Diritti interna

Diritti - Come tutelare i tuoi dati

Doveri interna

Doveri - Come trattare correttamente i dati

Search Form Portlet

ricerca avanzata

g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Comune di Collegno - 15 ottobre 2020 [9486531]

[doc. web n. 9486531]

Ordinanza ingiunzione nei confronti di Comune di Collegno - 15 ottobre 2020

Registro dei provvedimenti
n. 183 del 15 ottobre 2020

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stazione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal vice segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo.

Con reclamo del 18 giugno 2019, presentato ai sensi dell’art. 77 del Regolamento, il sig. XX ha lamentato che, in data 7 marzo 2019, il Comune di Collegno gli avrebbe notificato un verbale di accertamento di violazione dell’art. 142 del d.lgs. 30 aprile 1992, n. 285 (Nuovo Codice della Strada), contenente un’informativa sul trattamento dei dati personali non conforme agli artt. 12 ss. del Regolamento, anche con riferimento al tempo di conservazione delle immagini riprese dai sistemi di videosorveglianza del Comune, che, ad avviso del reclamante, sarebbero stati utilizzati per accertare la violazione, in abbinamento al dispositivo di rilevamento automatico della velocità.

Il Comune non avrebbe, inoltre, apposto i cartelli di informativa semplificata sul trattamento dei dati personali in prossimità delle telecamere in questione, essendo presente solo la segnaletica sul controllo della velocità ma non anche quella relativa all’ingresso in un’area videosorvegliata.

Il reclamante ha, altresì, lamentato di aver esercitato, ai sensi dell’art. 15 del Regolamento, il diritto di accesso ai propri dati personali nei confronti del Comune con un messaggio di PEC inviato in data 12 marzo 2019, senza aver ottenuto alcun riscontro dall’Ente, nonostante l’invio di una nota di sollecito con messaggio di PEC del 10 maggio 2019.

2.  L’attività istruttoria.

Con nota del 13 febbraio 2020 (prot. n. 0010138/2020), inviata al reclamante e in copia all’Autorità, il Comune ha dato riscontro alla richiesta del reclamante di esercizio del diritto di accesso ai propri dati personali, affermando, in particolare, che:

- “la postazione di controllo ove è ubicato il documentatore di infrazione fisso è preventivamente segnalata e ben visibile mediante idonea segnaletica riportante la dicitura “controllo elettronico della velocità” ai sensi della normativa vigente; la postazione è, altresì, segnalata in modo puntuale mediante installazione di segnale stradale”;

- “risulta presente la segnaletica di “area video sorvegliata”, in quanto la postazione è dotata di una telecamera di contesto per la prevenzione e repressione di eventuali atti vandalici”.

Con nota del 10 marzo 2020, in riscontro a una richiesta di informazioni (prot. n. 6295 del 14 febbraio 2020), il Comune, ribadendo quanto già riferito al reclamante nella propria nota del 13 febbraio 2020, ha, in particolare, dichiarato, che:

- “l’immagine relativa alla violazione proviene dall’apparecchio, correttamente segnalato, per la rilevazione della velocità. Il sistema di videosorveglianza presente nell’area, anch’esso opportunamente segnalato, è finalizzato alla prevenzione e repressione di eventuali atti vandalici che possono essere commessi a danno dell’autovelox stesso”;

- “in data 21 febbraio 2020 con nota pervenuta al prot.13080 del 24/02/2020, [il reclamante], preso atto delle risposte fornite, ha richiesto una motivazione del ritardo con il quale il Titolare ha fornito tale riscontro, il quale ha fornito una comunicazione successiva con nota prot.17257 in data 09/03/2020”.

In tale nota del 9 marzo 2020, il Comune ha dichiarato, in particolare, che:

- “l[‘]istanza di diritto di acceso a dati personali è pervenuta al Comune […] nel contesto di un’attività di aggiornamento del sistema privacy e più precisamente delle misure organizzative atte a garantire la tutela dei dati personali ed a soddisfare le richieste dei diritti degli interessati ai sensi degli artt. 15 e ss. del GDPR”;

- “il Titolare del Trattamento aveva provvisoriamente inserito nei dati di contatto dell’informativa breve, di cui al verbale […], l’indirizzo di posta elettronica certificata del Comune […], alla quale pervengono quotidianamente numerose richieste […]”;

- “la scelta della suddetta PEC aveva carattere temporaneo, in quanto era in previsione l’apertura di un canale di comunicazione dedicato alla gestione delle richieste dei diritti degli interessati in materia privacy”;

- “il suddetto canale è stato attivato nel mese di ottobre 2019, con l’apertura del seguente indirizzo mail dedicato privacy@comune.collegno.to.it che consente di evitare errori o ritardi nell’indirizzamento delle richieste ai soggetti competenti nonché nell’evasione tempestiva delle stesse”;

- “a maggior garanzia della gestione delle richieste di esercizio dei diritti degli interessati, il Comune di Collegno, nelle more, ha adottato con delibera di Giunta Comunale n. 6 in data 15/01/2020 […] un’apposita procedura interna denominata “Procedura per la gestione delle istanze degli interessati””;

- “purtroppo, l’aggiornamento complessivo del sistema privacy ha subito un ritardo prolungato a causa delle difficoltà organizzative interne al Comune che si sono susseguite nel corso dei diversi mesi, anche in ragione del periodo di transizione relativo al pensionamento del Segretario Generale, identificato come Referente Privacy a livello organizzativo, ed alla nomina ed insediamento del nuovo [Segretario Generale]”.

Sulla base degli elementi acquisiti, anche attraverso la documentazione inviata e i fatti emersi nel corso dell’attività istruttoria, l’Ufficio ha notificato al Comune (nota prot. n. 19368 del 27 maggio 2020), in qualità di titolare del trattamento, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto la presunta violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento, invitando il Comune a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. n. 689 del 24 novembre 1981).

Il Comune ha fatto pervenire le proprie memorie difensive con nota del 25 giugno 2020 (prot. n. 0017730/2020), ribadendo quanto già affermato nelle proprie note del 9 e del 10 marzo 2020 e rappresentando, inoltre, che:

- il ritardo nel riscontro alla richiesta di esercizi dell’interessato risulta “riconducibile ad un errore involontario”;

- il Comune, “appena venuto a conoscenza del fatto, si è tempestivamente attivato per riscontrare quanto richiesto [dal reclamante] e implementare le misure di sicurezza”;

- “nessuna ulteriore segnalazione di inottemperanza all’obbligo di risposta entro il termine indicato dall’art. 12 GDPR è pervenuta al di fuori di quella oggetto di reclamo presentato [dal reclamante]”.

3. Esito dell’attività istruttoria.

L’art. 12 del Regolamento prevede che il titolare del trattamento debba fornire all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 del Regolamento senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa (par. 3). Se non ottempera alla richiesta dell’interessato, il titolare del trattamento deve informare l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (par. 4). Il titolare è, inoltre, tenuto ad adottare misure appropriate per fornire agli interessati tutte le comunicazioni di cui agli articoli da 15 a 22 del Regolamento (par. 1).

Nel caso oggetto di reclamo, il Comune ha dato riscontro alla richiesta di esercizio del diritto di accesso ai dati personali, presentata dal reclamante in data 12 marzo 2019, soltanto in data 13 febbraio 2020, e, dunque, ben oltre il termine di un mese previsto dall’art. 12 del Regolamento, senza, peraltro, aver informato il reclamante dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale entro il medesimo termine.

Inoltre, come dichiarato dal Comune, il mancato tempestivo riscontro alla richiesta dal reclamante è dipeso dal ritardo con cui è stato effettuato “l’aggiornamento complessivo del sistema privacy” del Comune, “a causa delle difficoltà organizzative interne al Comune che si sono susseguite nel corso dei diversi mesi”, essendo stata adottata una procedura interna per la gestione delle richieste di esercizio dei diritti degli interessati soltanto in data 15 gennaio 2020. Pertanto, al tempo in cui si sono verificati i fatti oggetto di reclamo, il Comune aveva omesso di adottare misure appropriate per fornire tempestivamente agli interessati le comunicazioni in relazione all’esercizio dei propri diritti previsti dagli articoli da 15 a 22 del Regolamento, in violazione dell’art. 12, par. 1, dello stesso.

Con riguardo a quanto lamentato nel reclamo, in relazione all’omessa o inidonea informativa sul trattamento dei dati personali, si rileva invece che, come dichiarato dal Comune, l’immagine relativa alla contestazione di violazione del Codice della Strada è stata generata dal dispositivo di rilevamento automatico della velocità e che il sistema di videosorveglianza presente nell’area, che è opportunamente segnalato, è, invece, finalizzato alla prevenzione e repressione di eventuali atti vandalici che possono essere commessi a danno del dispositivo stesso; non risulta che l’immagine del reclamante sia stata oggetto di ripresa da parte di tale sistema di videosorveglianza. Risulta dagli atti invece che il Comune ha apposto dei cartelli per segnalare l’utilizzo di dispositivi di rilevamento automatico della velocità nel tratto stradale in questione (cfr. paragrafo 5.3.2 del “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010, doc. web n. 1712680).

4. Conclusioni

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità può essere chiamato a rispondere ai sensi dell’art. 168 del Codice ˗ si ritiene che, limitatamente al profilo relativo all’omessa o inadeguata informativa sul trattamento dei dati personali, si debba disporre l’archiviazione, non essendo stati ravvisati, allo stato degli atti, gli estremi di una violazione della disciplina rilevante in materia di protezione dei dati personali.

Diversamente, con riguardo ai restanti profili del reclamo, gli elementi forniti dal titolare del trattamento nelle memorie difensive in relazione alle contestazioni amministrative, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si rappresenta, altresì, che la violazione della normativa in materia di dati personali da parte del Comune, oggetto dell’istruttoria, è avvenuta nella piena vigenza delle disposizioni del Regolamento, e che, dunque, al fine della determinazione del quadro normativo applicabile sotto il profilo temporale (art. 1, comma 2, della l. 24 novembre 1981, n. 689), queste costituiscono le disposizioni vigenti al momento della commessa violazione, che nel caso di specie, con riguardo al mancato riscontro alla richiesta di esercizio del diritto di accesso, è avvenuta in data 12 aprile 2019, allorquando è decorso il termine di 30 giorni entro il quale il Comune avrebbe dovuto fornire riscontro alla richiesta dell’interessato di esercizio del diritto di accesso, mentre, con riguardo alla mancata adozione di misure appropriate per fornire tempestivamente agli interessati le comunicazioni in relazione all’esercizio dei propri diritti previsti dagli articoli da 15 a 22 del Regolamento, è iniziata in coincidenza con la data di efficacia del Regolamento (25 maggio 2018) ed è cessata in data 15 gennaio 2020, allorquando il Comune ha adottato un’apposita procedura interna per la gestione delle istanze degli interessati. Pertanto, al momento della commessa violazione, il Regolamento era pienamente efficace.

In relazione alla contestata violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento, si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune di Collegno per non aver tempestivamente dato riscontro alla richiesta del reclamante di esercizio del diritto di accesso ai dati personali; non aver tempestivamente informato lo stesso dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale; nonché per non aver adottato misure appropriate per fornire tempestivamente agli interessati le comunicazioni in relazione all’esercizio dei propri diritti previsti dagli articoli da 15 a 22 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che è stato fornito, seppur tardivamente, un riscontro alla richiesta di esercizio dei diritti dell’interessato e sono state adottate misure per fornire riscontro agli interessati che esercitino i propri diritti nei confronti del Comune, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, la violazione della disposizione citata è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi, è stato considerato il notevole lasso di tempo intercorso tra la data in cui l’interessato ha esercitato i propri diritti (12 marzo 2019) e quella in cui il Comune gli ha fornito, seppur tardivamente, il proprio riscontro (13 febbraio 2020), nonché del fatto che l’intempestivo riscontro da parte del Comune è stato causato dalla mancata adozione di misure appropriate volte a soddisfare le richieste di esercizio dei diritti degli interessati.

Di contro, si è tenuto in considerazione che, secondo quanto dichiarato dal Comune, si tratta del primo caso, che abbia interessato il Comune, di intempestivo riscontro a una richiesta di esercizio dei diritti di un interessato. Non risultano, peraltro, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000,00 (duemila) per la violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento.

Tenuto conto del fatto che l’intempestivo riscontro da parte del Comune è stato causato dalla mancata adozione di misure appropriate volte a soddisfare le richieste di esercizio dei diritti degli interessati, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dal Comune di Collegno, descritta nei termini di cui in motivazione, consistente nella violazione dell’art. 12, parr. 1, 3 e 4, del Regolamento, nei termini di cui in motivazione

ORDINA

al Comune di Collegno, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Del Municipio 1 - 10093 Collegno (TO), C.F. 00524380011, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, del Regolamento, di pagare la somma di euro 2.000,00 (duemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

Al riguardo, si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata, entro 30 giorni dalla data della notifica del presente provvedimento, ai sensi dell’art. 166, comma 8, del Codice (cfr. anche art. 10, comma 3, del d. lgs n. 150 dell’1/9/2011)

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000,00 (duemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 15 ottobre 2020

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi