[doc. web n. 10138999]

Provvedimento del 27 marzo 2025

Registro dei provvedimenti
n. 168 del 27 marzo 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato in data XX ai sensi dell’art. 77 del Regolamento, il sig. XX ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali, riguardante la ricezione di un verbale di contestazione dell’infrazione dell’art. 7, comma 14, del del D.Lgs. 30 aprile 1992, n. 285 (“Nuovo Codice della Strada”, o “C.d.S.”) accertata mediante sistema di videosorveglianza, per aver acceduto in un’area ZTL in assenza della relativa autorizzazione.

In particolare, il reclamante ha rappresentato la poca chiarezza nell’individuazione del titolare del trattamento in quanto, nella cartellonistica presente all’epoca dei fatti, era indicato il Comune di Imola in luogo del Nuovo Circondario Imolese, con conseguente pregiudizio in merito al principio di trasparenza anche ai fini del corretto esercizio dei diritti da parte degli interessati.

2. L’attività istruttoria

In risposta a due richieste di informazioni dell’Autorità del XX e del XX(prot. nn. XX e XX) ai sensi dell’art. 157 del Codice, con note del XX e del XX (prot. nn. XX e XX), il Nuovo Circondario Imolese ha dichiarato, in particolare, che:

- “Con la Convenzione per la gestione associata della funzione di polizia locale (approvata dal Comune di Imola con deliberazione C.C. n. XX del XX e dal NCI con deliberazione dell’Assemblea n. XX del XX), in vigore dal XX […] il Comune di Imola ha conferito le funzioni comprendenti tutti i compiti e le attività di polizia locale definiti dalla L. 65/1986 e dalla L.R. 24/2003, ivi compresa la videosorveglianza e il fotocontrollo degli accessi, al Nuovo Circondario Imolese […]”;

- per quanto concerne l’informativa di primo livello “Nella segnaletica installata in prossimità dei varchi non era stato registrato il mutato assetto istituzionale a far data dal XX e, pertanto, figurava il Comune di Imola quale Titolare del trattamento”, il cui aggiornamento “è stato effettuato il XX”;

- in merito all’informativa di “secondo livello, il XX “Il Nuovo Circondario Imolese ha, inoltre, […provveduto a pubblicare] un’informativa estesa del trattamento dei dati personali effettuato a mezzo dei sistemi di videosorveglianza per finalità di controllo degli accessi ai varchi del centro storico. consultabile sul sito istituzionale al link https://www.nuovocircondarioimolese.it/polizia-locale”;

- con riguardo, infine, alla valutazione di impatto in relazione al trattamento in esame, la stessa è stata “sottoscritta in data XX”.

Con riferimento alla condotta del Nuovo Circondario Imolese, l’Ufficio, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, ha notificato allo stesso, in data XX (prot. n. XX) ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento per aver agito in maniera non conforme al principio di “liceità, correttezza e trasparenza” e per aver provveduto a redigere la valutazione d’impatto sulla protezione dei dati successivamente all’avvio del trattamento dei dati personali, in violazione degli artt. 5, par. 1, lett. a), 12, 13 e 35 del Regolamento.

Il Nuovo Circondario Imolese, con l’atto sopra citato, è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge 24 novembre 1981, n. 689).

Con note del XX e XX (rispettivamente, prot. nn. XX e XX), nonché nel corso dell’audizione, tenutasi in data XX, il Nuovo Circondario Imolese ha dichiarato che “la natura del sistema di fotocontrollo, ubicato nel centro storico del Comune di Imola, […] è un impianto omologato protetto e isolato, nonché separato e distinto dal sistema di videosorveglianza. L’impianto di fotocontrollo è dotato di telecamere che permettono la rilevazione e registrazione delle immagini dei veicoli che accedono all’area. Al fine di sanzionare veicoli che accedono alla Ztl senza permesso autorizzativo, le telecamere fotografano la targa dei veicoli in transito non censiti nella whitelist (come nel caso del reclamante) e non persone o altri veicoli. Ciò in quanto il sistema rileva il passaggio dei veicoli e verifica tramite una whitelist, contenente l’elenco delle targhe autorizzate ad entrare nella ztl, l’esistenza dell’autorizzazione ad accedere. Al fine di elevare il verbale vengono mantenute solo le immagini relative alla targa, sono oscurate tutte le altre informazioni non rilevanti ai fini della contestazione della contravvenzione. Le fotografie non vengono inviate al domicilio del proprietario del veicolo unitamente al verbale di contestazione ma sono rese disponibili ai richiedenti mediante accesso agli atti. […] Ci sono cartellonistiche importanti presenti nelle aree limitrofe alle zone a traffico limitato. Il sistema è attivo da anni, a dicembre del XX il Comune di Imola e altri otto comuni del circondario imolese hanno conferito al Nuovo Circondario la gestione delle attività inerenti alla polizia locale. […] dal 1° gennaio XX […] Il Nuovo Circondario Imolese è diventato, […] il nuovo titolare del trattamento dei dati personali sotteso alla gestione delle ZTL. Anche il reclamante era a conoscenza di un mutato assetto della gestione delle funzioni sopra citate, rilevabile anche nella contravvenzione a lui notificata. La cartellonistica contenente l’informativa di primo livello non era aggiornata perché, nei primi mesi, il Circondario si è concentrato sugli aspetti gestionali e organizzativi delle procedure da seguire per la gestione associata al fine di garantire il servizio di polizia locale a tutti i nove Comuni aderenti; questo ha comportato un po’ di ritardo nell’aggiornamento dell’informativa di primo livello. La violazione dell’obbligo di fornire l’informativa non sussiste perché l’informativa di primo livello era presente, seppur non aggiornata, anche considerando che il reclamante conosceva la nuova titolarità in capo al Circondario […] la mancanza dell’aggiornamento dell’informativa non […è] suscettibile di ledere i diritti e le libertà degli interessati e in particolare del reclamante in quanto lo stesso è riuscito comunque a contattare l’effettivo titolare del trattamento”.

Nelle predette note, con riferimento alla valutazione di impatto concernente il trattamento in esame, il Nuovo Circondario Imolese ha rappresentato, in particolare, che “La fattispecie per cui si procede non contempla trattamenti di dati personali che comportano la sorveglianza sistematica di persone che accedono ad un luogo pubblico né sono utilizzate soluzioni tecnologiche innovative tantomeno è riscontrabile la combinazione di due dei nove criteri definiti dall’EDPB nelle […] Linee guida [in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilità che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679]. In sintesi, […] il trattamento di dati personali effettuato relativo alla tutela delle zone a traffico limitato non present[a] un rischio elevato per i diritti e le libertà degli interessati. Ad ogni buon conto, il Nuovo Circondario Imolese ha prodotto apposita valutazione d’impatto […]”.

3. Esito dell’attività istruttoria.

3.1. La normativa applicabile in materia di protezione dei dati personali.

In base alla disciplina in materia di protezione dei dati personali i soggetti pubblici possono trattare i dati personali degli interessati se il trattamento è necessario, in generale, per adempiere a specifici obblighi o compiti previsti da leggi (artt. 6, paragrafo 1, lett. c), del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. e) e paragrafi 2 e 3 del Regolamento; nonché art. 2-ter del Codice). Tali criteri di liceità si applicano, altresì, nel caso di impiego di sistemi di videosorveglianza da parte di soggetti pubblici (cfr. par. 41 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il 29 gennaio 2020; v. anche le FAQ del Garante in materia di videosorveglianza, doc. web n. 9496574).

Il titolare del trattamento è tenuto altresì, in ogni caso, a rispettare i principi in materia di protezione dei dati personali, fra cui quelli di “liceità, correttezza e trasparenza”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (art. 5, par. 1, lett. a) del Regolamento).

3.2. L’informativa agli interessati.

Alla luce del suddetto principio di trasparenza, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12, par. 1, del Regolamento).

In particolare, allorquando siano impiegati dispositivi di ripresa foto/video, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” cit, in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1; da ultimo, v. le FAQ del Garante in materia di videosorveglianza, doc. web n. 9496574, n. 4; cfr., altresì, provv. ti 12 dicembre 2024, n. 766, doc. web n. 10102334, 19 dicembre2024, n. 805, doc. web 10107263, 11 gennaio 2024, n. 5, doc. web n. 9977020; 18 luglio 2023, n. 312, doc. web n. 9920578; 20 ottobre 2022, n. 341, doc. web n. 9831369; 28 aprile 2022, n. 162, doc. web n. 9777974, 7 aprile 2022, n. 119, doc. web n. 9773950; 16 settembre 2021, n. 327, doc. web n. 9705650 e 11 marzo 2021, n. 90, doc. web n. 9582791).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale, senza alcuna registrazione di dati o trasmissione a soggetti terzi (Linee guida del Comitato, cit., par. 115).

La segnaletica di avvertimento di primo livello deve contenere inoltre un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Nel corso dell’istruttoria è emerso che dalla data del 1° gennaio XX (in cui è subentrato a seguito di una Convenzione per la gestione associata della funzione di polizia locale al Comune di Imola nella gestione delle funzioni comprendenti tutti i compiti e le attività di polizia locale compresa la videosorveglianza e il controllo degli accessi), al XX, il Nuovo Circondario Imolese non ha provveduto ad aggiornare l’informativa di primo livello, ed in particolare il riferimento al nuovo titolare del trattamento, né a pubblicare l’informativa di secondo livello sul proprio sito istituzionale, operando pertanto  in violazione del principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a) del Regolamento) nonché degli artt. 12 e 13 del Regolamento.  

Per quanto concerne, invece, il contestato mancato svolgimento della valutazione d’impatto sulla protezione dei dati prima dell’avvio del trattamento dei dati personali (art. 35 del Regolamento), preso atto di quanto dichiarato dal Nuovo Circondario Imolese in corso d’istruttoria in relazione alle peculiarità del sistema di “fotocontrollo implementato, […consistente in] un impianto omologato protetto e isolato, […] separato e distinto dal sistema di videosorveglianza”,  il quale ai fini della rilevazione e registrazione delle immagini dei veicoli che accedono all’area Ztl senza permesso autorizzativo, fotografa la targa dei veicoli in transito non censiti in apposita whitelist - contenente l’elenco delle targhe autorizzate ad entrare nell’area ZTL - e non persone o altri veicoli, si dispone, alla luce degli specifici elementi emersi nel caso concreto, l’archiviazione della contestazione della violazione dell’art. 35 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle disposizioni sopra citate da parte del Nuovo Circondario Imolese ha avuto luogo in conseguenza di una condotta che può essere considerata unitaria (stesso trattamento o trattamenti tra loro collegati, in quanto inerenti al medesimo sistema di videosorveglianza), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni accertate – artt. 5, 12 e 13 del Regolamento - sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000 (ventimilioni/00).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare che il Nuovo Circondario Imolese non ha provveduto, inizialmente, ad aggiornare l’informativa di “primo livello” – seppur presente - né a fornire l’informativa di secondo livello agli interessati in merito ai trattamenti di dati personali effettuati mediante il sistema di rilevazione implementato.

Deve, inoltre, considerarsi:

- il carattere colposo della violazione, atteso l’erroneo convincimento iniziale da parte del Nuovo Circondario Imolese circa la non sussistenza dell’obbligo di fornire un’informativa di secondo livello che, infatti, è stata predisposta non appena avviata l’istruttoria (art. 83, par. 2, lett. b) del Regolamento);

- che i trattamenti in questione non sono relativi a categorie particolari di dati (art. 83, par. 2, lett. g).

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento possa essere considerato di grado basso (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, si ritiene che, ai fini della quantificazione della sanzione, debba essere presa in considerazione, in senso favorevole al Nuovo Circondario Imolese, che non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e), del Regolamento), il grado di cooperazione manifestato dal titolare con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi, tenendo conto che lo stesso ha provveduto tempestivamente, a seguito dell’avvio dell’istruttoria, ad aggiornare l’informativa di primo livello inserendo il corretto riferimento al titolare del trattamento e a pubblicare un’informativa di secondo livello sul sito istituzionale, e a redigere comunque, sebbene dallo stesso ritenuta non necessaria, la valutazione d’impatto (art. 83, par. 2, lett. f) del Regolamento), nonché il contesto di riferimento, in considerazione dei vari aspetti gestionali e organizzativi affrontati da parte del Nuovo Circondario Imolese, in un primo momento, al fine di garantire continuità nello svolgimento del servizio di polizia locale nei vari Comuni aderenti (art. 83, par. 2, lett. k) del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000,00 (quattromila/00) per la violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione delle specifiche circostanze del caso concreto, riguardanti il mancato rispetto da parte del Nuovo Circondario Imolese del principio di trasparenza di cui all’art. 5, par. 1, lett. a) del Regolamento, non avendo provveduto, sin dall’iniziale subentro nella gestione del servizio di polizia locale del Comune di Imola, ad aggiornare l’informativa di “primo livello” né a fornire l’informativa di “secondo livello”.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi degli artt. 57, par. 1, lett. f), e 83 del Regolamento, rileva l’illiceità del trattamento effettuato dal Nuovo Circondario Imolese nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Nuovo Circondario Imolese, con sede legale in Via Boccaccio, n. 27, Imola (BO), 40026, C.F. 90036770379, di pagare la complessiva somma di euro 4.000,00 (quattromila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Nuovo Circondario Imolese:

- di pagare la complessiva somma di euro 4.000,00 (quattromila/00) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, secondo le modalità indicate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell'art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante;

ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 27 marzo 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei