Il Garante per la protezione dei dati personali si è nuovamente focalizzato sui sistemi di videosorveglianza utilizzati dagli enti locali, emettendo un provvedimento sanzionatorio per l’improprio utilizzo di un sistema di lettura targhe.
La sanzione, pari a 4.000 euro, è stata motivata dal mancato rispetto di alcuni principi fondamentali previsti dal Regolamento Generale sulla Protezione dei Dati (GDPR) e dal Codice Privacy. Ecco i principali aspetti evidenziati dal Garante nel provvedimento sanzionatorio.
Il primo elemento critico riguarda l’informativa fornita ai cittadini. Da quanto emerge, il Comune aveva predisposto un testo troppo generico, in cui si indicavano finalità di sorveglianza quali “sicurezza e tutela delle persone fisiche e del patrimonio”, senza però spiegare nel dettaglio che certi sistemi di lettura targhe venivano impiegati per scopi differenti (per esempio, il controllo degli obblighi di assicurazione e revisione dei veicoli). In altre parole, non sono state distinte chiaramente le singole tipologie di trattamento e i cittadini non erano in grado di capire quale fosse la finalità effettiva di ciascuna telecamera, specie quelle capaci di riconoscere targhe e incrociare i dati con informazioni esterne.
Un ulteriore rilievo del Garante ha riguardato il cartello di segnalazione della videosorveglianza, che indicava un link per accedere all’informativa di secondo livello senza, però, corrispondere a una pagina effettivamente disponibile o aggiornata. In questo modo, i cittadini che desideravano saperne di più sulle finalità e sulle modalità del trattamento venivano indirizzati a un percorso informativo incompleto o inesistente. Il semplice riferimento sul cartello, infatti, non basta se non è supportato da un effettivo contenuto online, accessibile e in linea con i principi di trasparenza e correttezza previsti dalla normativa sulla privacy e dalle Linee Guida 3/2029 dello European Data Protection Board.
Sempre in tema di trasparenza, l’Autorità ha rilevato che né per l’informativa né per la Valutazione d’Impatto sulla Protezione dei Dati (DPIA) era possibile stabilire la data esatta del documento. Ciò è rilevante perché, in base ai principi di accountability (responsabilizzazione) previsti dal GDPR, il titolare del trattamento deve essere in grado di dimostrare che ha effettivamente predisposto e adottato questi documenti in modo tempestivo e formale prima di iniziare il trattamento. Non essendoci prova certa di quando fossero stati redatti o pubblicati, è stato considerato come un mancato adempimento delle norme sulla protezione dei dati.
Un altro aspetto decisivo riguarda i tempi di conservazione dei dati, in particolare delle targhe registrate. Il Comune aveva stabilito che le informazioni relative alle targhe dei veicoli in transito sul territorio fossero conservate per 180 giorni. Secondo il Garante, un periodo così lungo appare sproporzionato e non trova alcuna specifica base normativa che lo giustifichi. Il principio di minimizzazione, infatti, richiede di trattenere i dati solo per il tempo strettamente necessario alla finalità dichiarata (e comunque nel rispetto dei principi di proporzionalità). In assenza di una legge, di un’adeguata base di liceità o di una valida motivazione che legittimasse un periodo così esteso, il tempo di conservazione è stato giudicato non conforme.
Va poi sottolineato che il Comune non risulta aver sottoscritto alcun “Patto per la Sicurezza” che comprenda esplicitamente l’uso di strumenti come la lettura automatica delle targhe a fini di ordine pubblico o di prevenzione di specifici reati. il “Decreto Minniti” prevede che per finalità di sicurezza urbana, i Comuni debbano stipulare accordi con la Prefettura per ricorrere a sistemi di videosorveglianza. Nel caso esaminato, sebbene siano stati menzionati alcuni patti passati, non sarebbero state indicate in modo espresso le modalità d’uso di telecamere così avanzate, lasciando quindi il sistema di lettura targhe privo di un’adeguata base di liceità.
In conclusione, il provvedimento del Garante mette in luce come, anche per un ente pubblico, non basti installare telecamere per finalità generiche di controllo del territorio. Occorre sempre garantire un’informativa chiara e differenziata per ogni scopo, dimostrare con certezza la data in cui si sono compiuti gli adempimenti (come la DPIA) e rispettare il principio di minimizzazione, conservando i dati personali per il tempo strettamente necessario. Nel caso specifico, la violazione di questi principi ha comportato la sanzione economica, confermando che la tecnologia di lettura targhe, per quanto utile, deve essere supportata da un’adeguata impostazione organizzativa e regolamentare.
Visti tutti gli articoli violati (5, 6, 12, par. 1, 13 e 35 del Regolamento, nonché 2-ter del Codice), l’importo limitato della sanzione è motivato dalla piccola dimensione dell’ente.
Per informazioni sull’offerta di SI.net Servizi Informatici per accompagnarti nelle continue sfide legate alla trasformazione digitale, scrivi a comunicazione@sinetinformatica.it o telefona allo 0331.576848.
Per ricevere aggiornamenti sulle tematiche relative all’innovazione nell’ICT iscriviti alla nostra newsletter.
Segui SI.net anche su LinkedIn, Facebook, X, YouTube, Instagram, Telegram
