Ordinanza ingiunzione o revoca n. 727 del 27/11/2024

Comune di Torrenova - informativa privacy nei verbali per violazioni del Codice della strada

Il Garante ha esaminato il trattamento di dati personali svolto dal Comune di Torrenova nell'ambito delle procedure di accertamento e notificazione delle violazioni del Codice della strada. Il procedimento è scaturito da un reclamo dell'interessato, che lamentava una informativa privacy incompleta e non agevolmente reperibile, oltre all'uso di un modello di verbale non aggiornato.

Origine del reclamo e fatti contestati

Il reclamante ha riferito che nel verbale di contestazione gli erano state fornite solo informazioni sintetiche sul trattamento, con rinvio agli artt. 7, 8, 9 e 10 del d.lgs. 196/2003 e senza indicazione di un link o di un canale per consultare l'informativa estesa. Ha inoltre rappresentato, a seguito di accesso agli atti, che il Comune aveva affidato a un soggetto esterno la gestione globale dei procedimenti sanzionatori in materia di Codice della strada, con indicazione di un responsabile del trattamento.

Attività istruttoria

L'Ufficio ha chiesto chiarimenti al Comune ai sensi dell'art. 157 del Codice privacy. Il Comune ha dichiarato di essersi attivato dopo le doglianze dell'interessato, di aver consultato il DPO e di aver ritenuto opportuno inserire nel documento di contestazione una dicitura relativa all'affidamento esterno, limitato però alla postalizzazione. In memoria difensiva ha precisato che la violazione era involontaria, dovuta all'utilizzo di un modello preesistente, e che erano già stati predisposti:

• un'informativa completa;
• l'indicazione esplicita del DPO;
• un nuovo modello di accertamento con il responsabile esterno e i riferimenti normativi aggiornati.

Quadro normativo richiamato

Il Garante ha richiamato la disciplina del GDPR applicabile ai soggetti pubblici, evidenziando che il trattamento è lecito se necessario per adempiere obblighi di legge o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, ai sensi dell'art. 6, par. 1, lett. c) ed e), nonché dell'art. 2-ter del Codice privacy. Ha poi richiamato il principio di liceità, correttezza e trasparenza di cui all'art. 5, par. 1, lett. a), e gli obblighi informativi degli artt. 12, 13 e 14 GDPR.

Valutazione sull'informativa resa agli interessati

L'Autorità ha rilevato che l'informativa inizialmente riportata nei verbali non era conforme ai requisiti di legge. In particolare, il primo livello non indicava correttamente tutti gli elementi necessari e non spiegava come accedere a un'informativa di secondo livello completa. Inoltre, vi erano riferimenti normativi non aggiornati. Quanto all'informativa estesa, il Garante ha osservato che, pur adottando il Comune un approccio stratificato, essa risultava ancora carente, perché non indicava in modo adeguato:

• le modalità di esercizio dei diritti degli interessati ex artt. 15-22 GDPR;
• il diritto di proporre reclamo all'Autorità.

Ha inoltre rilevato che l'informativa non era facilmente reperibile sul sito istituzionale, essendo collocata in una sezione non immediata e non specificamente dedicata ai trattamenti relativi alle violazioni del Codice della strada.

Illiceità del trattamento e conseguenze

Sulla base degli accertamenti, il Garante ha concluso che il Comune ha violato gli artt. 5, par. 1, lett. a), 12 e 13 GDPR, per non aver reso agli interessati una preventiva e idonea informativa conforme al principio di trasparenza. Le dichiarazioni del Comune e gli interventi correttivi medio tempore adottati non sono stati ritenuti sufficienti per archiviare il procedimento.

Misure correttive ordinate

Ai sensi dell'art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• rendere l'informativa di secondo livello facilmente reperibile e accessibile;
• cancellare eventuali informative obsolete o duplicate;
• riorganizzare il sito istituzionale evitando percorsi di navigazione multipli e la cosiddetta "click fatigue";
• completare l'informativa con tutti gli elementi obbligatori previsti dagli artt. 13 e 14 GDPR, con particolare riguardo alle modalità di esercizio dei diritti e al reclamo al Garante.

È stato inoltre ordinato di comunicare entro 30 giorni dalla notifica del provvedimento le iniziative intraprese per dare attuazione alle prescrizioni.

Sanzione amministrativa pecuniaria

Il Garante ha ritenuto applicabile la sanzione di cui all'art. 83, par. 5, GDPR, richiamata anche dall'art. 166, comma 2, del Codice. Considerata l'unicità della condotta, è stato applicato l'art. 83, par. 3, GDPR. Pur richiamando il massimo edittale fino a 20.000.000 euro, l'Autorità ha valorizzato diversi elementi attenuanti:

• assenza di danni comprovati agli interessati;
• carattere colposo della violazione;
• assenza di dati particolari;
• dimensioni ridotte del Comune;
• assenza di precedenti pertinenti;
• cooperazione del titolare e successive integrazioni.

La sanzione è stata quindi determinata in euro 4.000,00, ritenuta effettiva, proporzionata e dissuasiva.

Dispositivo finale e pubblicazione

Il Garante ha ordinato al Comune di Torrenova il pagamento della sanzione pecuniaria di euro 4.000,00, con facoltà di definizione agevolata nei termini di legge mediante pagamento della metà entro 30 giorni. Ha disposto inoltre:

• la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;
• la pubblicazione del provvedimento sul sito web dell'Autorità;
• l'annotazione nel registro interno.

Avverso il provvedimento è ammesso ricorso dinanzi all'autorità giudiziaria ordinaria nei termini di cui agli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.