Ordinanza ingiunzione o revoca n. 766 del 12/12/2024

Comune di Portici: videosorveglianza semaforica senza informativa e senza DPIA

Il Garante per la protezione dei dati personali ha irrogato una sanzione amministrativa al Comune di Portici per il trattamento di dati personali effettuato mediante un sistema di videosorveglianza finalizzato all'accertamento delle infrazioni semaforiche. Il procedimento è stato avviato a seguito di una segnalazione di diversi cittadini e si è concluso con l'accertamento della violazione degli obblighi di trasparenza informativa e della mancata valutazione d'impatto preventiva.

Origine del procedimento e attività istruttoria

La segnalazione riguardava l'utilizzo di telecamere per la rilevazione automatica del passaggio con semaforo rosso da parte del Comune. Dalle fotografie allegate e dagli elementi raccolti è emerso che, almeno inizialmente, presso i luoghi di installazione non erano presenti cartelli informativi idonei a rendere conoscibile il trattamento.

Nel corso dell'istruttoria, il Comune ha rappresentato che il sistema EnVES EVO MVD 1505 era stato installato per ridurre l'incidentalità stradale e che il trattamento riguardava solo le infrazioni effettivamente rilevate. Ha inoltre sostenuto che non fosse necessario preavviso specifico e che non fosse dovuta la DPIA, salvo poi produrla successivamente all'avvio del procedimento e installare i cartelli informativi.

Trattamento esaminato

Il trattamento oggetto di esame consisteva nella rilevazione automatica e nella successiva validazione, da parte di personale della Polizia locale, delle infrazioni semaforiche, con acquisizione di immagini statiche e dati identificativi del veicolo, in particolare la targa. Il Comune ha dichiarato che le immagini dei soggetti non coinvolti venivano oscurate e che i dati erano importati nel software gestionale del Corpo di Polizia locale solo dopo la validazione.

Violazione del principio di trasparenza e degli obblighi informativi

Il Garante ha richiamato l'art. 5, par. 1, lett. a), e gli artt. 12 e 13 GDPR, nonché le Linee guida 3/2019 del Comitato europeo per la protezione dei dati e il Provvedimento generale sulla videosorveglianza dell'8 aprile 2010. In caso di videosorveglianza, infatti, il titolare deve fornire:

• un'informativa di primo livello tramite segnaletica ben visibile in prossimità dell'area controllata;
• un'informativa di secondo livello, facilmente accessibile e contenente tutti gli elementi obbligatori dell'art. 13 GDPR.

Nel caso concreto, per il periodo compreso tra l'attivazione del sistema e il successivo adeguamento, il Comune non aveva reso alcuna informativa agli interessati. Il Garante ha quindi ritenuto integrata la violazione del principio di liceità, correttezza e trasparenza.

Mancata valutazione d'impatto sulla protezione dei dati

L'Autorità ha osservato che il trattamento presentava un rischio elevato, in quanto riconducibile a una sorveglianza sistematica su larga scala di una zona accessibile al pubblico, ipotesi espressamente contemplata dall'art. 35, par. 3, lett. c), GDPR. Ne deriva l'obbligo di redigere una DPIA prima dell'avvio del trattamento.

Il Comune ha invece dichiarato di aver ritenuto, inizialmente, non necessaria tale valutazione e di averla predisposta soltanto in seguito. Il Garante ha quindi accertato la violazione dell'art. 35 GDPR, sottolineando che la DPIA è uno strumento preventivo di accountability e non può essere surrogata da un adempimento successivo.

Valutazione complessiva dell'illecito

Secondo il Garante, le dichiarazioni del Comune non erano sufficienti a giustificare l'archiviazione del procedimento. È stata pertanto confermata l'illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a), 12, 13 e 35 GDPR.

Il caso è stato qualificato come condotta unitaria, riferita al medesimo sistema di videosorveglianza, con applicazione dell'art. 83, par. 3, GDPR. La violazione più grave è stata ricondotta agli obblighi informativi e alla trasparenza, sanzionabili ai sensi dell'art. 83, par. 5, GDPR.

Determinazione della sanzione

Ai fini della quantificazione della sanzione, il Garante ha considerato:

• la natura e gravità della violazione, con omissione dell'informativa e mancata DPIA;
• il carattere colposo della condotta, poiché il Comune ha ritenuto erroneamente non dovuti gli adempimenti;
• l'assenza di precedenti pertinenti;
• la cooperazione mostrata, avendo il Comune successivamente installato i cartelli, pubblicato l'informativa estesa e redatto la DPIA;
• il fatto che i trattamenti non riguardavano categorie particolari di dati.

La sanzione è stata fissata in euro 6.000, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell'art. 83, par. 1, GDPR. È stata inoltre richiamata la possibilità di definizione agevolata mediante pagamento della metà dell'importo entro 30 giorni.

Dispositivo

Il Garante ha quindi:

• rilevato l'illiceità del trattamento effettuato dal Comune di Portici per violazione degli artt. 5, par. 1, lett. a), 12, 13 e 35 GDPR;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 6.000;
• disposto la pubblicazione dell'ordinanza ingiunzione sul sito internet dell'Autorità;
• disposto la pubblicazione del provvedimento sul sito del Garante e l'annotazione nel registro interno.

È stato infine indicato che avverso il provvedimento è possibile proporre ricorso all'autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.