[doc. web n. 10163530]

Provvedimento del 4 giugno 2025

Registro dei provvedimenti
n. 322 del 4 giugno 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale reggente ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, la sig.ra XX, per il tramite del proprio avvocato, ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali, riguardante la ricezione di un verbale di contestazione della violazione del regolamento comunale per scorretto conferimento dei rifiuti urbani, accertata mediante sistema foto/video, da parte del Comune di Recco (di seguito, il “Comune”).

In particolare, l’interessata ha lamentato l’omissione di apposita cartellonistica informativa in prossimità della zona sottoposta a videosorveglianza, nonché il mancato conferimento di un’informativa completa in merito al trattamento dei dati personali effettuato.

2. L’attività istruttoria

In risposta ad una richiesta di informazioni dell’Autorità (prot. n. XX del XX) ai sensi dell’art. 157 del Codice, con nota del XX (prot. n. XX), cui si rinvia integralmente, il Comune ha dichiarato, in particolare, che:

"In data XX l’Agente […] eseguiva il verbale di accertamento sullo stato dei luoghi […] in Via Speroni dove veniva accertata la presenza di conferimento di rifiuti non conformi al Regolamento dei Servizi di Igiene Ambientale del Comune di Recco”;

“Considerata l’impossibilità di reperire sul posto informazioni utili all’identificazione dei trasgressori l’Agente, in data XX ha proceduto a visionare le immagini del sistema di videosorveglianza”;

“Dalla visione delle immagini è emerso che in data XX alle ore XX l’autovettura […] si accosta all’isola ecologica e la conducente (non identificata) scende e conferisce CARTA e PLASTICA in giornate in cui non è previsto tale conferimento. In data XX alle ore XX veniva redatto il verbale amministrativo […] a carico del proprietario del veicolo, Sig. XX”;

“Tale verbale, come da prassi, veniva poi inviato all’Ufficio Contenzioso del Comando di Polizia Locale per l’invio […] e successivamente notificato in data XX”;

“La telecamera a cui si riferisce la Sig. non è camuffata dalla vegetazione tanto è vero che le immagini da essa scaricare sono “pulite”;”

“Il Comune di Recco ha nel tempo istallato sul territorio numerose telecamere collocate in modo da avere il 75% del territorio (in particolare nelle zone centrali) coperto”;

“A tutti gli ingressi del Comune sono stati collocati i cartelli con l’informativa di primo livello misura 150x70 quindi molto grandi e ben visibili e leggibili anche dall’interno dei veicoli. Il territorio del Comune di Recco ha un’astensione molto piccola circa 9 KM² al quale si accede soltanto da 6 ingressi (dove è collocata la segnaletica di primo livello […])”;

“Il Comune non ha videocamere dedicate al controllo del conferimento dei rifiuti ma sono state tutte collocate per motivi di sicurezza e ordine pubblico”;

“Il sistema di videosorveglianza installato è impostato per la conservazione delle immagini per 7 giorni sia per le immagini di contesto che per le immagini OCR (telecamere lettura targa)”;

“Sul sito internet istituzionale dell’Ente è pubblicata l’informativa agli interessati in forma estesa (https://privacy.nelcomune.it/comune.recco.ge.it#home)”;

“Sempre sul suddetto sito è pubblicato il Regolamento per l’utilizzo degli impianti di videosorveglianza cittadina approvato da Consiglio Comunale con Deliberazione n. 72/2019, dove sono esplicitate le finalità del trattamento”;

“La Via Speroni è una strada che si sviluppa dal centro di Recco per circa 1 km e le isole ecologiche presenti su di essa sono state oggetto di recenti lavori di sistemazione di cancelli (non ancora ultimati) […].”;

“Il Comune di Recco ha eseguito in tutto il territorio i lavori per la messa in sicurezza delle aree di conferimento e la tutela della salute pubblica […]  L’informativa di primo livello (di vecchia edizione) era comunque presente, anche se non al momento del fatto, in quanto momentaneamente rimossa in occasione dei lavori predetti”;

“Si assicura che si è in attesa di collocare n. 20 cartelli (60x40) e n. 3 cartelli (90x90) appena saranno consegnati contenenti le disposizioni nella nuova edizione”.

Con riferimento alla condotta del Comune, l’Ufficio, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, ha notificato allo stesso, in data XX (prot. n. 32580) ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento per aver agito in maniera non conforme al principio di “liceità, correttezza e trasparenza” e all’obbligo che impone al titolare del trattamento di rendere agli interessati una preventiva informativa, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

Il Comune, con l’atto sopra citato, è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge 24 novembre 1981, n. 689).

Con nota dell’XX (prot. n. XX), cui si rinvia integralmente, il Comune ha dichiarato in particolare, che:

“Il verbale […] è stato notificato nei tempi previsti dalla Legge 689 del 1981. In data XX la […reclamante] presentava scritto difensivo di ricorso avverso il verbale. In data XX la […reclamante] procedeva al pagamento del verbale senza attendere l’esito del ricorso presentato. Alla luce di quanto sopra non si comprende quale possa essere il danno ingiusto della ricorrente che ha manifestato acquiescenza rispetto alla sanzione elevata effettuando nei termini il prescritto pagamento. Pur riconoscendo che si tratta di due procedimenti aventi natura autonoma la ricorrente ha lamentato solo successivamente presso codesta Autorità la mancanza di informativa relativa al trattamento dei dati personali in quanto, pur de relato, ha riconosciuto la legittimità dell’azione del Comune nel suo presupposto amministrativo, con l’effettuazione del relativo pagamento della sanzione elevata per una condotta oggettivamente illecita”;

“[…] il Comune ha provveduto senza ritardo al ripristino dei cartelli informativi di primo livello sia nella postazione di cui in parola sia in alcune altre secondo un programma di intervento tuttora in corso […] Gli stessi recano evidenziato, nella versione utilizzata, il QR code per il richiamo dell’informativa di secondo livello […]”;

“[…] il Comune ha provveduto senza ritardo all’aggiornamento sul proprio sito dell’informativa di secondo livello distinguendo l’indicazione delle varie finalità di trattamento con l’indicazione delle specifiche disposizioni di settore applicabili che giustificherebbero il trattamento in relazione a ciascuna finalità e per ogni diversa tipologia di dispositivo”;

“[…] Il Comune ha provveduto a farsi assistere coinvolgendo direttamente il DPO, sia in fase di predisposizione della DPIA che delle informative e anche successivamente all’avvio del procedimento di reclamo da parte del Garante”;

“[…] il Comune ha provveduto senza ritardo alla differenziazione della tipologia dei mezzi di ripresa, distinguendo quelli “di contesto” per finalità di ordine e sicurezza pubblica, da quelli specifici per monitorare il rispetto delle disposizioni concernenti modalità, tipologia ed orario di deposito dei rifiuti, la cui violazione è sanzionata amministrativamente, […] Per quanto riguarda quest’ultima tipologia di telecamere, l’angolo di ripresa è stato verificato in modo da minimizzare la zona sorvegliata, circoscritta alla specifica funzione sopra richiamata. Il Comune, pertanto, non utilizza fototrappole ma solo telecamere fisse e - laddove le medesime sono finalizzate alla verifica degli illeciti in materia di rifiuti - le stesse sono configurate per circoscrivere l'area videosorvegliata allo stretto indispensabile per rilevare la violazione”.

Il Comune non ha chiesto di essere audito.

3. Esito dell’attività istruttoria.

3.1. La normativa applicabile in materia di protezione dei dati personali.

In base alla disciplina in materia di protezione dei dati personali i soggetti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per adempiere a specifici obblighi o compiti previsti da leggi (art. 6, paragrafo 1, lett. c), del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. e) e paragrafi 2 e 3 del Regolamento; nonché art. 2-ter del Codice). Tali criteri di liceità si applicano, altresì, nel caso di impiego di sistemi di videosorveglianza da parte di soggetti pubblici (cfr. par. 41 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il XX; si vedano, altresì, le FAQ del Garante in materia di videosorveglianza, doc. web n. 9496574).

Il titolare del trattamento è tenuto altresì, in ogni caso, a rispettare i principi in materia di protezione dei dati personali, fra cui quello di “liceità, correttezza e trasparenza”, in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a), del Regolamento).

In aggiunta, con riferimento al caso in esame, nel rammentare che per “dato personale” si intende “qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”) […] si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale” (art. 4, par. 1, n. 1 del Regolamento), si osserva che è indubbio che anche la mera raccolta del numero di targa dei veicoli costituisca un trattamento di dati personali.

3.2. L’informativa agli interessati.

Alla luce del suddetto principio di trasparenza, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12, par. 1, del Regolamento).

In particolare, allorquando siano impiegati dispositivi video, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” cit. in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1; da ultimo, v. le FAQ del Garante in materia di videosorveglianza, doc. web n. 9496574, n. 4; cfr., altresì, provv. ti 19 dicembre 2024, n. 805, doc. web n. 10107263, 12 dicembre 2024, n. 766, doc. web n. 10102334, 11 aprile 2024, n. 267, doc. web n. 10063622; 11 gennaio 2024, n. 5, doc. web n. 9977020; 18 luglio 2023, n. 313, doc. web n. 9920645; 28 aprile 2022, n. 162, 8 doc. web n. 9777974).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale, senza alcuna registrazione di dati o trasmissione a soggetti terzi (Linee guida del Comitato, cit., par. 115).

La segnaletica di avvertimento di primo livello deve contenere inoltre un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa (cfr. FAQ del Garante in materia di videosorveglianza, cit., n. 4).

Si evidenzia inoltre che, per il perseguimento della finalità di trattamento connessa al controllo degli illeciti amministrativi in materia ambientale gli Enti locali possono utilizzare dispositivi foto/video (c.d. fototrappole) collocati in specifiche e circoscritte aree su cui insiste un effettivo rischio di illecito abbandono di rifiuti o scorretto conferimento di rifiuti, solo se non risulta possibile, o si riveli non efficace, il ricorso a strumenti e sistemi di controllo alternativi, e dovendo comunque agire nel rispetto del principio di minimizzazione dei dati, che impone di configurare tali dispositivi con un angolo di visuale circoscritto alle aree interessate dai predetti fenomeni (cfr. FAQ del Garante in materia di videosorveglianza, cit., n. 13; si veda anche il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, punto 5.2.).

Nel corso dell’istruttoria è emerso che il trattamento risulta essere stato effettuato dal Comune in violazione del principio di “liceità, correttezza e trasparenza” di cui all’art. 5, par. 1, lett a) e dell’obbligo che impone al titolare del trattamento di rendere agli interessati una preventiva informativa, secondo quanto previsto dagli artt. 12 e 13 del Regolamento. Ciò in quanto al momento dei fatti, non era presente sul luogo sottoposto a videosorveglianza alcun cartello informativo volto a rendere edotta l’interessata – e gli ulteriori soggetti ripresi -  in merito ai trattamenti effettuati mediante dispositivi foto/video ai fini dell’accertamento dello scorretto conferimento dei rifiuti urbani, atteso che gli stessi erano stati temporaneamente rimossi rispetto all’area di ripresa di tali dispositivi; in aggiunta, nell’informativa di primo livello inizialmente fornita agli interessati – sebbene rimossa all’epoca dei fatti oggetto di reclamo -  mancava un chiaro riferimento al secondo livello di informazioni fornito sul sito web istituzionale del Comune.

Per quanto concerne gli aggiornamenti effettuati dal Comune in corso d’istruttoria, deve evidenziarsi che, alla luce della documentazione prodotta in atti, nell’informativa di primo livello risultano tuttora indicate una pluralità di finalità, sebbene il sistema foto/video finalizzato ad accertare lo scorretto conferimento di rifiuti urbani sia stato strutturato in modo da avere una “[…] differenziazione della tipologia dei mezzi di ripresa, distinguendo quelli […] specifici per monitorare il rispetto delle disposizioni concernenti modalità, tipologia ed orario di deposito dei rifiuti, la cui violazione è sanzionata amministrativamente, [… il cui] angolo di ripresa è stato verificato in modo da minimizzare la zona sorvegliata, circoscritta alla specifica funzione sopra richiamata […]”.

La medesima pluralità di finalità si riscontra, altresì, nell’informativa di secondo livello, reperibile sul sito web istituzionale del Comune.

Con riferimento a tale informativa, occorre evidenziare altresì che la stessa non risulta essere facilmente raggiungibile da parte degli interessati mediante il collegamento con QR code presente nella cartellonistica di primo livello, posto che lo stesso conduce all’”Informativa generale, sul trattamento dei dati personali” (cfr. https://privacy.nelcomune.it/comune.recco.ge.it#home). Né, tramite dispositivo mobile, è visibile da parte dell’utente il menu a tendina in cui sono presenti e consultabili le numerose informative fornite dal Comune relative a distinti trattamenti di dati personali, tra le quali l’informativa videosorveglianza (cfr. URL https://privacy.nelcomune.it/comune.recco.ge.it/informativa_comune_videosorveglianza_interna_esterna#content).

Si rappresenta, inoltre, che, nella predetta informativa di secondo livello è indicato che “Ai sensi e per gli effetti di cui all’articolo 6 del GDPR, La informiamo che la base giuridica a sostegno del trattamento dei Suoi dati personali è rappresentata dalla necessità di eseguire un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (art. 6 par. 1 lettera e) oltre che dalla necessità di perseguire un legittimo interesse del titolare del trattamento quale desumibile dalle sopra indicate finalità (art. 6 par. 1 lettera f)”. Sul punto, si ricorda che ai sensi di quanto previsto dall’art. 6, par. 1 del Regolamento, il legittimo interesse “non si applica al trattamento dei dati effettuato dalle autorità pubbliche nell’esecuzione dei loro compiti”, posto che “spetta al legislatore prevedere per legge la base giuridica che autorizza le autorità pubbliche a trattare i dati personali” (cfr. cons. 47 del Regolamento, nonché sez. 3.1.1, par. 23, delle richiamate “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”). Pertanto, essendo il Comune un soggetto pubblico, la base giuridica del legittimo interesse non può trovare applicazione in relazione ai trattamenti posti in essere dallo stesso.

Per quanto concerne, infine, le modalità di esercizio dei diritti di cui agli artt. 15-22 del Regolamento da parte degli interessati, dagli accertamenti effettuati dall’Ufficio risulta che nella predetta informativa di secondo livello è indicato un indirizzo distinto (comune.recco@gdpr.nelcomune.it) rispetto a quelli indicati nell’informativa di primo livello,  (protocollo@pec.comune.recco.ge.it e protocollo@comune.recco.ge.it), prodotta agli atti dal Comune.

In ragione delle considerazioni che precedono, risulta accertato che il Comune ha operato, pertanto, in violazione del principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a) del Regolamento) nonché degli artt. 12, par. 1 e 13 del Regolamento.  

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a), 12, par. 1 e 13 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.
5. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

L’art. 58, par. 2, del Regolamento attribuisce al Garante il potere di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine” (lett. d).

Si prende atto di quanto emerso in fase di istruttoria e si tiene conto di quanto dichiarato dal Comune di aver provveduto “al ripristino dei cartelli informativi di primo livello sia nella postazione di cui in parola sia in alcune altre secondo un programma di intervento tuttora in corso” senza aver dato evidenza, tuttavia, della finalizzazione di tale aggiornamento. Come evidenziato nel par. 3.2, inoltre, sia l'informativa di primo che di secondo livello concernenti il trattamento in esame non risultano conformi alla normativa in materia di protezione dei dati personali. L’informativa di secondo livello, infine, non risulta essere facilmente reperibile dagli interessati mediante il collegamento tramite QR code contenuto nell’informativa di primo livello.

Pertanto, si rende altresì necessario, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiungere al Comune di adottare misure idonee a provvedere a:

1) fornire agli interessati l’informativa di primo livello anche completando l’installazione della cartellonistica aggiornata in prossimità dei dispositivi di ripresa foto/video installati nel territorio comunale, nonché ad adattare il contenuto della stessa, provvedendo ad indicare la specifica finalità concernente il trattamento in esame perseguita con ogni singolo dispositivo foto/video, eliminando le finalità ultronee;

2) rendere l’informativa di secondo livello facilmente reperibile e accessibile da parte degli interessati, anche mediante idoneo collegamento tramite il QR code presente nell’informativa di primo livello, e provvedendo altresì a rendere la stessa conforme alla normativa in materia di protezione dei dati personali, per quanto concerne l’indicazione della base giuridica e della finalità perseguita in relazione al trattamento oggetto d’istruttoria, nonché in merito alle modalità di esercizio dei diritti di cui agli artt. 15-22 del Regolamento, indicando in modo omogeneo e coerente tra l’informativa di primo e secondo livello gli indirizzi di contatto del Comune ai fini dell’esercizio da parte degli interessati dei predetti diritti.

Ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, il Comune dovrà, inoltre, provvedere a comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni sopra citate da parte del Comune ha avuto luogo in conseguenza di una condotta che può essere considerata unitaria (stesso trattamento o trattamenti tra loro collegati, in quanto inerenti al medesimo sistema di videosorveglianza), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni accertate – artt. 5, 12 e 13 del Regolamento - sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che il Comune non ha provveduto a fornire un’informativa agli interessati in merito ai trattamenti di dati personali effettuati mediante il sistema di rilevazione implementato, neanche mediante un’informativa di primo livello, essendo la stessa stata rimossa all'epoca della verifica dei fatti.

Deve, inoltre, considerarsi:

- che non risultano comprovati eventuali danni subiti dagli interessati (art. 83 par. 2, lett. a) del Regolamento);

- il carattere colposo della violazione (art. 83, par. 2, lett. b) del Regolamento);

- che i trattamenti in questione non sono relativi a categorie particolari di dati (art. 83, par. 2, lett. g).

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento possa essere considerato di grado medio (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole, che il titolare del trattamento è un Comune di modeste dimensioni e che:

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento);

- il grado di cooperazione manifestato dal titolare con l'autorità di controllo al fine di provare a porre rimedio alla violazione e attenuarne i possibili effetti negativi, (art. 83, par. 2, lett. f) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 5.000,00 (cinquemila/00) per la violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1 e 13, parr. 1 e 2 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il mancato rispetto da parte del Comune del principio di trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento, non avendo provveduto a fornire un’informativa – neanche di primo livello - agli interessati.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e c), 12, par. 1 e 13 del Regolamento;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Recco, con sede legale in Piazza Nicoloso, n. 14, Recco (GE), 16036, C.F. 00605540103, di pagare la complessiva somma di euro 5.000,00 (cinquemila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Recco:

- di pagare la complessiva somma di euro 5.000,00 (cinquemila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare le misure idonee a fornire agli interessati l’informativa di primo livello anche completando l’installazione della cartellonistica aggiornata in prossimità dei dispositivi di ripresa foto/video installati nel territorio comunale, ad adattare il contenuto della stessa, provvedendo ad indicare la specifica finalità concernente il trattamento in esame, eliminando le finalità ultronee nonché a rendere l’informativa di secondo livello facilmente reperibile e accessibile da parte degli interessati, anche mediante idoneo collegamento tramite il QR code presente nell’informativa di primo livello, e provvedendo altresì a rendere la stessa conforme alla normativa in materia di protezione dei dati personali, per quanto concerne l’indicazione della base giuridica e della finalità perseguita in relazione al trattamento oggetto d’istruttoria, nonché in merito alle modalità di esercizio dei diritti di cui agli artt. 15-22 del Regolamento, indicando in modo omogeneo e coerente tra l’informativa di primo e secondo livello gli indirizzi di contatto del Comune ai fini dell’esercizio da parte degli interessati dei predetti diritti;

- ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

DISPONE

ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero. 

Roma, 4 giugno 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE REGGENTE
Filippi