Senza cartelli e strumenti criptati la sanzione per il Comune è dietro l’angolo

Lo ha chiarito il Garante per la protezione dei dati personali con due provvedimenti del 22 febbraio, nn. 100 e 101, rispettivamente adottati a carico del Comune di Monterotondo e del suo ente strumentale.

Un cittadino ha segnalato all'Autorità centrale l'apposizione di telecamere in prossimità del centro per la raccolta dei rifiuti, in totale assenza di segnaletica e di informative. Per questo motivo il Garante ha avviato un'istruttoria che si è conclusa con l'applicazione di due distinti provvedimenti. Il Comune, in qualità di titolare del trattamento, ha richiesto alla società partecipata di installare dei dispositivi di controllo dotati di sensori di movimento ed in grado di registrare i comportamenti anomali dei cittadini. Ma nessuno si è poi preoccupato di posizionare informative e cartelli.

Nel rispetto del principio di liceità, correttezza e trasparenza, il titolare del trattamento che posiziona delle telecamere, specifica il collegio, deve infatti «adottare misure appropriate per fornire all'interessato, prima di iniziare il trattamento, tutte le informazioni richieste dal regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Allorquando siano impiegati dispositivi video, il titolare del trattamento, oltre a rendere l'informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle informazioni di secondo livello, che devono contenere tutti gli elementi obbligatori a norma dell'articolo 13 del regolamento». Poi non è stato formalizzato adeguatamente il rapporto tra il Comune e il suo braccio tecnico specializzato, prosegue il primo provvedimento sanzionatorio. «sia il titolare sia il responsabile del trattamento hanno la responsabilità di garantire l'esistenza di un contratto o di un altro atto giuridico che disciplini il trattamento» ai sensi dell'art. 28 del regolamento.

Non basta un accordo generico, servono istruzioni dettagliate «sul modo in cui saranno soddisfatti i requisiti e sul livello di sicurezza previsto per il trattamento dei dati personali oggetto dell'accordo. Pertanto, il contratto tra le parti dovrebbe essere redatto tenendo conto della specifica attività di trattamento dei dati, disciplinando, in particolare: oggetto del trattamento con specifiche sufficienti affinché l'oggetto principale del trattamento sia chiaro; la durata del trattamento; la natura del trattamento: il tipo di operazioni eseguite nell'ambito del trattamento e la finalità del trattamento, fermo restando che, tale descrizione dovrebbe essere la più completa possibile, a seconda dell'attività di trattamento specifica, in modo da consentire a soggetti esterni di comprendere il contenuto e i rischi del trattamento affidato al relativo responsabile; la tipologia di dati personali, questo elemento dovrebbe essere specificato nel modo più dettagliato possibile; le categorie di interessati, anche questo aspetto dovrebbe essere indicato in modo piuttosto specifico».

Sulla sicurezza del trattamento è arrivato l'affondo finale del collegio. «Nonostante le immagini riprese dai dispositivi video in questione venissero memorizzate in locale su un supporto di memoria astrattamente rimovibile da chiunque, il Comune non ha dunque adottato tecniche di cifratura dei dati o altre tecniche comunque idonee a prevenire il rischio di accesso non autorizzato alle immagini registrate prima dell'eventuale prelievo del supporto di memoria da parte degli incaricati». In conclusione, mentre il Comune è stato sanzionato anche con l'applicazione di una sanzione pecuniaria la società partecipata è stata soltanto ammonita con la pubblicazione di entrambi i provvedimenti sul sito dell'Autorità.

(Fonte: Diritto e Giustizia)