Costa caro al Comune la caccia al trasgressore senza il rispetto della privacy

Lo ha evidenziato il Garante per la protezione dei dati personali con tre interessanti provvedimenti sanzionatori nn. 312, 313 e 314 adottati il 18 luglio 2023 a carico di un Comune e due fornitori tecnici.

Un utente sanzionato ripetutamente per errato conferimento dei rifiuti ha presentato una segnalazione all'Autorità lamentando il ritardo nella notifica delle violazioni e l'assenza di una idonea segnaletica. Il Garante ha aperto un'istruttoria che si è conclusa con l'applicazione di tre pesanti sanzioni amministrative. La misura più severa è stata formalizzata con il provvedimento n. 321 a carico del Comune che ha trascurato la protezione dei dati personali affidando a dei fornitori esterni il servizio di verifica dei filmati senza regolare i rapporti. Anche se la gestione dei rifiuti ricade tra le attività istituzionali affidate agli enti locali il ricorso alla videosorveglianza è infatti ammesso, specifica il collegio «solo se non risulta possibile, o si riveli non efficace, il ricorso a strumenti e sistemi di controllo alternativi e Comune nel rispetto del principio di minimizzazione dei dati». L'installazione di un sistema di videosorveglianza, prosegue il documento, richiede l'adozione di adeguate informative di primo e secondo livello. Ovvero i segnali stradali con le informazioni principali e un'ulteriore informativa dettagliata generalmente disponibile sul web.

Nel caso indagato l'unico cartello affisso direttamente sul cassonetto non risultava adeguato anche nel contenuto e nelle finalità indicate. Ma non erano corretti neppure i tempi di conservazioni dei filmati, prosegue il provvedimento. Al riguardo, specifica il collegio, «deve osservarsi che il richiamo da parte del Comune all'art. 6, comma 8, del d.l. 23 febbraio 2009, n. 11, ai fini della definizione dei tempi di conservazione dei filmati acquisiti mediante i dispositivi video, non risulta del tutto coerente, atteso che, nel contesto in questione, il Comune non perseguiva finalità connesse alla c.d. sicurezza urbana, che è disciplinata da uno specifico quadro normativo di settore, del d.l. 20 febbraio 2017, n. 14, ai sensi del quale i Comuni possono istallare sistemi di videosorveglianza per perseguire obiettivi di prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria, previa stipula di un patto per l'attuazione della sicurezza urbana con la Prefettura territorialmente competente. (…) Atteso che il predetto termine di sette giorni, definito dal d.l. 23 febbraio 2009, n. 11, non è applicabile nel contesto di specie, il Comune, nel rispetto dei principi di responsabilizzazione, limitazione della conservazione e protezione dei dati per impostazione predefinita, avrebbe dovuto definire il termine massimo di conservazione delle immagini raccolte mediante i dispositivi video ai fini dell'accertamento delle violazioni amministrative in materia ambientale, motivando adeguatamente le scelte effettuate. Peraltro, dal reclamo emerge che le violazioni amministrative sono state comunque accertate oltre un mese dopo la data delle in cui le immagini sono state registrate, avendo, pertanto, il Comune comunque conservato dette immagine oltre il predetto termine di sette giorni».

Nei rapporti con i fornitori esterni del servizio l'Autorità annota ulteriori criticità formali per la mancanza di un contratto o altro atto giuridico che vincoli il privato alle indicazioni del titolare del trattamento ai sensi dell'art. 28 del GDPR. Non ha alcun significato, specifica il provvedimento centrale, «che alle predette aziende fossero state attribuite e funzioni di polizia giudiziaria, tenuto conto che gli atti adottati a tal fine dal Comune non possono considerarsi accordi sulla protezione dei dati stipulati tra titolare e responsabile del trattamento, difettando degli elementi inderogabilmente previsti dall'art. 28 del Regolamento».

Per questa mancanza di accordi sono state infatti applicate ulteriori sanzioni alle due ditte che si sono succedute nel tempo, rispettivamente di 5mila euro con il provvedimento n. 313 e di 10mila euro con il provvedimento n. 314. Il Comune è stato infine bacchettato anche per la nomina tardiva del responsabile della protezione dei dati personali con l'applicazione della sanzione più grave, di 45 mila euro.

(Fonte: Diritto e Giustizia)