[doc. web n. 10211816]

Provvedimento del 23 ottobre 2025

Registro dei provvedimenti
n. 700 del 23 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Angelo Fanizza, Segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Premessa.

Da una segnalazione pervenuta in data XX l’Autorità ha appreso dell’installazione, da parte del Comune di Arcinazzo Romano (di seguito, il “Comune”), in base all’ordinanza comunale n. XX, di un sistema video al fine di “determinare […l’] identità dei cittadini che depositano i rifiuti negli appositi contenitori e di conseguenza desumerne il diritto [… di conferire i rifiuti] derivante dal regolare pagamento della relativa tassa (TARI)”.

In particolare, dal verbale allegato alla segnalazione si desume che il Comune, mediante il predetto sistema foto/video avrebbe identificato l’interessato, quale proprietario del veicolo la cui targa era stata oggetto di ripresa, sanzionandolo per aver conferito i rifiuti pur non essendo in regola con il pagamento della TARI.

2. L’attività istruttoria

Con nota del XX (prot. n. XX), cui si rinvia integralmente, il Comune ha fornito riscontro alla richiesta di informazioni formulata dall’Autorità con nota del XX (prot. n. XX) dichiarando, in particolare, che:

- “La banca dati utilizzata è quella di ACI PRA cui il Comune è abbonato. L’utilizzo di tale banca dati […] può avere come conseguenza che il conducente del veicolo oggetto di ripresa, nonché conferente i rifiuti, potrebbe non coincidere con il proprietario dello stesso […] Il cittadino è comunque tutelato perché gli viene garantita la possibilità di difendersi e dimostrare la sua estraneità ai fatti chiedendo un annullamento del provvedimento di irrogazione delle sanzioni in via di autotutela, nel momento in cui egli provi di non aver conferito rifiuti pur risultando il proprietario dell’auto”;

- “[…] in prossimità del sistema di videosorveglianza sono apposti in maniera visibile i cartelli contenenti l’informativa di primo livello sul trattamento dei dati personali al fine di informare i cittadini della possibilità di essere sottoposti a riprese video una volta entrati nell’area sottoposta a videosorveglianza”;

- “Sul sito l’informativa è presente da poco tempo poiché è in fase di ultimazione il nuovo sito istituzionale a seguito di un totale restyling dello stesso, reso possibile grazie ai fondi PNRR destinati alla PA digitale”.

In allegato a tale riscontro il Comune ha trasmesso il testo dell’informativa di secondo livello successivamente pubblicata sul proprio sito web istituzionale e il cartello contenente l’informativa di primo livello collocato in prossimità delle zone sottoposte a sorveglianza.

In riscontro a una seconda richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX) il Comune, con nota del XX (prot. n. XX), cui si rinvia integralmente, ha rappresentato in particolare che:

- “[…] la finalità [del trattamento] è da ricercarsi nel controllo del territorio e nell’esigenza di garantire il rispetto di un ordinanza sindacale sull’abbandono dei rifiuti emanata l’XX […] in conseguenza del continuo ripetersi del deposito incontrollato di rifiuti di ogni genere anche in prossimità dei cestini di raccolta stradali che avrebbero potuto creare emergenze di tipo sanitario”;

- “nelle misure di carattere organizzativo l’Ente ha previsto accesso solo ai soggetti incaricati con limitazione della visione dei filmati esclusivamente in conseguenza ad accertamento di violazioni”;

- “Il confronto e l’interrogazione tra i dati e i pubblici registri avvengono in modalità non automatizzata […] per accertare il quantum delle tariffe ed allineare eventuali ulteriori inadempienze”;

- “La data di pubblicazione dell’informativa di secondo livello è il XX”.

Sulla base degli elementi acquisiti, l’Ufficio ha notificato, con nota dell’XX (prot. n. XX), al Comune, in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, in quanto il trattamento di dati personali in questione è stato effettuato in maniera non conforme al principio di liceità, correttezza e trasparenza e limitazione delle finalità e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a) e b), 6 parr. 1-3 del Regolamento, nonché art. 2-ter, comma 1, del Codice e fornendo, altresì, agli interessati un’inidonea informativa di primo livello, omettendo di fornire agli stessi un’informativa di secondo livello fino al XX, nonché, dopo tale data, fornendo agli stessi un’inidonea informativa di secondo livello, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

Con la medesima nota il titolare del trattamento è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Il Comune ha fatto pervenire le proprie memorie difensive, con nota del XX, (prot. n. XX), cui si rinvia integralmente, rappresentando, in particolare, che:

- “[…] l’utilizzo del sistema di video sorveglianza incrociato con la banca dati Aci Pra aveva il preciso scopo e per un limitato periodo temporale di verificare che i cittadini che conferivano i rifiuti fossero iscritti al ruolo Tari di Arcinazzo Romano. Ciò in conseguenza del fatto che il Comune di Arcinazzo Romano era l’unico della zona in cui non era ancora attivo il sistema di raccolta rifiuti porta a porta ([…] attivato dopo poco tempo). Motivo per cui i cittadini dei comuni limitrofi venivano a conferire i rifiuti nel territorio di Arcinazzo Romano creando non pochi disagi anche igienico sanitari oltre che un notevole aumento dei costi di smaltimento […]”;

- “Con riferimento […] alla mancata conformità dell’informativa di primo livello, […il Comune si è attivato] per la sostituzione dei cartelli non conformi con i nuovi […]”;

- “Con riferimento alla […] informativa di secondo livello, in particolare sull’erronea indicazione del soggetto cui gli interessati possono rivolgersi, indicato nel “responsabile del trattamento designato per il riscontro”, sebbene il nomen sia errato, tuttavia sono indicati i contatti del Responsabile per la protezione dei dati”;

-  “[Il Comune si è attivato] per correggere l’informativa di secondo livello […e per aggiornare] il regolamento di videosorveglianza, nonché il registro dei trattamenti e tutte le attività connesse alla protezione dei dati personali, programmando anche un intervento formativo con il personale amministrativo”.

Nel corso dell’audizione tenutasi in data XX, il Comune ha dichiarato, inoltre, che:

- “Si è cercato […] di porre un freno al conferimento indiscriminato, provvedendo ad effettuare un inquadramento delle targhe dei conferenti i rifiuti per verificare se residenti o meno presso il Comune di Arcinazzo Romano”;

- “Il Comune ha riscontrato nel tempo anche problemi di mancanza e di eccessiva rotazione del personale, incluso quello degli uffici apicali. L’Ente ha riscontrato, altresì, problematiche nella digitalizzazione derivante da incentivi PNRR e dalla migrazione in digitale della documentazione, anche inerente al trattamento dei dati personali, quali l’informativa agli interessati pubblicata sul sito web istituzionale dell’Ente”.

3. Esito dell’attività istruttoria.

3.1. Sulla liceità del trattamento e limitazione della finalità

Dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, risulta accertato che il Comune si è dotato di un sistema foto/video per finalità di controllo del territorio, di controllo del corretto conferimento dei rifiuti urbani nonché, “per accertare il quantum delle tariffe [… con riferimento alla TARI] ed allineare eventuali ulteriori inadempienze”. Quest’ultima finalità, in particolare, viene raggiunta acquisendo, attraverso l’esame delle immagini oggetto di registrazione, i dati del proprietario del veicolo mediante interrogazione al PRA, e verificando attraverso la banca dati TARI le eventuali pendenze/inadempienze al pagamento della tassa.

Ciò premesso, si osserva che i soggetti pubblici possono, di regola, trattare dati personali mediante dispositivi foto/video se il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (art. 5, par. 1, lett. a), 6, parr. 1, lett. c) ed e), 2 e 3, del Regolamento, nonché art. 2-ter del Codice; cfr. le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il 29 gennaio 2020, par. 41; v. anche le FAQ del Garante in materia di videosorveglianza, del 3 dicembre 2020, doc. web n. 9496574).

Si rappresenta, inoltre, che l’art. 6, parr. 2 e 3, del Regolamento precisa che la base su cui si fonda il trattamento dei dati di cui al par. 1, lett. c) ed e), deve essere stabilita dal diritto dell'Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento, che deve determinare la finalità del trattamento, nonché contenere disposizioni specifiche per adeguare l'applicazione delle norme del Regolamento, fermo restando che il diritto dell'Unione o degli Stati membri deve, in ogni caso, perseguire un obiettivo d’interesse pubblico ed essere proporzionato all'obiettivo legittimo perseguito.

In attuazione di quanto previsto dal citato art. 6, parr. 2 e 3, del Regolamento, il legislatore nazionale ha precisato che la base giuridica prevista dall'art. 6, par. 3, lett. b), del Regolamento, ovvero “il diritto dello Stato membro cui è soggetto il titolare del trattamento” e su cui “si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), [dell’art. 6 del Regolamento]”, è costituita “da una norma di legge o di regolamento o da atti amministrativi generali” (v. art. 2-ter, comma 1, del Codice).

Pur in presenza di una condizione di liceità del trattamento, il titolare è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quelli di “liceità, correttezza e trasparenza” e “limitazione della finalità”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”, nonché “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità […]” (art. 5, par. 1, lett. a) e b), del Regolamento).

Per quanto concerne l’impiego di dispositivi foto/video (c.d. fototrappole) installati per finalità amministrative di accertamento e verifica del corretto conferimento dei rifiuti urbani, si rammenta che tali dispositivi devono essere collocati in specifiche e circoscritte aree, su cui insiste un effettivo rischio di illecito abbandono di rifiuti o scorretto conferimento degli stessi, e a condizione che tali aree siano debitamente segnalate con cartelli informativi (in maniera tale che gli interessati abbiano piena contezza del fatto di essere ripresi e possano, se del caso e ove possibile, decidere di sottrarsi alla videosorveglianza) e solo se non risulta possibile, o si riveli non efficace, il ricorso a strumenti e sistemi di controllo alternativi; ciò comunque nel rispetto del principio di minimizzazione dei dati, che impone di configurare tali dispositivi con un angolo di visuale circoscritto alle aree interessate dai predetti fenomeni, tipicamente caratterizzate da scarsa o limitata presenza umana (cfr. FAQ del Garante n. 13 in materia di videosorveglianza, doc. web n. 9496574; v. già il “Provvedimento in materia di videosorveglianza” del Garante, dell’8 aprile 2010, doc. web n. 1712680, par. 5.2; si veda, tuttavia, la nuova formulazione dell’art. 255, comma 1, del d.lgs 3 aprile 2006, n. 152 - Norme in materia ambientale, come modificato prima dall’art. 6-ter del d.l. 10 agosto 2023, n. 105, convertito con l. 9 ottobre 2023, n. 137, e poi, da ultimo, dall’art. 1, comma 1, del d.l. 8 agosto 2025, n. 116, convertito con l. 3 ottobre 2025, n. 147, che ha attratto all’alveo penale talune condotte in materia di tutela ambientale, prima sanzionate soltanto in via amministrativa).

Per quanto concerne, invece, l’utilizzo delle immagini registrate dal sistema foto/video in esame al fine di verificare il corretto adempimento della TARI da parte del proprietario del veicolo oggetto di ripresa, che non risulta rinvenibile nella normativa nazionale una base giuridica idonea per rango e qualità che giustifichi il trattamento dei numeri di targa dei veicoli per tale finalità.

Nel corso dell’istruttoria, difatti, il Comune non ha comprovato la sussistenza di un quadro giuridico specifico e qualitativamente idoneo a giustificare tale trattamento per la verifica del corretto pagamento della TARI.

Al riguardo, pur comprendendo le necessità del Comune in merito al contenimento del conferimento dei rifiuti anche da parte di soggetti non residenti, deve ricordarsi che, anche sulla base del testo vigente dell’art. 2-ter del Codice, sebbene lo stesso preveda attualmente che la base giuridica del trattamento può consistere oltre che nella legge e nel regolamento, anche in atti amministrativi generali, il criterio gerarchico delle fonti del diritto sancisce, invero, la prevalenza della fonte di rango superiore rispetto a quella di livello inferiore, precludendo a quest’ultima di derogarvi o di porsi in contrasto con il contenuto della fonte sovraordinata (cfr. da ultimo, provv. n. 235 dell'11 aprile 2024, doc web n. 10019523 e precedenti in esso richiamati, nonché provv. 26 settembre 2024, doc. web 10076453). Infatti, come recentemente chiarito dal Garante con il citato provv. 11 aprile 2024, n. 235, (ancorché riferito al diverso contesto della pubblicazione di atti e documenti da parte di amministrazioni in merito a procedure concorsuali e selettive), “nel quadro di derivazione europea della disciplina di protezione dei dati, nella prospettiva della certezza del diritto, nonché del principio di non discriminazione, non sono consentiti livelli differenziati di tutela della protezione dei dati personali - né su base territoriale né a livello di singola amministrazione […]”.

In ragione delle considerazioni che precedono, risulta pertanto accertato che il Comune, utilizzando il sistema foto/video in questione sul proprio territorio per verificare, altresì, la corretta attuazione di adempimenti tributari, quali il pagamento della TARI, da parte dei proprietari dei veicoli, in assenza dei necessari presupposti previsti dalla legge, ha posto in essere un trattamento di dati personali in maniera non conforme al principio di liceità, correttezza e trasparenza e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 parr. 1-3 del Regolamento nonché art. 2-ter, comma 1, del Codice.

Inoltre, avendo il Comune trattato i dati concernenti le immagini dei veicoli per perseguire una finalità diversa (quale la finalità tributaria concernente l’accertamento del corretto pagamento della TARI) ultronea rispetto a quelle per le quali i dati sono stati originariamente raccolti mediante il predetto sistema foto/video (in particolare, la finalità ambientale relativa al corretto conferimento dei rifiuti) lo stesso ha agito, altresì, in maniera non conforme al principio di limitazione della finalità in violazione dell’art. 5, par. 1, lett. b), del Regolamento.

3.2. Sulla trasparenza nei confronti degli interessati

La condotta del Comune risulta non conforme al principio di liceità, correttezza e trasparenza anche in relazione alla completezza e all’esattezza delle informazioni rese agli interessati in merito all’effettivo trattamento posto in essere.

Allorquando, infatti, siano impiegati dispositivi video, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1; da ultimo, v. le FAQ del Garante in materia di videosorveglianza, doc. web n. 9496574, n. 4; cfr., altresì, tra i tanti, provv.ti  del 4 giugno 2025, n. 322, doc. web n. 10163530, 19 dicembre 2024, n. 805, doc. web n. 10107263, 12 dicembre 2024, n. 766, doc. web n. 10102334, 11 aprile 2024, n. 267, doc. web n. 10063622; 11 gennaio 2024, n. 5, doc. web n. 9977020; 20 ottobre 2022, n. 341, doc. web n. 9831369; 28 aprile 2022, n. 162, doc. web n. 9777974, 7 aprile 2022, n. 119, doc. web n. 9773950, 16 settembre 2021, n. 327, doc. web n. 9705650 e 11 marzo 2021, n. 90, doc. web n. 9582791). Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale (senza alcuna registrazione di dati o trasmissione a soggetti terzi) (Linee guida del Comitato, cit., par. 115).

La segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Nel corso dell’istruttoria è emerso che il trattamento risulta essere stato effettuato dal Comune in violazione del principio di “liceità, correttezza e trasparenza” di cui all’art. 5, par. 1, lett. a) del Regolamento e dell’obbligo che impone al titolare del trattamento di rendere agli interessati una preventiva e idonea informativa, secondo quanto previsto dagli artt. 12 e 13 del Regolamento.

Nello specifico, dalla documentazione prodotta in atti, l’informativa sul trattamento dei dati personali di primo livello in essere al momento dei fatti, non risultava conforme ai requisiti previsti dal Regolamento (cfr. art. 13), in quanto:

- indicava riferimenti non aggiornati in merito alla normativa sulla protezione dei dati personali;

- non erano indicati i dati del Responsabile della protezione dei dati;

- le finalità di trattamento erano indicate in modo del tutto generico, senza alcuna menzione delle finalità amministrative connesse alla verifica del corretto conferimento dei rifiuti e senza indicazione delle basi giuridiche del trattamento;

- non era indicato il periodo di conservazione delle immagini;

- non menzionava compiutamente i diritti degli interessati di cui agli artt. 15 e ss. del Regolamento e le modalità di esercizio degli stessi;

- non specificava le modalità attraverso cui accedere ad un’informativa completa di “secondo livello” nella quale poter reperire gli ulteriori e completi elementi informativi.

Quanto all’informativa sul trattamento dei dati di secondo livello prodotta agli atti, pubblicata solo nel mese di XX, ovvero successivamente all’apertura dell’istruttoria da parte dell’Autorità, deve evidenziarsi che anche la stessa non risultava, in ogni caso, conforme ai requisiti previsti dal Regolamento (cfr. art. 13), in quanto:

- le finalità di trattamento erano indicate in modo del tutto generico, senza alcuna menzione delle finalità amministrative connesse alla verifica del corretto conferimento dei rifiuti e senza indicazione delle basi giuridiche del trattamento di cui all’art. 6, par. 1, lett. c) ed e), del Regolamento;

- non menzionava compiutamente i diritti degli interessati di cui agli artt. 15 e ss. del Regolamento;

- erano indicati riferimenti non corretti in quanto, in fini dell’esercizio dei predetti diritti, veniva indicata erroneamente la possibilità per gli interessati di rivolgersi al “responsabile del trattamento designato per il riscontro”, anziché al responsabile della protezione dei dati, i cui dati di contatto erano pubblicati nella medesima sezione.

Per quanto concerne gli aggiornamenti effettuati dal Comune in corso d’istruttoria, deve evidenziarsi che, alla luce della documentazione prodotta in atti, nell’informativa di primo livello risultano tuttora indicate una pluralità di finalità (inclusa quella di “INCROCIO DATI CON VERIFICA PAGAMENTO TRIBUTI TARI”), oltre a quella di rilevazione del non corretto conferimento di rifiuti.

Al riguardo, si rappresenta che tali ulteriori finalità risultano ultronee rispetto a quelle effettivamente perseguite con il sistema foto/video in esame posto che, dalla posizione della telecamera installata, come emerso dalle evidenze in atti, che consente di riprendere un’area circoscritta, attigua a dove sono collocati i cassonetti di conferimento dei rifiuti, la finalità effettivamente perseguita risulta essere la verifica del corretto conferimento di rifiuti da parte dei cittadini.

La medesima pluralità di finalità si riscontra, altresì, nell’informativa di secondo livello, reperibile sul sito web istituzionale del Comune (https://www.comune.arcinazzoromano.rm.it/), come accertato dall’Autorità in data XX. A tal riguardo, si rappresenta che, nel footer della homepage, è reperibile un’informativa privacy, (URL: https://www.comune.arcinazzoromano.rm.it/informativa.html). La stessa, anziché essere relativa ai trattamenti di dati personali concernenti la navigazione sul predetto sito web (sebbene sia indicato, nell’incipit, che “L’informativa è resa solo per il sito del Comune di Arcinazzo Romano e non anche per altri siti web eventualmente consultati dal visitatore”), riproduce, in parte, i contenuti di cui all’informativa di secondo livello trasmessa dal Comune con la nota del XX.

Si evidenzia infatti che in tale informativa, in particolare, sono indicate una pluralità di finalità, tuttavia ultronee rispetto a quella effettivamente perseguita con il sistema foto/video oggetto di istruttoria (rilevazione del non corretto conferimento dei rifiuti). Inoltre, nella stessa, sono indicati dei dati di contatto del Responsabile della protezione dei dati (di seguito, “RPD”) diversi da quelli riportati nella cartellonistica di primo livello, a loro volta diversi da quelli riportati nell’informativa di secondo livello in materia di videosorveglianza (accessibile dal link https://www.comune.arcinazzoromano.rm.it/EG0/EGSCHTST52.HBL?en=egt42&MESSA=PUBBLICA&SRL=84).

Con riferimento a tale informativa, occorre evidenziare, inoltre, che la versione pubblicata online (versione del “XX”), non risulta essere la stessa trasmessa dal Comune con la citata nota del XX.

Si rappresenta, infine, che nella predetta informativa di secondo livello – sia in quella attualmente pubblicata che in quella trasmessa dal Comune con la predetta nota del XX - risultano tuttora non indicate le basi giuridiche del trattamento di cui all’art. 6, par. 1, lett. c) ed e), del Regolamento.

Per le ragioni sopraesposte, risulta accertato che il Comune ha omesso di fornire agli interessati un’idonea informativa di primo livello, ha omesso di fornire agli stessi un’informativa di secondo livello fino al XX, nonché, dopo tale data, ha fornito agli stessi un’inidonea informativa di secondo livello, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si rappresenta che gli elementi forniti dal titolare del trattamento nelle memorie difensive, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Pertanto, si confermano le valutazioni preliminari dell'Ufficio e si rileva l'illiceità del trattamento di dati personali effettuato dal Comune, avvenuto in violazione degli artt. 5, par. 1, lett. a) e b), e 6 parr. 1, lett. c) ed e), e 3, 12, par. 1, e 13 del Regolamento nonché dell’art. 2-ter, comma 1, del Codice.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

5. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

L’art. 58, par. 2, del Regolamento attribuisce al Garante il potere di “ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine” (lett. d).

Come evidenziato nel par. 3.2, sia l'informativa di primo che di secondo livello concernenti il trattamento in esame non risultano conformi alla normativa in materia di protezione dei dati personali. L’informativa di secondo livello, infine, non risulta essere quella aggiornata trasmessa dal Comune con nota del XX (anch’essa, tuttavia, non conforme alla normativa in materia di protezione dei dati personali, come illustrato nel precedente paragrafo 3.2.).

Pertanto, si rende altresì necessario, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiungere al Comune di adottare misure idonee a provvedere, con riferimento al trattamento in esame, a:

1) fornire agli interessati l’informativa di primo livello adattando il contenuto della stessa, provvedendo ad indicare la specifica finalità amministrativa di rilevazione del non corretto conferimento dei rifiuti ed eliminando le finalità ultronee;

2) rendere l’informativa di secondo livello conforme alla normativa in materia di protezione dei dati personali, mediante aggiornamento della stessa, indicando la base giuridica del trattamento effettuato, ai sensi dell’art. 6, par. 1, lett. c) ed e) del Regolamento, provvedendo ad indicare la specifica finalità amministrativa di rilevazione del non corretto conferimento dei rifiuti, eliminando le finalità ultronee, nonché indicando in modo omogeneo e coerente tra l’informativa di primo e secondo livello gli indirizzi di contatto ai fini dell’esercizio da parte degli interessati dei diritti di cui agli artt. 15-22 del Regolamento.

Ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, il Comune dovrà, inoltre, provvedere a comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni rilevate (relative agli artt. 5, 6, 12, e 13 del Regolamento, e 2-ter del Codice), sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che il Comune non ha provveduto a fornire un’idonea informativa di primo livello agli interessati in merito ai trattamenti di dati personali effettuati mediante il sistema di rilevazione implementato, omettendo altresì di fornire, fino al XX, un’informativa di secondo livello e provvedendo a fornire, successivamente a tale data, un’informativa non conforme alla normativa in materia di protezione dei dati. Occorre inoltre considerare che il Comune, mediante il sistema foto/video in esame, ha trattato i dati concernenti le immagini dei veicoli per perseguire una finalità diversa (ovvero l’accertamento del corretto pagamento della TARI) ultronea rispetto a quella per cui i dati sono stati originariamente raccolti (conferimento dei rifiuti);

- con riferimento all’elemento soggettivo, la violazione ha carattere colposo (art. 83, par. 2, lett. b) del Regolamento);

- riguardo alle categorie di dati personali trattati, non sono comprese categorie particolari di dati (art.83, par. 2, lett. g) del Regolamento).

Alla luce di tale specifica circostanza, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole, che il titolare del trattamento è un Comune di modeste dimensioni (circa 1215 abitanti) e che:

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento, tenuto conto delle circostanze in cui sono verificate le violazioni (art. 83, par. 2, lett. e), del Regolamento);

- il grado di cooperazione manifestato dal titolare con l'autorità di controllo al fine di provare a porre rimedio alla violazione e attenuarne i possibili effetti negativi (art. 83, par. 2, lett. f) del Regolamento);

- il contesto di riferimento, avendo il Comune trattato i dati raccolti mediante il sistema video per l’ulteriore finalità di accertare il corretto pagamento della TARI, al fine di poter gestire l’elevata mole di rifiuti conferiti, anche da abitanti di Comuni limitrofi (art. 83, par. 2, lett. k) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.500 (quattromilacinquecento/00) per la violazione degli artt. 5, par. 1, lett. a) e b), 6, parr. 1, lett. c) ed e), e 3, 12, par. 1, e 13 del Regolamento e 2-ter, comma 1, del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il mancato rispetto da parte del Comune del principio di trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento, non avendo provveduto a fornire un’informativa idonea agli interessati e per aver trattato i dati personali per una finalità ultronea a quella per cui i dati sono stati originariamente raccolti.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Arcinazzo Romano nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e b), 6, parr. 1, lett. c) ed e), e 3, 12, par. 1, e 13 del Regolamento e 2-ter, comma 1, del Codice

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Arcinazzo Romano, con sede in Viale S. Giorgio n. 1, 00020 Arcinazzo Romano (RM) C.F. 02945070585, di pagare la complessiva somma di euro 4.500 (quattromilacinquecento/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Arcinazzo Romano:

- di pagare la complessiva somma di euro 4.500 (quattromilacinquecento/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, di adottare le misure idonee a fornire agli interessati l’informativa di primo livello adattando il contenuto della stessa, provvedendo ad indicare la specifica finalità amministrativa di rilevazione del non corretto conferimento dei rifiuti ed eliminando le finalità ultronee, nonché a rendere l’informativa di secondo livello conforme alla normativa in materia di protezione dei dati personali, mediante aggiornamento della stessa, indicando la base giuridica del trattamento effettuato, ai sensi dell’art. 6, par. 1, lett. c) ed e) del Regolamento,  provvedendo ad indicare la specifica finalità amministrativa di rilevazione del non corretto conferimento dei rifiuti, eliminando le finalità ultronee, nonché indicando in modo omogeneo e coerente tra l’informativa di primo e secondo livello gli indirizzi di contatto ai fini dell’esercizio da parte degli interessati dei diritti di cui agli artt. 15-22 del Regolamento.

- ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d), nonché le eventuali misure poste in essere per assicurare la conformità del trattamento alla normativa in materia di protezione dei dati personali.

DISPONE

ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 ottobre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Fanizza