabilizzazione, privacy by design e basi giuridiche

Il Garante ha ritenuto che il Comune abbia agito senza aver preventivamente e correttamente strutturato il trattamento sotto il profilo della base giuridica, dei ruoli e delle misure organizzative. In particolare, l’app Falco è stata messa online quando era ancora in fase beta e prima che fossero completati i necessari passaggi di compliance, nonostante il RPD avesse segnalato ripetutamente la necessità di sospendere o depotenziarne il funzionamento.

Secondo l’Autorità, il trattamento non era stato adeguatamente progettato in conformità ai principi di cui agli artt. 5, par. 2, 24 e 25 GDPR. Sono stati ritenuti problematici, tra l’altro, l’inserimento di categorie di segnalazione troppo ampie o non pertinenti, come "altra segnalazione", nonché la possibilità di trattare segnalazioni potenzialmente riferite a fatti di rilievo penale o a categorie particolari di dati.

Trasparenza e informativa agli interessati

L’informativa privacy è stata pubblicata sul sito istituzionale solo il 22 aprile 2022, con aggiornamento il 2 maggio 2022, mentre l’app era già disponibile da mesi. Il Garante ha quindi contestato la mancata informativa nel periodo dicembre 2021-21 aprile 2022, in violazione degli artt. 5, par. 1, lett. a), 12 e 13 GDPR.

Inoltre, alcune indicazioni contenute nell’informativa sono state ritenute non corrispondenti al reale funzionamento del sistema: in particolare, le affermazioni sui tempi di conservazione e sull’azzeramento dei dati durante la fase sperimentale non trovavano riscontro nella documentazione tecnica acquisita. È stato anche rilevato che l’informativa non menzionava l’acquisizione delle coordinate geografiche statiche a intervalli di 3,5 secondi.

Rapporti con FMI quale responsabile del trattamento

Dall’istruttoria è emerso che FMI svolgeva attività per conto del Comune nell’ambito della gestione dei sistemi di videosorveglianza e dell’app Falco, con conseguente qualificazione sostanziale quale responsabile del trattamento. Tuttavia, l’accordo ex art. 28, par. 3, GDPR è stato formalizzato soltanto nell’agosto 2022, mentre la gestione dei trattamenti era già in corso da tempo.

Il Garante ha quindi ravvisato la violazione dell’obbligo di regolare il rapporto con il responsabile mediante atto scritto contenente gli elementi richiesti dal GDPR.

Valutazione d’impatto e misure di sicurezza

L’utilizzo dell’applicazione e del sistema connesso è stato ritenuto idoneo a determinare un rischio elevato per i diritti e le libertà degli interessati, anche per la possibile raccolta di dati relativi all’ubicazione e a situazioni delicate o potenzialmente penalmente rilevanti. Per questo, secondo il Garante, il Comune avrebbe dovuto svolgere una valutazione d’impatto sulla protezione dei dati prima dell’avvio del trattamento, ai sensi dell’art. 35 GDPR.

Sul piano della sicurezza, è stato accertato che gli operatori della Polizia locale accedevano al sistema tramite una password generica fornita da FMI, in assenza di credenziali personali e di una disciplina di servizio adeguata. Tale modalità è stata ritenuta non conforme al principio di integrità e riservatezza e all’art. 32 GDPR.

Esito finale, sanzione e pubblicazione

Il Garante ha dichiarato l’illiceità del trattamento effettuato dal Comune di Forlì, rilevando la violazione degli artt. 5, par. 1, lett. a) e f), 5, par. 2, 12, par. 1, 13, 24, 25, 28, par. 3, 32 e 35, par. 1, GDPR.

Non essendo più attuale la condotta e non ricorrendo i presupposti per ulteriori misure correttive, l’Autorità ha adottato ordinanza ingiunzione e ha irrogato una sanzione complessiva di 15.000 euro:

• 10.000 euro per le violazioni connesse ai trattamenti mediante dispositivi video;
• 5.000 euro per le violazioni connesse al sistema Falco.

È stata inoltre disposta la pubblicazione del provvedimento sul sito web del Garante. È stato infine ricordato che il Comune può definire la controversia con il pagamento in misura ridotta, pari alla metà della sanzione, entro 30 giorni, e che avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria nei termini di legge.