I comuni che utilizzano le telecamere posizionate sulle strade per effettuare controlli ed elevare sanzioni rischiano di incorrere in misure punitive se non hanno preventivamente regolato e valutato il corretto trattamento dei dati personali e posizionato informative e cartelli stradali adeguati.
L'amministrazione che decide di utilizzare le telecamere di videosorveglianza per sanzionare i comportamenti dei cittadini senza aver aggiornato le necessarie politiche sul corretto trattamento dei dati personali rischia di incorrere in pesanti sanzioni. Anche in questo caso basta infatti il reclamo di un trasgressore per avviare l'ispezione dell'Autorità che si trasformerà in misure punitive anche se si tratta di controlli straordinari effettuati durante l' emergenza sanitaria appena trascorsa. Lo ha chiarito il Garante per la protezione dei dati personali con l'ordinanza ingiunzione numero 341 del 20 ottobre 2022. Un piccolo comune della provincia di Salerno durante il periodo di massimo rigore del piano nazionale di limitazione dei contagi contro la pandemia ha deciso di utilizzare l'impianto di videosorveglianza urbana per controllare i cittadini che uscivano senza giustificato motivo dalla propria abitazione elevando sanzioni e generando doglianze. Un trasgressore si è quindi rivolto all'Autorità che ha avviato una complessa istruttoria sull'utilizzo del sistema comunale di videosorveglianza che si è conclusa con l'applicazione di una sanzione amministrativa aggravata dalla scarsa collaborazione dell'ente e da una serie di irregolarità riscontrate in materia di trattamento dei dati personali. Sulla base degli accertamenti effettuati dall'Autorità di controllo risulta verificato che il reclamante è stato sanzionato dalla polizia locale per violazione del divieto di assembramento previsto dal dpcm 10 aprile 2020. La violazione è stata accertata con l'impiego delle telecamere di videosorveglianza comunale. Sono numerose le violazioni privacy accertate dal Garante in sede di verifica. Innanzitutto la mancanza di cartelli stradali chiari, aggiornati e allineati alla specifica finalità di controllo dell'emergenza sanitaria in corso. Le informazioni di primo livello ovvero il cartello di avvertimento, specifica il collegio «dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l'identità del titolare del trattamento e l'esistenza dei diritti dell'interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento. … La segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell'informativa estesa. Nel caso di specie, sebbene il comune abbia dichiarato di aver affisso un cartello informativo in prossimità dell'area in cui si sono svolti i fatti oggetti di reclamo, nel corso dell'istruttoria – nonostante le specifiche richieste formulate dall'ufficio e le interlocuzioni sul punto intercorse con il responsabile della protezione dei dati del comune – non è stata prodotta una versione integralmente leggibile di tale cartello informativo. Il comune non ha, pertanto, comprovato di aver fornito un'informativa di primo livello adeguata e conforme ai requisiti previsti dal regolamento. In particolare, il cartello informativo non fa riferimento alla finalità del trattamento che è stata perseguita in occasione dei fatti oggetto di reclamo né indica le modalità con le quali gli interessati possono consultare un'informativa completa relativa al trattamento delle immagini di videosorveglianza». Altra censura importante adottata dall'Autorità ha riguardato la limitazione delle finalità del trattamento. Nel caso oggetto di reclamo, prosegue l'ordinanza, «il comune ha trattato le immagini del proprio sistema di videosorveglianza per una finalità che non può ritenersi compatibile con quella per cui lo stesso è stato installato ovvero la tutela della pubblica sicurezza . In disparte da ogni considerazione in merito all'effettiva competenza del comune ad accertare una violazione amministrativa nell'ambito delle misure di contenimento della pandemia da SARS-CoV-2 , nonché all'idoneità di un generico sistema di videosorveglianza ai fini di tale accertamento, anche con riguardo all'identificazione del trasgressore, si osserva, infatti, che i trattamenti di dati personali posti in essere per la finalità di trattamento connessa a tale accertamento non possono comunque considerarsi logicamente connessi o derivanti dai trattamenti posti in essere dal comune per finalità di sicurezza urbana, che sono volti alla prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria, rispetto ai quali, peraltro, la normativa di settore richiede la previa stipula di un patto per l'attuazione della sicurezza urbana tra sindaco e prefetto. Il ricorso alla videosorveglianza sulla pubblica via quale misura di contenimento della pandemia da SARS-CoV-2 si pone, altresì, in contrasto con l'aspettativa dei cittadini in merito al trattamento dei propri dati, i quali, anche in considerazione di quanto previsto dal regolamento comunale sulla videosorveglianza adottato dal comune, confidavano che le immagini acquisite dalle telecamere installate sulla pubblica via sarebbero state trattate esclusivamente per le predette finalità di sicurezza urbana. A ciò si aggiunga che nessuna specifica garanzia per gli interessati è stata adottata dal comune per ridurre l'impatto sugli stessi e assicurare la correttezza del trattamento, non avendo lo stesso fornito agli interessati alcuna informazione specifica in merito all'ulteriore finalità di trattamento perseguita, relativa all'accertamento di violazioni amministrative della normativa emergenziale per il contenimento del SARS-CoV-2». In buona sostanza secondo il Garante oltre alla violazione del principio di limitazione delle finalità il trattamento in questione è stato realizzato anche in violazione ai fondamentali principi di liceità , correttezza , trasparenza ed in assenza di una pertinente base giuridica ovvero in violazione degli articoli 5 e 6 del Gdpr . Ma non basta. Aver indicato nell'informativa che le immagini sarebbero state conservate «a tempo illimitato nel rispetto delle normativa vigente» è un evidente violazione dell'ulteriore principio di limitazione dei tempi di conservazione delle immagini. Infine aver limitato l'accesso alle immagini oggetto della contestazione rappresenta a parere del collegio un'ulteriore violazione dei fondamentali principi data protectionumero L'articolo 12 del regolamento, specifica l'ordinanza, prevede infatti «che il titolare del trattamento debba fornire gratuitamente all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 del regolamento senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Solo se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta. Se non ottempera alla richiesta dell'interessato, il titolare del trattamento deve informare l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale. Con riguardo all'esercizio dei propri diritti da parte del reclamante, si osserva che quest'ultimo aveva rivolto al comune … un'istanza di accesso immagini di videosorveglianza ai sensi dell'articolo 18 del regolamento comunale sulla videosorveglianza, adottato con delibera di consiglio comunale numero 8/2018, in base al quale per accedere ai dati ed alle immagini l'interessato dovrà presentare un'apposita istanza scritta richiedendo l'esistenza o meno del trattamento di dati che possono riguardarlo. … Con nota … il comune, in riscontro a nota PEC in data …. ha conseguentemente comunicato all'interessato che, per poter ottenere copia delle immagini estratte dal sistema di videosorveglianza, avrebbe dovuto corrispondere la somma complessiva di euro 307,84. Successivamente, con nota … il comune ha fissato la data per la visione delle immagini per il …, invitando l'interessato a inviare copia della ricevuta di versamento per il costo dell'operazione. Il comune ha, pertanto, negato all'interessato la possibilità di esercitare gratuitamente il diritto di accesso ai propri dati personali, espressamente prevista dagli articolo 12, par. 5, e 15 del regolamento, avendo subordinato lo stesso al pagamento della somma di euro 307,84, sebbene la richiesta dell'interessato non potesse considerarsi eccessiva, in violazione degli articolo 12 e 15 del regolamento». In pratica tutta l'attività di videosorveglianza a parere del Garante è risultata carente di regolarità e per questo motivo il comune è stato condannato a fornire gratuitamente all'interessato una copia dei filmati dell'evento e al pagamento di una severa sanzione amministrativa di 12 mila euro. Per la determinazione della sanzione, conclude l'interessante provvedimento, «è stata considerata la particolare natura e gravità della violazione, che si è concretizzata in un'invasiva e sproporzionata forma di sorveglianza dei cittadini, peraltro in un contesto particolarmente delicato, in cui gli stessi erano soggetti a restrizioni di carattere eccezionale per effetto delle misure di contrasto alla pandemia da SARS-CoV-2. Le forme di sorveglianza opaca degli spazi pubblici, che comportano conseguenze inaspettate sulla sfera giuridica degli interessati, possono, infatti, compromettere gravemente l'esercizio delle libertà fondamentali dei singoli, comprimere il diritto all'autodeterminazione e disincentivare la partecipazione nell'arena pubblica, fino al punto di modificare le norme culturali su cui si fondano le società democratiche, con la conseguenza di ammettere come regola l'assenza di privacy. Né può essere invocata, al riguardo, lo stato di emergenza dovuto alla pandemia, atteso che, come evidenziato dal Comitato europeo per la protezione dei dati, anche in questi momenti eccezionali, titolari e responsabili del trattamento devono garantire la protezione dei dati personali degli interessati e che sebbene l'emergenza sia una condizione giuridica che può legittimare limitazioni delle libertà ciò può avvenire solo a condizione che tali limitazioni siano proporzionate. È stata, altresì, considerata la scarsa collaborazione offerta dal titolare del trattamento nel corso dell'istruttoria, avendo lo stesso fornito in ritardo gli elementi informativi richiesti dall'Autorità, solo a seguito di sollecitazioni da parte dell'ufficio, talvolta in maniera incompleta ed evasiva, anche producendo documentazione scarsamente leggibile. Di contro, si è tenuta in considerazione la circostanza che il titolare del trattamento è un ente di modeste dimensioni».
Garante Privacy, ordinanza ingiunzione del 20 ottobre 2022, numero 341