Ordinanza ingiunzione o revoca n. 636 del 23/09/2026

Videosorveglianza comunale del Comune di Arvier: illiceità, misure correttive e sanzione

Il provvedimento del 23 settembre 2026 riguarda il sistema di videosorveglianza del Comune di Arvier, oggetto di reclamo per la ripresa della facciata di un’abitazione privata. Al termine dell’istruttoria il Garante ha dichiarato illecito il trattamento, disposto misure correttive e irrogato una sanzione amministrativa pecuniaria di 4.000 euro.

Origine del procedimento e configurazione dell’impianto

La reclamante ha lamentato che una telecamera comunale installata sulla pubblica via riprendesse anche la propria abitazione. Il sistema era stato realizzato nel 2011-2012 e ampliato nel 2013 e nel 2015-2016. Il Comune ha riferito che le telecamere erano impiegate per finalità diverse, tra cui sicurezza, controllo del territorio e dell’ambiente, viabilità, parcheggi, protezione civile e tutela del patrimonio pubblico. La telecamera contestata era destinata, secondo l’Ente, al controllo di un parcheggio, dell’area di conferimento dei rifiuti e della viabilità verso il plesso scolastico. Il Comune ha giustificato l’angolo di ripresa con esigenze tecniche e logistiche, ma ha riconosciuto che l’inquadratura intercettava la facciata dell’abitazione, inclusi balconi, finestre e portefinestre, pur senza riprendere l’ingresso o gli ambienti interni. Dopo il reclamo e l’avvio dell’attività istruttoria è stato attivato un sistema digitale permanente di privacy masking sulla porzione privata.

Base giuridica e liceità delle finalità amministrative

Il Garante ha ricordato che il trattamento da parte di soggetti pubblici mediante dispositivi video deve fondarsi, secondo i casi, sull’art. 6, par. 1, lett. c) o e), GDPR, e su una base giuridica di qualità ai sensi dell’art. 6, parr. 2 e 3. La base deve disciplinare gli elementi essenziali del trattamento con sufficiente chiarezza e precisione; in Italia l’art. 2-ter, comma 1, del Codice individua tale base in una norma di legge o di regolamento o in atti amministrativi generali.

Il Comune aveva richiamato gli artt. 13, 50 e 107 del d.lgs. n. 267/2000 (TUEL), l’art. 11-bis della l.r. Valle d’Aosta n. 11/2005, la DGR n. 707/2011 e il regolamento comunale sulla videosorveglianza. Secondo il Garante, tali fonti non fornivano una base giuridica adeguata per le diverse finalità amministrative: le norme del TUEL attribuiscono funzioni agli enti locali e disciplinano competenze, ma non regolano l’impiego di dispositivi video e i relativi trattamenti; la disposizione regionale e la DGR riguardano il finanziamento e la promozione di progetti, non gli elementi essenziali del trattamento. Anche il regolamento comunale poteva dettagliare modalità tecniche e organizzative, ma non introdurre trattamenti non previsti da fonti sovraordinate.

Il Garante ha inoltre chiarito che le disposizioni sulla sicurezza integrata, compreso il d.l. n. 14/2017 e le Linee generali adottate in Conferenza Unificata il 24 gennaio 2018, riguardano la collaborazione e l’eventuale uso in comune dei sistemi da parte delle forze di polizia e della polizia locale; non costituiscono la base giuridica dei trattamenti comunali a monte. La finalità di sicurezza urbana, tenute presenti le peculiarità dell’ordinamento valdostano, non era stata oggetto di contestazione nel procedimento, ma ciò non giustificava automaticamente le ulteriori finalità amministrative.

Quanto alla telecamera contestata, la ripresa estesa della pubblica via e degli edifici circostanti non era proporzionata al monitoraggio dell’area rifiuti, che rappresentava solo una porzione limitata del campo visivo. Per il semplice monitoraggio dei flussi di traffico il Garante ha ricordato che possono essere utilizzate riprese generali e a bassa risoluzione, tali da non rendere identificabili persone o targhe, richiamando il provvedimento generale in materia di videosorveglianza dell’8 aprile 2010. Il trattamento di filmati e targhe per le finalità amministrative non adeguatamente giustificate è stato quindi ritenuto in violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché dell’art. 2-ter del Codice.

Minimizzazione e protezione dei dati fin dalla progettazione

La ripresa della facciata privata non era necessaria per le finalità dichiarate e costituiva un’ingerenza sproporzionata nella vita privata e nella protezione dei dati, tutelate anche dall’art. 8 CEDU e dagli artt. 7, 8 e 52 della Carta dei diritti fondamentali dell’Unione europea. L’inquadratura violava il principio di minimizzazione di cui all’art. 5, par. 1, lett. c), GDPR. Le ragioni tecniche, logistiche e di opportunità addotte dal Comune non giustificavano la configurazione adottata.

Ai sensi dell’art. 25 GDPR, le misure tecniche e organizzative, comprese le tecnologie di mascheramento o oscuramento delle zone non pertinenti, devono essere considerate già in fase di progettazione e configurazione del sistema. Il privacy masking attivato solo dopo il reclamo dimostrava che una soluzione tecnica era praticabile, ma avrebbe dovuto essere applicata dall’inizio. Il Garante ha pertanto accertato anche la violazione degli artt. 5, par. 1, lett. c), e 25 GDPR, richiamando le Linee guida EDPB 3/2019 sui dispositivi video, in particolare i paragrafi 126 e 129, e le Linee guida EDPB 4/2019 sull’art. 25, del 20 ottobre 2020.

Trasparenza e informative agli interessati

Per la videosorveglianza il Garante ha richiamato l’obbligo di fornire un’informativa stratificata: cartelli di primo livello in prossimità delle aree sorvegliate e informazioni di secondo livello, facilmente accessibili e contenenti gli elementi dell’art. 13 GDPR. I cartelli devono indicare, tra l’altro, le finalità, l’identità del titolare, i diritti e un riferimento chiaro all’informativa estesa; devono inoltre rendere note le informazioni che potrebbero risultare inattese, come la trasmissione a terzi o il periodo di conservazione. Sono stati richiamati i paragrafi 7, 114 e 115 delle Linee guida EDPB 3/2019, il provvedimento generale del Garante dell’8 aprile 2010 e le FAQ del 3 dicembre 2020.

Il Comune aveva riferito di avere installato originariamente quattro cartelli, senza poter documentare la data di installazione; erano stati poi rimossi in occasione di lavori o per altre esigenze. La documentazione mostrava che i cartelli originari richiamavano genericamente la sicurezza e l’abrogato art. 13 del Codice, senza indicare le diverse finalità amministrative. Dopo l’avvio dell’istruttoria erano stati installati pannelli provvisori, ma anche questi riportavano finalità numerose ed eterogenee senza associare a ciascuna una base giuridica specifica. I cartelli menzionavano in modo sommario il diritto di accesso, non indicavano i pertinenti riferimenti del GDPR e rinviavano alla PEC, peraltro non specificata, come unico canale per esercitare i diritti. Indicavano inoltre un periodo uniforme di conservazione di sette giorni, mutuato dalla disciplina della sicurezza urbana, senza distinguere le diverse finalità amministrative.

L’informativa estesa era stata pubblicata sul sito comunale dal novembre 2022 al 20 giugno 2024, ma il collegamento risultava malfunzionante ed era stato ripristinato solo dopo le verifiche conseguenti all’istruttoria. Le versioni prodotte erano comunque carenti: descrivevano genericamente le finalità, menzionavano impropriamente il possibile trattamento di dati particolari ex art. 9 GDPR, indicavano sette giorni di conservazione per ogni finalità, includevano i diritti di rettifica e portabilità, non pertinenti ai filmati di videosorveglianza, e nella prima versione identificavano erroneamente il segretario comunale come responsabile del trattamento. Il Garante ha concluso per la violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Valutazione d’impatto sulla protezione dei dati

Il Comune aveva dichiarato di avere adottato una DPIA il 30 luglio 2018, depositando la deliberazione della Giunta comunale n. 52 di quella data e il relativo allegato in formato .xls, nel quale la videosorveglianza figurava al numero 20. Il Garante ha ritenuto il documento inidoneo a soddisfare l’art. 35 GDPR: la videosorveglianza era descritta in una singola riga come ripresa di locali e viabilità per la generica finalità di sicurezza, senza indicare il numero e le caratteristiche delle telecamere, i sistemi di salvataggio e gestione dei filmati, ciascuna finalità e la relativa base giuridica.

Mancavano inoltre la valutazione della necessità e proporzionalità rispetto alle finalità — compresi i siti di installazione, gli angoli di ripresa, le misure per evitare aree private e le alternative meno invasive — e l’indicazione delle misure previste per affrontare i rischi. Il documento non costituiva quindi una valutazione d’impatto valida e completa, con conseguente violazione dell’art. 35 GDPR. Il Garante ha richiamato anche l’art. 35, par. 3, lett. c), e l’obbligo di consultazione preventiva previsto dall’art. 36, par. 1, qualora dalla DPIA emerga un rischio residuo elevato non ragionevolmente attenuabile.

Misure correttive e termini

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di:

• effettuare una ricognizione di tutte le telecamere presenti sul territorio;
• definire le specifiche eventuali finalità amministrative perseguite e individuare per ciascuna un’idonea base giuridica;
• configurare gli angoli di ripresa in modo da escludere abitazioni private e altri luoghi non pertinenti, ricorrendo, se necessario, a mascheramento o offuscamento;
• svolgere una valutazione d’impatto valida e completa per i trattamenti effettuati mediante i sistemi di videosorveglianza;
• riformulare le informative di primo e secondo livello.

Il Comune deve comunicare al Garante, fornendo un riscontro adeguatamente documentato sulle iniziative intraprese, entro 30 giorni dalla notifica del provvedimento, ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice.

Sanzione, criteri di quantificazione e pubblicazione

Le violazioni, riconducibili a un’unica condotta o a trattamenti collegati, sono state considerate ai fini dell’art. 83, par. 3, GDPR. Per le violazioni più gravi, soggette all’art. 83, par. 5, e richiamate dall’art. 166, comma 2, del Codice, il limite massimo indicato era di 20 milioni di euro. Nel quantificare la sanzione, il Garante ha considerato l’estesa durata della violazione, ritenuta colposa e dovuta a errate valutazioni giuridiche; ha rilevato che non erano stati trattati dati particolari ex art. 9 GDPR e ha qualificato medio il livello di gravità, richiamando le Linee guida EDPB 4/2022 sul calcolo delle sanzioni, del 24 maggio 2023, punto 60.

Sono stati inoltre considerati le dimensioni assai modeste del Comune, circa 800 abitanti, le limitate risorse organizzative ed economiche, l’assenza di precedenti violazioni pertinenti e la sufficiente cooperazione con l’Autorità, comprese le misure adottate per rimediare alla specifica ripresa contestata. In base a tali elementi, la sanzione è stata fissata in 4.000 euro, ritenuta effettiva, proporzionata e dissuasiva ai sensi dell’art. 83, par. 1, GDPR.

Il Comune può definire la controversia pagando, entro 30 giorni, un importo pari alla metà della sanzione ai sensi dell’art. 166, comma 8, del Codice. In mancanza di tale definizione, deve pagare 4.000 euro entro 30 giorni dalla notifica, pena l’avvio degli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981. Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul proprio sito, nonché l’annotazione delle violazioni e delle misure nel registro interno dell’Autorità.