g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Comune di Varano Borghi - 11 novembre 2021 [9725891]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9725891]

Ordinanza ingiunzione nei confronti di Comune di Varano Borghi -  11 novembre 2021

Registro dei provvedimenti
n. 399 dell'11 novembre 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “RGPD”);

VISTO il d. lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

Relatore il prof. Pasquale Stanzione;

PREMESSO

1. Introduzione

Questa Autorità ha ricevuto diversi reclami – a distanza di tempo, ma collegati e progressivamente integrati – da parte del sig. XX (di seguito “reclamante”), con i quali è stata contestata una violazione della normativa in materia di protezione dei dati personali da parte del Comune di Varano Borghi, in relazione al trattamento effettuato nell’ambito della vicenda del recesso del predetto Comune dal rapporto di lavoro (nella specie relativo XX) con il reclamante.

Considerando le numerose comunicazioni del reclamante e la copiosa documentazione allegata, concernente distinte problematiche a cui corrispondono numerose richieste al Comune avanzate dal reclamante nel medesimo arco temporale – sovente indirizzate contestualmente anche ad altri soggetti istituzionali con sovrapposizione di doglianze per molteplici profili di competenza (Anac, Corte dei conti, Procura della Repubblica, Prefettura, etc.) – è stata disposta la trattazione congiunta delle diverse problematiche rappresentante e la riunione dei procedimenti, alla luce di quanto previsto dall’art. 10, comma 4, del Regolamento del Garante n. 1/2019, secondo cui «l’istruttoria preliminare può essere svolta contestualmente in relazione a più reclami aventi il medesimo oggetto o che riguardano il medesimo titolare o responsabile del trattamento, oppure trattamenti di dati tra loro correlati».

In particolare, il reclamante ha lamentato:

1) l’effettuazione nel corso della seduta del consiglio comunale, tenuta in data XX, su disposizione del Sindaco di riprese audiovisive tramite un agente di polizia locale mediante l’utilizzo di body cam di ordinanza, senza la preventiva informativa e in contrasto altresì con il combinato disposto degli artt. 114 e 171 del d. lgs.196 del 2003 e degli artt. 4 e 38 dello Statuto dei Lavoratori;

2) il mancato riscontro a istanze di accesso documentale per ottenere copia della predetta registrazione audio visiva della seduta consiliare, nonché il mancato riscontro alle note di esercizio dei diritti in materia di protezione dei dati personali (accesso, limitazione del trattamento e opposizione alla cancellazione dei propri dati personali contenuti sia sul supporto magnetico registrato il XX sia in altri documenti);

3) la diffusione di dati personali contenuti nelle deliberazioni n. XX dell’XX; n. XX del XX e n. XX dell’XX, pubblicate nell’Albo Pretorio online, oltre che nella sezione Amministrazione trasparente del sito web istituzionale.

In tale contesto, il Comune di Varano Borghi ha fornito riscontro alla richiesta d’informazioni dell’Ufficio con nota prot. n. XX del XX, rappresentando fra l’altro che:

- in relazione all’istanza di accesso al file contenente la registrazione audio-video della seduta consiliare del XX eseguita dall’agente di polizia locale non è stata possibile accogliere la richiesta poiché una serie di documenti tra cui il file audio-video «sono stati acquisiti ai sensi dell’art. 256 c.p.p. dalla Procura della Repubblica di Varese per il tramite della Guardia di Finanza Compagnia di Varese, nell’ambito del procedimento penale [indicato in atti]». Inoltre, la registrazione non è divulgata o diffusa ed è «custodita [nelle modalità indicate in atti] e a disposizione della sola Autorità giudiziaria»;

- la deliberazione della Giunta Comunale n. XX del XX e la deliberazione del Consiglio Comunale n. XX del XX sono state pubblicate all’albo on-line per quindici giorni e non riportano dati personali riconducibili al reclamante, mentre la deliberazione del Consiglio Comunale n. XX dell’XX, con relativi allegati, sono stati pubblicati all’albo on-line dal XX al XX e «sono stati eliminati dalla Sezione Amministrazione Trasparente in data XX»;

- l’accesso agli atti del reclamante del XX, acquisito al protocollo dell’Ente al n. 554, relativa all’Allegato A) della deliberazione della Giunta Comunale n. XX del XX è stato riscontrato, ma la «documentazione resa dunque disponibile [non sarebbe] mai [stata] ritirata dall’odierno reclamante». Inoltre, la «richiesta successivamente espressa dal reclamante di ottenere trascrizioni parziali, riassunti, sintesi e stralci dei predetti atti – dallo stesso in precedenza chiesti – è di impossibile attuazione, in quanto discrezionale e comportante attività estranea all’attività degli uffici comunali. [Per cui] la richiesta formulata appare di tutta evidenza abnorme, oltre che naturalmente ultronea ai compiti attribuiti [al Garante]»;

- per quanto attiene all’uso della body cam, «la strumentazione in dotazione alla Polizia Locale è stata utilizzata nel rispetto dei principi in materia di protezione dei dati personali e del rispetto della normativa in tema di controllo dell’attività lavorativa [e] le riprese audiovisive sono regolamentate nell’informativa privacy “Polizia Locale”».

2. La normativa in materia di protezione dei dati personali

Ai sensi della disciplina in materia, «dato personale» è «qualsiasi informazione riguardante una persona fisica identificata o identificabile (“interessato”)» e «si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale» (art. 4, par. 1, n. 1, del RGPD).

In particolare, il datore di lavoro può trattare i dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del RGPD) dei lavoratori se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c; 9, parr. 2, lett. b, e 4; 88 del RGPD). Il trattamento è, inoltre, lecito quando è «necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, paragrafo 1, lett. e, del RGPD; art. 2-ter del Codice).

Si ricorda, inoltre, che – ai sensi della disciplina vigente al momento della condotta – le operazioni di «comunicazione» e «diffusione» di dati personali (come la pubblicazione online), da parte di soggetti pubblici (come il Comune), sono ammesse solo se previste «da una norma di legge o, nei casi previsti dalla legge, di regolamento» (art. 2-ter, commi 1-4, del Codice). Al riguardo, la normativa statale di settore prevede, inoltre, che «Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all’albo pretorio, nella sede dell’ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge» (art. 124, comma 1, d. lgs. n. 267 del 18/8/2000).

Per quanto riguarda, invece, l’uso delle cc.dd. body cam, il titolare, prima di effettuare il trattamento, anche in attuazione del principio di «responsabilizzazione» (artt. 5, par. 2, e 24, del RGPD), è tenuto a valutare se i trattamenti che intende realizzare possono presentare un rischio elevato per i diritti e le libertà delle persone fisiche – in ragione delle tecnologie impiegate e considerata la natura, l’oggetto, il contesto e le finalità perseguite – che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali e, qualora ne ricorrano i presupposti, un’eventuale consultazione preventiva del Garante (artt. 35 e 36, del RGPD; Cfr., inoltre, WP 248, del 4/10/2017, «Linee guida in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” ai fini del Regolamento (UE) 2016/679», del Gruppo art. 29, ora Comitato di cui all’art. 68 del RGPD).

In ogni caso, anche in presenza di una base giuridica, il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quello di «liceità, correttezza e trasparenza» nonché di «minimizzazione», in base ai quali i dati personali devono essere – rispettivamente – «trattati in modo lecito, corretto e trasparente nei confronti dell’interessato» adottando «misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 […]», nonché «adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (artt. 5, par. 1, lett. a e c; 12 del RGPD).

3. Valutazioni preliminari dell’Ufficio sul trattamento di dati personali effettuato.

A seguito dalle verifiche compiute sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio, con nota prot. n. XX del XX, ritenendo non accoglibili alcuni profili lamentati nei reclami – quali quelli inerenti al mancato riscontro a istanze di accesso documentale e di esercizio dei diritti in materia di protezione dei dati personali, nonché alla pubblicazione delle deliberazioni n. XX e n. XX, prima descritti ai punti nn. 2 e 3 del par. 1 – ha tuttavia, comunque, accertato che il Comune di Varano Borghi ha effettuato trattamenti di dati personali non conformi alla disciplina rilevante in materia di protezione dei dati personali contenuta nel RGPD, con particolare riferimento alla diffusione dei dati personali contenuti nella determinazione n. XX dell’XX e all’utilizzo della body cam. Pertanto, con la medesima nota sono state notificate al predetto Comune le violazioni effettuate (ai sensi dell’art. 166, comma 5, del Codice), comunicando l’avvio del procedimento per l’adozione dei provvedimenti di cui all’articolo 58, par. 2, del RGPD e invitando la predetta amministrazione a far pervenire al Garante scritti difensivi o documenti ed, eventualmente, a chiedere di essere sentita da questa Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981).

4. Memorie difensive.

Il Comune di Varano Borghi, con nota prot. n. XX del XX, ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate.

Al riguardo, si ricorda che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice, intitolato «Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante».
Sulla diffusione di dati personali online contenuti nella determinazione n. XX dell’XX, pubblicata sul sito web istituzionale (in un primo momento nella sezione “Albo Pretorio” e poi nella Sezione Amministrazione Trasparente almeno fino alla data di aggiornamento del software dell’XX), l’Ente ha evidenziato – fra l’altro – che:

«La pubblicazione della deliberazione/determinazioni è un istituto di partecipazione popolare che, insieme alla necessità di apprestare un meccanismo legale di presunzione di conoscenza nei confronti dei terzi, è rivolto anche a rendere possibile la presentazione di osservazioni, oppure opposizioni da parte di chiunque vi abbia interesse per consentire all’organo emanante di provvedere su di esse e che potrebbero condurre anche ad una modifica della deliberazione stessa prima della sua entrata in vigore regolamentato da d. lgs. n. 267/2000»;

- «Nella delibera del Consiglio Comunale n. XX dell’XX compaiono i dati personali (nome e cognome) del soggetto reclamante che sarebbe stato in ogni caso identificato indirettamente, in quanto l’atto assumeva dei provvedimenti relativi alla deliberazione n. XX del XX in cui il Consiglio Comunale, nella facoltà dei propri poteri, decideva di recedere [dal rapporto di lavoro instaurato con il reclamante]»;

- «Non vi era possibilità di minimizzazione dei dati nel documento oggetto di contestazione in quanto l’argomento trattato nel Consiglio Comunale ed il relativo verbale anche non indicando in maniera esplicita il nome del [reclamante] lo avrebbero identificato in maniera indiretta […]»;

- «La pubblicazione di atti nell’albo on-line è regolata da una procedura [software] che regola automaticamente il tempo di permanenza degli atti in 15 gg dalla data di pubblicazione per le delibere del consiglio comunale. La pubblicazione di atti in amministrazione trasparente è regolata da una procedura [software] che regola automaticamente il tempo di permanenza degli atti in 5 anni dalla data di pubblicazione per l’elenco degli atti degli organi politici»;

- «[…] la pubblicazione dei dati e dei fatti in esso contenuti non comporta il trattamento di dati personali particolari o diffamatori ma la sola enunciazione degli avvenimenti relativi al recesso […]»;

- «La delibera del Consiglio comunale n.XX dell’XX è stata rimossa dalla sessione elenco provvedimenti pubblicati dell’amministrazione trasparente»;

- «È stato fatto un aggiornamento del software di gestione dell’amministrazione trasparente per migliorare la gestione e la tracciabilità di chi esegue la pubblicazione degli atti»;

- «Con la software house che fornisce l’albo on-line è stata avviata una revisione degli atti pubblicati per verificare che vengano rispettai i 15 giorni. La verifica ha dato esito positivo in quanto la gestione dell’oblio degli atti pubblicati risulta essere conforme alla normativa»;

- «È stata fatta un’attività di sensibilizzazione, da parte del Segretario Comunale, Responsabile della Trasparenza e dell’Anticorruzione sulla pubblicazione dei dati sul sito istituzionale dell’Ente»;

- «L’Ente adotterà un provvedimento che definirà le regole di pubblicazione di atti sul sito istituzionale che rispetta la linea guida del Garante pubblicata sulla Gazzetta Ufficiale n. 134 del 12 giugno 2014».

Sull’utilizzo di body cam l’Ente ha inoltre aggiunto – fra l’altro – che:

- «Nel Consiglio comunale, durante il quale sono state fatte delle riprese, si sarebbe discusso di un argomento che aveva destato interesse nella cittadinanza per cui al fine di tutelare l’ordine pubblico è stato chiesto dal Sindaco la presenza della Polizia Locale»;

- «La partecipazione della cittadinanza si desume anche dagli atti trasmessi all’Autorità garante. La video ripresa della seduta di Consiglio comunale è stata autorizzata dal Sindaco al fine di prevenire minacce alla sicurezza all’ordine pubblico, come previsto dal Dlgs n 18 maggio 2018, n. 51»;

- «Come si rileva dai Verbali del Consiglio comunale, prima che si aprisse formalmente la seduta del Consiglio Comunale, l’Agente di Polizia Locale aveva informato i membri del Consiglio che lo stesso sarebbe stato oggetto di ripresa»;

- «Gli eventi con cui si è concluso il Consiglio Comunale e le registrazioni contenute hanno, a giudizio dello scrivente, giustificato la presenza dell’agente di Polizia Locale»;

- «Si fa presente che la body-cam, di cui è dotato l’Agente di Polizia, ha proprio lo scopo di prevenzione dei reati in situazioni in cui l’Agente ritiene sia necessario attivarla»;

- «Per la redazione delle informative sul trattamento, la scelta dell’ente è stata quella di affidarsi ad un tools software e di redigere una informativa del trattamento dei dati relativa prevista dall’ art 13 del RUE 679-2016 per tutti i trattamenti dell’ufficio/servizio»;

- «In merito alle finalità del trattamento sull’utilizzo dei sistemi di video sorveglianza l’errata identificazione della base giuridica e dei mezzi del trattamento sicuramente non definisce un quadro esatto del trattamento dei dati ma non ha pregiudicato un corretto uso e trattamento dei dati stessi»;

- «La registrazione delle immagini del consiglio comunale, come si evince dai verbali della delibera di consiglio, ha riguardato sostanzialmente i componenti dello stesso consiglio, e non i cittadini presenti in gran numero durante l’assemblea. […] La presenza dell’agente di polizia locale e la finalità della ripresa era motivata dalla volontà del Sindaco di prevenire possibili situazioni di reato e per la tutela dell’ordine pubblico. Se la finalità fosse determinata dall’esigenza di riprendere il consiglio comunale sarebbero stati usati altri strumenti e altri soggetti»;

- «L’agente prima dell’avvio del consiglio comunale ha indicato di avere attivato la registrazione della body-cam […] e nessuno dei presenti ha opposto il diniego ad essere ripreso. Vista la finalità del trattamento l’enunciazione dei punti chiesti dall’art 13 del regolamento sul trattamento dei dati era poco attuabile. L’agente visto il clima del consiglio comunale ha omesso di indicare dove i componenti del consiglio comunale potevano trovare l’informativa sul trattamento dei dati in quanto da disposizioni l’uso delle body-cam per motivi di prevenzione di reato e di tutela dell’ordine pubblico gli agenti di pubblica sicurezza sono abituati ad avvisare l’interessato della attivazione del dispositivo di registrazione»;

- «L’Ente ha aggiornato l’informativa sul trattamento dei dati in materia di video sorveglianza [ed ha] predisposto un regolamento sulla video sorveglianza».

5. Valutazioni del Garante

La questione oggetto del procedimento, rispetto al complesso dei profili lamentati nei reclami sottoposti all’attenzione del Garante da parte del reclamante (molti dei quali non ritenuti accoglibili), riguarda:

a) la diffusione di dati e informazioni personali del reclamante contenuti nella determinazione n. XX dell’XX, pubblicata sul sito web istituzionale (in un primo momento nella sezione “Albo Pretorio” e poi nella Sezione Amministrazione Trasparente almeno fino alla data di aggiornamento del software dell’XX);

b) l’effettuazione nel corso di una seduta del consiglio comunale di riprese audiovisive tramite l’utilizzo della body cam di ordinanza da parte di un agente di polizia locale.

a) Sulla diffusione di dati personali online

Nell’ambito dell’istruttoria aperta da questa Autorità, in relazione alla prima questione il Comune di Varano Borghi ha confermato, nelle proprie memorie difensive, l’avvenuta diffusione online dei dati personali descritti, giustificando la propria condotta sulla base della circostanza che i dati personali non erano minimizzabili e che «La pubblicazione della deliberazione/determinazioni è un istituto di partecipazione popolare che, insieme alla necessità di apprestare un meccanismo legale di presunzione di conoscenza nei confronti dei terzi, è rivolto anche a rendere possibile la presentazione di osservazioni, oppure opposizioni da parte di chiunque vi abbia interesse per consentire all’organo emanante di provvedere su di esse e che potrebbero condurre anche ad una modifica della deliberazione stessa prima della sua entrata in vigore regolamentato da d. lgs. n. 267/2000».

Al riguardo, si ritiene, tuttavia, di non poter accogliere in maniera integrale le giustificazioni addotte dal Comune, in quanto alla fattispecie sottoposta all’attenzione del Garante, e inerente alla questione della diffusione di dati personali contenuti in atti e documenti oggetto di pubblicazione sull’albo pretorio online, si applica, come evidenziato anche dal Comune nelle proprie memorie difensive, la normativa statale di settore, che prevede come «Tutte le deliberazioni del comune e della provincia sono pubblicate mediante pubblicazione all’albo pretorio, nella sede dell’ente, per quindici giorni consecutivi, salvo specifiche disposizioni di legge» (art. 124, comma 1, d. lgs. n. 267/2000).

Sul punto, inoltre, non è possibile applicare agli atti pubblicati sull’albo pretorio online il termine di 5 anni, previsto per la pubblicazione degli atti sul sito web istituzionale nella sezione «Amministrazione trasparente», ai sensi dell’art. 8, comma 3, del d. lgs. n. 33/2013. Ciò in quanto, come espressamente affermato anche dall’Autorità Nazionale Anticorruzione (ANAC) – che rappresenta l’Autorità incaricata della vigilanza sugli obblighi di pubblicazione online per finalità di trasparenza contenuti nel d. lgs. n. 33/2013 (cfr. art. 45) – «La tenuta nell’albo pretorio, anche a seguito della disposta sostituzione della forma cartacea con la previsione dell’inserimento on line, non rientra direttamente nell’ambito di applicazione delle norme in materia di trasparenza amministrativa di cui al d.lgs. 33/2013. Di conseguenza, non compete ad ANAC la vigilanza sulla pubblicazione dei documenti e delle informazioni pubblicate nell’albo pretorio on-line» e la «durata della pubblicazione dei documenti nell’albo pretorio on line non coincide, poiché inferiore, con la durata della pubblicazione dei dati sui siti istituzionali entro la sezione “Amministrazione trasparente” che l’art. 8, co. 3, del d.lgs. n. 33/2013 fissa a cinque anni» (cfr. ANAC, «FAQ in materia di trasparenza (sull’applicazione del d.lgs. n. 33/2013 come modificato dal d.lgs. 97/2016)», nn. 1.5 e 1.8, in http://www.anticorruzione.it/portal/public/classic/MenuServizio/FAQ/Trasparenza).

Analogamente, anche questa Autorità ha fornito specifiche indicazioni al riguardo con le Linee guida in materia di trasparenza, evidenziando che «vanno distinte, considerato il profilo del diverso regime giuridico applicabile, le disposizioni che regolano gli obblighi di pubblicità dell’azione amministrativa per finalità di trasparenza [a cui si applica il regime previsto dal d. lgs. n. 33/2013 (termine di 5 anni di mantenimento del documento sul web, obbligo di indicizzazione, possibilità di riutilizzo, ecc.)] da quelle che regolano forme di pubblicità per finalità diverse» (cfr. «Introduzione»). In tale quadro, «devono ritenersi estranei all´oggetto del […] decreto legislativo [n. 33/2013] tutti gli obblighi di pubblicazione previsti da altre disposizioni per finalità diverse da quelle di trasparenza, quali gli obblighi di pubblicazione a fini di pubblicità legale, pubblicità integrativa dell´efficacia, pubblicità dichiarativa o notizia (già illustrati in forma esemplificativa nell´“Introduzione” e presi in considerazione nella parte seconda delle presenti Linee guida» (provvedimento generale n. 243 del 15/5/2014, recante le «Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati», pubblicato in G.U. n. 134 del 12/6/2014 e in www.gpdp.it, doc. web n. 3134436). Fra tali ipotesi rientrano chiaramente le disposizioni sulla tenuta dell’albo pretorio negli enti locali, che prevedono l’obbligo di affissione all’albo pretorio a fini di pubblicità legale di tutte le deliberazioni del comune e della provincia per quindici giorni consecutivi (art. 124, commi 1 e 2, del d. lgs. n. 267/2000), a cui di conseguenza non è applicabile il regime di pubblicità pari a di cinque anni, previsto dall’art. 8 del d. lgs. n. 33/2013.

In ogni caso, in più occasioni è stato ricordato che persino la presenza di uno specifico regime di pubblicità, non può comportare alcun automatismo rispetto alla diffusione online dai dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali di provenienza europea, previsti dal RGPD, quali – fra gli altri – quello di «minimizzazione», in base al quale i dati personali – anche contenuti in atti o documenti la cui diffusione online sia prevista da una specifica base normativa – devono essere non solo «adeguati» e «pertinenti», ma anche «limitati a quanto necessario rispetto alle finalità per le quali sono trattati» (art. 5, par. 1, lett. c). Ciò è d’altronde confermato anche dal sistema di protezione dei dati personali contenuto nel RGPD, alla luce del quale è inoltre previsto che il titolare del trattamento debba mettere «in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento» («data protection by default») e debba essere «in grado di dimostrare» – alla luce del principio di «responsabilizzazione» («accountability») – di averlo fatto (artt. 5, par. 2; 24 e 25, par. 2, RGPD). Stante, poi, le particolari caratteristiche del contesto lavorativo e i maggiori rischi per i diritti e le libertà degli interessati, il Garante ha, nel tempo, evidenziato tali profili nei casi di pubblicazione online di atti e documenti che, come nel caso di specie, riportino anche informazioni relative a specifiche vicende connesse al rapporto di lavoro (quali procedimenti disciplinari, dimissioni, procedimenti valutativi; cfr., tra i tanti, provv. n. 34 del 27/1/2021, in www.gpdp.it, doc. web n. 9549165; provv. n. 69 del 25/2/2021, ivi, doc. web n. 9565258; provv. n. 256 del 24/62021, ivi, doc web n. 9689607).

Il Comune, pertanto, avrebbe dovuto effettuare le predette valutazioni, provvedendo in primo luogo a riscontrare la richiesta di esercizio dei diritti e di oscuramento dei dati personali, formulata dal reclamante (cfr. nota che risulta acquisita dall’amministrazione al prot. n. XX del XX), evitando in tal modo la necessità per il soggetto interessato di effettuare un reclamo al Garante con apertura di una specifica istruttoria che ha portato al presente procedimento.

b) Sull’utilizzo della body cam

Il Comune di Varano Borghi ha ammesso di aver effettuato nel corso della seduta del consiglio comunale del XX riprese audiovisive da parte di un agente di polizia locale, mediante l’utilizzo di body cam di ordinanza, giustificando il trattamento – ricondotto all’ambito di applicazione del d. lgs. n. 51/2018 – sulla base della circostanza che «Nel Consiglio comunale, durante il quale sono state fatte delle riprese, si sarebbe discusso di un argomento che aveva destato interesse nella cittadinanza per cui al fine di tutelare l’ordine pubblico è stato chiesto dal Sindaco la presenza della Polizia Locale» e che «Gli eventi con cui si è concluso il Consiglio Comunale e le registrazioni contenute hanno […] giustificato la presenza dell’agente di Polizia Locale».

Tuttavia, dalle memorie difensive si rileva una certa confusione in ordine sia alle finalità del trattamento effettuato sia alla necessità di fornire l’informativa e al relativo contenuto completo degli elementi previsti dall’art. 13 del RGPD. Ciò è, altresì, avvalorato dalle dichiarazioni rese, laddove si rappresenta che «In merito alle finalità del trattamento sull’utilizzo dei sistemi di video sorveglianza l’errata identificazione della base giuridica e dei mezzi del trattamento sicuramente non definisce un quadro esatto del trattamento dei dati ma non ha pregiudicato un corretto uso e trattamento dei dati stessi». La disciplina in materia di protezione dei dati personali, prevede – contrariamente a quanto rappresentato – che il titolare, prima di effettuare il trattamento, anche in attuazione del principio di responsabilizzazione» (accountability) (artt. 5, par. 2, e 24, del RGPD), accerti l’esistenza delle condizioni di liceità del trattamento (art. 6 del RGPD) adempiendo agli obblighi conseguenti, e sia in grado di dimostrare di averlo fatto.

In tale contesto, dalle memorie difensive si ricava che le finalità, genericamente indicate nella «necessità di tutelare l’ordine pubblico», sono state ricondotte all’ambito di applicazione del d. lgs. n. 51/2018. Tale decreto tuttavia, «si applica al trattamento interamente o parzialmente automatizzato […] e al trattamento non automatizzato di dati personali […] contenuti in un archivio o ad esso destinati, svolti dalle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati, o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica» (art. 1, comma 2).

Da quanto dichiarato, e dalla documentazione in atti, non emergono tuttavia sufficienti evidenze a supporto di tale inquadramento, tenuto conto delle circostanze menzionate, che si limitano esclusivamente a indicare che la discussione aveva a oggetto un «argomento che aveva destato interesse nella cittadinanza» – e per di più che l’oggetto e l’ambito delle riprese «ha riguardato sostanzialmente i componenti dello stesso consiglio, e non i cittadini presenti in gran numero durante l’assemblea […]». Né a tal fine, il titolare del trattamento – sempre alla luce del principio di accountability – è stato in grado di comprovare quanto affermato in ordine alla riconducibilità dei trattamenti effettuati tramite l’utilizzo della body cam all’ambito di applicazione del d. lgs. n. 51/2018, tenuto conto che le relative attività, sono svolte anche dalla polizia locale alle dipendenze operative dell’autorità giudiziaria o dall’autorità di pubblica sicurezza (cfr., fra gli altri, gli artt. 3 e 5, della legge n. 65 del 7/3/1986; n. 14 del d.l. 20/02/2017), mentre, nel caso di specie, è stato semplicemente dichiarato che in occasione della seduta del Consiglio comunale contestata «è stato chiesto dal Sindaco la presenza della Polizia Locale». Quanto descritto appare sufficiente per ritenere che i trattamenti di dati personali effettuati ricadono nell’alveo di applicazione del RGPD e delle regole ivi contenute, compresi gli adempimenti previsti dall’art. 13.

Con riferimento all’obbligo di fornire l’informativa ai soggetti interessati, è stato rappresentato che «L’agente prima dell’avvio del consiglio comunale ha indicato di avere attivato la registrazione della body-cam […] e nessuno dei presenti ha opposto il diniego ad essere ripreso» e che «Vista la finalità del trattamento l’enunciazione dei punti chiesti dall’art 13 del regolamento sul trattamento dei dati era poco attuabile», per cui «L’agente visto il clima del consiglio comunale ha omesso di indicare dove i componenti del consiglio comunale potevano trovare l’informativa sul trattamento dei dati […]».

Al riguardo, si evidenzia, in primo luogo, che l’informativa già inviata all’Ufficio, allegata alla nota prot. n. XX del XX – indicata dal Comune quale informativa riguardante l’utilizzo della strumentazione in dotazione da parte della polizia locale, tra cui le body cam – risulta essere generica e incompleta. In particolare, il predetto documento contiene numerose incongruenze (ad esempio è riportato che soggetti interessati sarebbero «interessati polizia locale»; le finalità riguarderebbero, fra l’altro, «gestione fornitori» e «obblighi precontrattuali e contrattuali»; la conservazione dei dati sarebbe «limitata a poche ore o, al massimo, alle ventiquattro ore successive alla rilevazione; la base giuridica sarebbe anche il «legittimo interesse del titolare», che invece riguarda un presupposto di liceità non utilizzabile dai soggetti pubblici) e non è chiaro a quali trattamenti – tra quelli effettuati dalla polizia locale – la stessa faccia riferimento. Non risultano, peraltro, menzionati i trattamenti effettuati mediante il ricorso a specifici strumenti in dotazione alla Polizia locale, quali, appunto, le body cam.

Pertanto, tale informativa – laddove corrisponda, come dichiarato, con quella inviata a questo Ufficio ai fini dell’istruttoria – risulta in ogni caso insufficiente e non conforme a quanto previsto dall’art. 13 del RGPD.

Inoltre, non vi è evidenza in atti che tale informativa sia stata resa agli interessati, non essendo stato specificato attraverso quale modalità o canale tale informativa sarebbe stata fornita o resa disponibile. In ogni caso, non può essere accolta l’eccezione per la quale «visto il clima del consiglio comunale [l’agente] ha omesso di indicare dove i componenti del consiglio comunale potevano trovare l’informativa sul trattamento dei dati», in quanto non prevista dal RGPD.

Infine, la circostanza più volte evidenziata dal Comune che lo stesso agente di polizia municipale abbia informato i presenti alla seduta delle riprese e dell’attivazione della telecamera (e che «nessuno dei presenti ha opposto il diniego ad essere ripreso») non appare sufficiente ad adempiere a quanto previsto dall’art. 13 del RGPD, non riportando tale comunicazione le informazioni previste dalla predetta disposizione per assicurare un trattamento corretto e trasparente.

6. Esito dell’istruttoria relativa al reclamo presentato

Per tutto quanto sopra descritto, le circostanze evidenziate negli scritti difensivi esaminate nel loro complesso, sicuramente meritevoli di considerazione ai fini della valutazione della condotta, non risultano sufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo alcuna delle ipotesi previste dall’art. 11 del Regolamento del Garante n. 1/2019.

Ciò anche tenendo conto che, per la determinazione della norma applicabile, sotto il profilo temporale, deve essere richiamato il principio di legalità di cui all’art. 1, comma 2, della l. n. 689 del 24/11/1981 che, nel sancire come «Le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e nei tempi in esse considerati», afferma la ricorrenza del principio del tempus regit actum. Ciò determina l’obbligo di prendere in considerazione le disposizioni vigenti al momento della commessa violazione, che, con riferimento alla diffusione online dei dati personali del reclamante, considerata la natura permanente dell’illecito contestato, deve essere individuato all’atto di cessazione della condotta illecita, verificatasi il giorno XX in cui il software, secondo quanto dichiarato, è stato aggiornato.

In tale quadro, si confermano le valutazioni preliminari dell’Ufficio con la nota prot. n. XX del XX e si rileva che il Comune di Varano Borghi:

1. ha pubblicato sul sito web istituzionale (in un primo momento nella sezione “Albo Pretorio” e poi nella Sezione «Amministrazione Trasparente»), la determinazione n. XX dell’XX, diffondendo i dati personali del reclamante ivi contenuti, secondo quanto dichiarato, almeno fino all’XX (data di aggiornamento del software). Tale trattamento di dati personali non è conforme alla disciplina rilevante in materia di protezione dei dati personali vigente al momento della rilevata condotta, in quanto la diffusione dei dati personali del reclamante risulta:

i. non conforme al principio di «minimizzazione» dei dati, in violazione dell'art. 5, par. 1, lett. c), del RGPD;

ii. priva di idonei presupposti normativi per il periodo eccedente i quindici giorni previsti dall'art. 124, comma 1, del d. lgs. n. 267/2000 per la pubblicazione nell'albo pretorio, in violazione dell’art. 2-ter, commi 1 e 3, del Codice (nel testo vigente al momento della rilevata condotta); nonché dei principi di base del trattamento contenuti negli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), del RGPD;

2. non ha fornito ai soggetti interessati presenti alla seduta del consiglio comunale del XX un’idonea informativa sul trattamento dei dati personali effettuato, mediante le riprese audio-video della predetta seduta consiliare, da un’agente di polizia locale tramite l’utilizzo della body cam di ordinanza, in violazione degli artt. 5, par. 1, lett. a); 12 e 13 del RGPD.

Considerato, tuttavia, che la condotta ha esaurito i suoi effetti, in quanto il titolare del trattamento ha dichiarato di aver provveduto a rimuovere i dati personali oggetto di contestazione dell’Ufficio dal sito web istituzionale e ad aggiornare l’informativa in materia di video sorveglianza, fermo restando quanto si dirà sull’applicazione della sanzione amministrativa pecuniaria, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del RGPD.

7. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria (artt. 58, par. 2, lett. i; 83 del RGPD)

Il Comune Varano Borghi risulta aver violato gli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b); 12 e 13, del RGPD; nonché l’art. 2-ter, commi 1 e 3, del Codice (nel testo vigente al momento della rilevata condotta).

Al riguardo, l’art. 83, par. 3, del RGPD, prevede che «Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave».

Nel caso di specie, la violazione delle disposizioni citate – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del RGPD, che si applica pertanto al caso in esame.

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del RGPD, nonché dell’art. 166 del Codice, ha il potere correttivo di «infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso». In tale quadro, «il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice» (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del RGPD.

In tal senso, la rilevata condotta tenuta in violazione della disciplina in materia di protezione dei dati personali risulta di natura colposa e ha avuto a oggetto la diffusione online di dati personali del reclamante per circa tre mesi, non appartenenti a categorie particolari né a condanne penali o reati (artt. 9 e 10, del RGPD) nonché dell’utilizzo di sistemi di videosorveglianza (body cam) in assenza di un’idonea informativa sul trattamento dei dati personali. Il Comune di Varano Borghi è un ente di piccole dimensioni (circa 2.500 abitanti), dotato di una struttura amministrativa – secondo quanto dichiarato – di soli 9 dipendenti (di cui 2 part-time e 2 operanti sul territorio). L’amministrazione, inoltre, a seguito della richiesta dell’Ufficio è intervenuta tempestivamente, collaborando con l’Autorità nel corso dell’istruttoria del presente procedimento al fine di porre rimedio alla violazione, attenuandone i possibili effetti negativi. Nel riscontro al Garante sono state, inoltre, descritte diverse misure tecniche e organizzative messe in atto ai sensi degli artt. 25-32 del RGPD e non risultano, in ogni caso, eventuali precedenti violazioni del RGPD pertinenti commesse dall’ente. Si ritiene, altresì, di dover tener conto del clima poco sereno in cui si sono svolti gli avvenimenti contestati e oggetto del presente procedimento, nonché dell’alto numero di comunicazioni scambiate (con tutta la documentazione allegata), concernente più problematiche, fra il reclamante e l’amministrazione; a cui corrispondono numerose richieste al Comune avanzate nel medesimo arco temporale, sovente indirizzate contestualmente anche ad altri soggetti istituzionali con sovrapposizione di doglianze per molteplici profili di competenza (Anac, Corte dei conti, Procura della Repubblica, Prefettura, etc.). Tale circostanza ha reso talvolta complesso ricostruire le vicende contestate e i profili di competenza, nonché le stesse doglianze rivolte al Comune.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di dover determinare ai sensi dell’art. 83, parr. 2 e 3, del RGPD l’ammontare della sanzione pecuniaria, prevista dall’art. 83, par. 5, del RGPD, nella misura di euro 1.000,00 (mille) per la violazione degli artt. 5, par. 1, lett. a) e c); 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), 12 e 13 del RGPD, nonché dell’art. 2-ter, commi 1 e 3, del Codice (nel testo vigente al momento della rilevata condotta), quale sanzione amministrativa pecuniaria ritenuta effettiva, proporzionata e dissuasiva sensi dell’art. 83, par. 1, del medesimo RGPD.
In relazione alle specifiche circostanze del presente caso, relative alla diffusione di dati personali online in assenza di una idonea base normativa e alla necessità di rendere l’informativa sul trattamento dei dati personali (art. 2-ter, commi 1 e 3, del Codice nel testo vigente al momento della rilevata condotta; art. 13, del RGPD), si ritiene altresì che debba essere applicata la sanzione accessoria della pubblicazione del presente provvedimento sul sito Internet del Garante, prevista dall’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019.

Si ritiene, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

rilevata l’illiceità del trattamento effettuato dal Comune di Varano Borghi nei termini indicati in motivazione ai sensi degli artt. 58, par. 2, lett. i), e 83 del RGPD

ORDINA

al Comune di Varano Borghi, in persona del legale rappresentante pro-tempore, con sede legale in Via San Francesco, 1 - 21020 Varano Borghi (VA) – C.F. 00263100125 di pagare la somma di € 1.000,00 (mille) a titolo di sanzione amministrativa pecuniaria per le violazioni di cui in motivazione;

INGIUNGE

al medesimo Comune di pagare la somma di euro € 1.000,00 (mille), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981.

Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1/9/2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice).

DISPONE

- la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice e dall’art. 16, comma 1, del Regolamento del Garante n. 1/2019;

- l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate ai sensi dell’art. 58, par. 2, del RGPD con il presente provvedimento, come previsto dall’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi dell’art. 78 del RGPD, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 11 novembre 2021

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei