g-docweb-display Portlet

Provvedimento del 26 novembre 2020 [9522206]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9522206]

Provvedimento del 26 novembre 2020

Registro dei provvedimenti
n. 236 del 26 novembre 2020

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stazione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei segretario generale;

VISTO il Regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati, di seguito, "Regolamento");

VISTO il Decreto legislativo 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, recante il Codice in materia di protezione dei dati personali (di seguito “Codice”);

VISTA la Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (d’ora in avanti “Direttiva”);

VISTO il Decreto legislativo 18 maggio 2018, n. 51 recante l’attuazione della Direttiva entrato in vigore l’8 giugno 2018;

VISTO il Decreto del Presidente della Repubblica 15 gennaio 2018, n. 15 recante il “Regolamento a norma dell'articolo 57 del decreto legislativo 30 giugno 2003, n. 196, recante l'individuazione delle modalità di attuazione dei principi del Codice in materia di protezione dei dati personali relativamente al trattamento dei dati effettuato, per le finalità di polizia, da organi, uffici e comandi di polizia”;

VISTO l’art. 49 del d.lgs. n. 51/2018 secondo cui “l’articolo 57 del Codice è abrogato decorso un anno dalla data di entrata in vigore del presente decreto. I decreti adottati in attuazione degli articoli 53 e 57 del Codice continuano ad applicarsi fino all’adozione di diversa disciplina ai sensi degli articoli 5, comma 2, e 9, comma 5” (commi 2 e 3 dell’art. 49 cit.);

VISTO il Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. La vicenda.

Da notizie di stampa è risultato che nelle prime ore del 20 marzo 2019 è avvenuto, all’interno del Commissariato di XX, l’episodio di violenta reazione autolesionistica da parte di un uomo in evidente stato di alterazione psico-fisica, le cui immagini ed il cui video sono stati diffusi nei giorni seguenti all’accaduto su alcuni siti internet. Dal video suddetto si vede chiaramente il volto dell’uomo, mentre si procura lesioni al capo, e si sente scanditamente che, tra i lamenti disperati, dichiara di essere malato oncologico e di avere l’AIDS.

A seguito di tale divulgazione il Garante ha disposto, nei confronti dei titolari del trattamento (riferibili ai siti internet suddetti), provvedimenti d’urgenza di limitazione provvisoria del trattamento ex art. 58, par. 2, lett. f) del Regolamento, riferita all’ulteriore diffusione delle immagini relative al suddetto episodio con modalità che rendano identificabile l’interessato e che risultano altresì lesive della sua dignità. In particolare, le immagini così diffuse sono risultate in contrasto con gli artt. 137, comma 3, del Codice, nonché con gli artt. 8 e 10 delle “Regole deontologiche relative al trattamento dei dati personali nell'esercizio dell'attività giornalistica” (G.U. del 4 gennaio 2019, n. 3).Al riguardo in data odierna sono stati proposti dal competente Dipartimento i provvedimenti da adottare nei confronti dei titolari del trattamento dei siti web che hanno diffuso il video.

2. L’attività istruttoria.

Tenuto conto che le immagini ed il video in esame riguardavano un episodio accaduto in presenza di agenti di polizia ed all’interno di un Commissariato, il Garante (“Ufficio”) ha avviato, altresì, un’istruttoria nei confronti del Ministero dell’Interno (“Ministero”), al quale ha inviato una richiesta di informazioni, rivolta anche al Commissariato interessato nonché alla Questura di XX. Si sono chiesti chiarimenti circa l’avvenuta raccolta, registrazione e diffusione delle immagini e del video suddetti, alla luce della disciplina in materia di protezione dei dati personali, nonché sulle misure tecnico-organizzative adottate al fine di garantire il rispetto della disciplina suddetta, con particolare riferimento a quanto sancito dall’art. 14 del D.P.R. 15/2018 rubricato “Diffusione dei dati e delle immagini personali” (nota prot. n. 12895 del 15 aprile 2019).

Dal riscontro fornito dal Ministero, è risultato che l’interessato, trovandosi presso un ufficio del suddetto Commissariato (a seguito del suo arresto), verso le ore 03.15, mentre era sotto la custodia del personale di altro Commissariato, al culmine di una reazione emotiva, “iniziava a compiere atti di autolesionismo, dando violenti colpi di testa a una parete di cartongesso, che delimita quella stanza da un ambiente più grande, tanto da provocarne l'irreversibile deterioramento” (pag. 2 nota prot. n. 555-DOC/C/SPEC/SPORD/2180/19 del 3 maggio 2019).

In merito alla descrizione delle circostanze di fatto, il Ministero ha rappresentato che: - “per salvaguardare l'incolumità delle persone presenti ed evitare ulteriori danneggiamenti all'immobile, l'unità operativa "XX" decideva di ricorrere all'utilizzo dello spray al peperoncino, in dotazione al personale”; - “tali operazioni formavano oggetto di documentazione audiovisiva. Si evidenzia al riguardo che le riprese sono state effettuate di propria iniziativa da uno degli operatori presenti sul posto, mediante l'attivazione di un dispositivo di comunicazione privato, tipo cellulare o smartphone, presuntivamente per offrire documentazione tanto degli atti di autolesionismo quanto del contestuale danneggiamento dei beni dello Stato. Di tali operazioni si dava atto in una integrazione al verbale di arresto. Si precisa che la registrazione non è mai stata consegnata al Commissariato di “XX”, tanto in copia quanto nella sua forma originale”; - “successivamente copia del filmato, dopo essere stata acquisita da internet, è stata opportunamente masterizzata su un cd ed è stata poi messa a disposizione dell'A.G. competente con separata comunicazione” (cfr. nota del 3 maggio cit.).  Nel riscontro suddetto viene, altresì, rappresentato che le riprese in esame documentano “atti di polizia giudiziaria” ma che “le modalità con cui tali immagini sono state successivamente divulgate e diffuse su internet non sono attualmente note e formano, allo stato, oggetto di una autonoma e puntuale attività istruttoria, finalizzata a ricostruire i fatti e chiarire tali aspetti”, rappresentando altresì che “le operazioni di raccolta e registrazione, nonché diffusione delle immagini personali in esame sono state realizzate in difformità alle disposizioni in materia, su iniziativa di operatori non autorizzati dalla gerarchia” (cfr. nota del 3 maggio cit.).

In ordine alle misure tecniche-organizzative adottate al fine di garantire il rispetto dei principi che governano la disciplina in materia, il Ministero ha prodotto:  le linee guida del 2005 del Dipartimento della Pubblica sicurezza per la compilazione del Documento programmatico sulla sicurezza (d’ora in avanti “DPS”) e il DPS della Questura di XX del 28 gennaio 2006; la circolare 26 giugno/6 luglio 2018 del Capo della Polizia, Direttore Generale della Pubblica Sicurezza, illustrativa del nuovo quadro normativo nazionale in materia di protezione dei dati personali, con particolare riferimento al Regolamento e al D.lgs. n. 51/2018; la circolare 21-24 dicembre 2018 del Capo della Polizia avente ad oggetto l’aggiornamento professionale del personale della Polizia di Stato per l’anno 2019; la circolare del 5 aprile 2019 del Direttore dell’Ufficio per l’Amministrazione generale di codesto Ministero relativa al D.P.R. n. 15/2018, con specifico riferimento all’adempimento di cui all’art. 30, comma 3, del D.P.R. citato (cfr. nota del 3 maggio cit.).

In seguito a tale riscontro, l’Ufficio inviava analoga richiesta di informazioni al responsabile della protezione dei dati del Ministero, con nota prot. n. 16811 del 20 maggio 2019, che riscontrava richiamando integralmente gli elementi di valutazione già forniti dal Ministero medesimo (nota del 22 maggio 2019).

Con nota prot. n. 22805 del 2 luglio 2019, l’Ufficio, sulla base degli elementi acquisiti nell’ambito dell’istruttoria avviata, e delle successive valutazioni effettuate, ha notificato al Ministero, ai sensi degli artt.  42, comma 4, del d.lgs. n. 51/2018, 166, comma 5, del Codice e 12 del Reg. del Garante n. 1/2019, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli artt. 37, comma 3, e 42 del d.lgs. n. 51/2018, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; art. 18, comma 1, dalla legge n. 689 del 24/11/1981; art. 13, comma 3, Reg. del Garante n. 1/2019). In particolare, l’Ufficio ha rilevato che il Ministero ha posto in essere un trattamento dei dati personali dell’interessato, nelle modalità sopra descritte, in violazione degli artt. 4, 8 e 10 della Direttiva e degli artt. 3, 5 e 7 del d.lgs. n. 51/2018 e che “la violazione degli artt. 3 e 7 del D.lgs. n. 51/2018 rende applicabile la sanzione amministrativa prevista dall’art. 42 del D.lgs. n. 51/2018, alla luce degli elementi di cui all’art. 83, comma 2, del Regolamento (cfr. art. 42, comma 3, D.lgs. n. 51/2018). Inoltre, la violazione degli 5, 6 e 9 del Regolamento rende applicabile la sanzione amministrativa di cui all’art. 83, comma 5, del Regolamento.” (nota del 2 luglio 2019 cit.).

A seguito della nota contenente le contestazioni ai sensi dell’art. 166 del Codice, il Ministero ha fatto pervenire le proprie memorie difensive, con nota del 2 agosto 2019 n. 555-DOC/C/SPEC/SPORD/2180/19. In particolare, in aggiunta a quanto già riportato in precedenza e con riguardo alla vicenda in questione, il Ministero ha rappresentato che: “Gli approfondimenti finora eseguiti hanno comunque permesso di accertare che il video è stato realizzato su invito del capo equipaggio della pattuglia intervenuta - intento a gestire l'arrestato - da parte del secondo operatore. Quest'ultimo, ammettendo la sua superficialità, inviava il predetto filmato ad altro collega - in fase di individuazione - con l'intento di condividere le modalità operative adottate nel complesso intervento.” (nota del 2 agosto 2019 cit.). Sotto il profilo giuridico, il Ministero ha evidenziato che: “L'operato dei poliziotti - che fin qui descritto può ritenersi direttamente discendente dalle mansioni correlate allo svolgimento del servizio - se ne è discostato invece per gli ulteriori sviluppi della vicenda, di seguito evidenziati. In primis, preme sottolineare che l'attività di registrazione del video è stata svolta di iniziativa da parte dei predetti operatori, utilizzando un dispositivo privato, senza tempestiva informazione e autorizzazione di un superiore gerarchico. Della predetta attività di registrazione è stata fatta menzione in un'integrazione del verbale di arresto, ma gli autori non hanno mai consegnato il filmato al personale del Commissariato competente per la redazione degli atti, il quale, per integrare l'informativa all' Autorità Giudiziaria, ha dovuto "scaricarlo" da internet. Oltre a ciò, l'agente che ha effettuato il video - che ha ammesso la sua superficialità - lo ha inviato ad altro collega, così originando la sequenza di atti divulgativi - sulla quale sono ancora in corso approfondimenti volti ad individuare tutti i soggetti coinvolti - che ha condotto fino alla pubblicazione dello stesso in rete. Pertanto, il trattamento dei dati personali per cui codesta Autorità ha avviato il procedimento sanzionatorio in quanto non conforme alla disciplina in materia di protezione dei dati personali - e consistente nella divulgazione di video e immagini - è ascrivibile unicamente all'operato dei singoli soggetti che hanno materialmente contribuito alla diffusione di tali contenuti. Si tratta di comportamenti, non solo non ascrivibili direttamente all'Amministrazione, ma non evitabili, in quanto frutto dell'iniziativa sì di appartenenti alla Polizia di Stato, ma che nel far ciò hanno travalicato i compiti istituzionali - nel caso di specie di prevenzione e perseguimento dei reati - violando anche specifiche disposizioni regolamentari. Sul punto, infatti, la Questura di XX - come già evidenziato - ha attivato apposita procedura disciplinare ai sensi del d.P.R. 25 ottobre 1981, n. 737, riportante "Sanzioni disciplinari per il personale dell'Amministrazione di pubblica sicurezza e regolamentazione dei relativi procedimenti". In sintesi: - l'Amministrazione ha acquisito il video (realizzato da un agente con dispositivo privato) solo successivamente alla sua diffusione illecita su internet; - nessun trattamento dei dati è stato dunque operato dall'Amministrazione prima dell'illecita diffusione del video in questione; - l'Amministrazione medesima è entrata in possesso del video successivamente, scaricandolo dalla rete, ed ha - solo a quel punto - operato un trattamento dei dati personali dell'interessato, consistente nella messa a disposizione dell'Autorità Giudiziaria, del tutto lecito ai sensi del combinato disposto di cui agli artt. 1, comma 2, e 5, comma 1, del d.lgs. n. 51/2018.” (cfr. pag. 4 nota del 2 agosto 2019 cit.).

Il Ministero ha rappresentato, altresì, che la Questura di XX si è attivata per verificare se il video in questione fosse ancora disponibile in rete, interessando il Compartimento Polizia Postale e delle Comunicazioni del Lazio, di cui ha allegato nota del 30 luglio 2019 indirizzata al Commissariato interessato, ed ha informato il Garante dell’istituzione della “Struttura di missione per l’individuazione e la realizzazione delle misure tecnico-organizzative in materia di trattamento dei dati personali”, avvenuta con decreto del Capo della Polizia del 23 luglio 2019.

Con successiva nota del 9 agosto 2019 n. 555-DOC/C/SPEC/SPORD/4161-19, il Ministero ha comunicato che, su richiesta della Questura di XX, l’avvenuta rimozione del video in questione da parte di due siti internet ed, infine, con nota del 4 ottobre 2019 n. 555-DOC/C/SPEC/SPORD/5045-19, “che la Questura di XX ha comunicato che la Procura della Repubblica presso il Tribunale di Roma ha avviato il procedimento penale n. 34997 /19 N a carico dell'operatore che ha effettuato il video in argomento e successivamente, come accertato, lo ha condiviso con altri colleghi tramite "chat WhatsApp”.

Con comunicazione al Garante del 18 dicembre 2019, l’interessato ha sollecitato l’intervento dell’Autorità nei confronti del Commissariato in questione ritenuto responsabile della divulgazione di immagini riguardanti lo stesso, con cui l’Ufficio ha dialogato in merito alla permanenza su alcuni siti delle immagini in questione, che sono state successivamente rimosse.

3. Esito dell’attività istruttoria.

In base alla disciplina in materia di protezione dei dati personali, che regola il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, il titolare tratta i dati personali (art. 3, n. 1, della Direttiva e art. 1, comma 2, d.lgs. n. 51/2018) in modo lecito, corretto e trasparente (art. 4, par. 1, lett. a) della Direttiva) e nel rispetto dei presupposti di cui agli articoli 8 e 10 della Direttiva.

In attuazione della medesima Direttiva, il d.lgs. n. 51/2018 prevede che i dati personali suddetti sono: “a) trattati in modo lecito e corretto; b) raccolti per finalità determinate,  espresse  e  legittime  e trattati in modo compatibile con tali finalità; c) adeguati, pertinenti e non eccedenti rispetto  alle  finalità per le quali sono trattati; (…) e) conservati  con  modalità che  consentano  l'identificazione degli interessati per il  tempo  necessario  al  conseguimento  delle finalità per le quali sono trattati, sottoposti  a  esame  periodico per  verificarne  la   persistente   necessità   di   conservazione, cancellati o anonimizzati una volta decorso tale termine; f)  trattati  in  modo  da  garantire  un'adeguata  sicurezza e protezione da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno  accidentali,  mediante  l'adozione  di misure tecniche e organizzative adeguate.” (art. 3, comma 1, d.lgs. n. 51/2018).

Il trattamento è lecito “se è necessario per l'esecuzione di un compito di un'autorità competente per le   finalità   di   cui all'articolo 1, comma 2, e si basa sul diritto dell'Unione europea o su disposizioni di legge o, nei casi previsti dalla legge, di regolamento che individuano i dati personali e  le  finalità  del trattamento.” (art. 5, comma 1, d.lgs. n. 51/2018).

Il trattamento di categorie particolari di dati personali, tra cui i dati relativi alla salute (cfr. artt. 9 del Regolamento e 10 della Direttiva), è autorizzato “solo se strettamente  necessario  e  assistito  da garanzie adeguate per i diritti  e  le  libertà dell'interessato e specificamente previsto dal diritto dell'Unione europea o da legge o, nei casi previsti dalla  legge,  da  regolamento,  ovvero,  ferme  le garanzie  dei  diritti  e   delle   libertà,   se   necessario   per salvaguardare un interesse  vitale  dell'interessato  o  di  un'altra persona fisica o se ha ad oggetto dati resi  manifestamente  pubblici dall'interessato.” (art. 7 d.lgs. n. 51/2018).

Con particolare riferimento alla diffusione dei dati e delle immagini, l’art. 14 del D.P.R. n. 15/2018 sancisce che: “La diffusione di dati personali è consentita quando è necessaria per le finalità di polizia di cui all'articolo 3, fermo restando l'obbligo del segreto di cui all'articolo 329 del codice di procedura penale e fatti salvi i divieti previsti da altre disposizioni di legge o di regolamento; essa è comunque effettuata nel rispetto della dignità della persona. 2. La diffusione di immagini personali è consentita quando la persona interessata ha espresso il proprio consenso o è necessaria per la salvaguardia della vita o dell'incolumità fisica o è giustificata da necessità di giustizia o di polizia; essa è comunque effettuata con modalità tali da non recare pregiudizio alla dignità della persona. 3. Il Garante è informato delle direttive generali adottate in ambito nazionale sulla diffusione dei dati o delle immagini personali.”

Con riguardo, infine, agli obblighi in capo al titolare che è responsabile del rispetto dei principi di cui all’art. 3, co. 1, d.lgs. n. 51/2018 (art. 3, co. 4, cit.) e in grado di comprovarlo (cfr. art. 4 par. 4, della Direttiva), si rappresenta che, ai sensi dell’art. 15 del d.lgs. n. 51/2018, “1. Il titolare del trattamento, tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche, mette in atto misure tecniche e organizzative adeguate per garantire che il trattamento sia effettuato in conformità alle norme del presente decreto. 2. Le misure di cui al comma 1 sono riesaminate e aggiornate qualora necessario e, ove proporzionato rispetto all'attività di trattamento, includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.”

Anche in presenza di una specifica disposizione normativa che legittimi il trattamento dei dati personali, il titolare del trattamento è tenuto, pertanto, a rispettare i principi di “liceità e correttezza”, “limitazione delle finalità”, “minimizzazione”, “limitazione della conservazione”, nonché “integrità e riservatezza” dei dati e “responsabilizzazione” (artt. 4 della Direttiva e 3 del d.lgs, n. 51/2018).

3.1. Il trattamento dei dati dell’interessato.

Preso atto di quanto rappresentato dal Ministero, risulta accertato che:

• la registrazione in questione è stata effettuata al fine di fornire documentazione audiovisiva delle operazioni compiute al momento della reazione autolesionistica dell’arrestato dagli agenti di polizia, che decidevano di ricorrere all’utilizzo dello spray al peperoncino, in dotazione al personale, per salvaguardare l’incolumità delle persone presenti ed evitare ulteriori danneggiamenti all’immobile e che delle suddette operazioni “si dava atto in una integrazione al verbale di arresto” (cfr. pag. 2 della nota del 2 agosto 2019);

• le riprese documentano “atti di polizia giudiziaria, di cui costituiscono parte integrante, destinati a "cristallizzare" i fatti così come riportati, a conferma, quindi, che le ferite subite dal fermato erano conseguenza dei richiamati atti di autolesionismo e di contestuale danneggiamento e aggressione nei confronti del personale di polizia che ne aveva la custodia” (cfr. pag. 2 della nota del 2 agosto 2019);

• le riprese sono state effettuate da uno degli operatori presenti sul posto mediante l’attivazione di un dispositivo di comunicazione privato, tipo cellulare o smartphone, “su invito del capo equipaggio della pattuglia intervenuta, intento a gestire l’arrestato” (cfr. pag. 2 della nota del 2 agosto 2019);

•  in merito ai trattamenti successivi alla suddetta registrazione, il filmato in questione non è mai consegnato né in copia né in originale al Commissariato di XX, tuttavia, ne è stata acquisita una copia da internet, che è stata successivamente masterizzata su un cd e messa a disposizione dell'A.G. competente con separata comunicazione (cfr. pag. 2 della nota del 2 agosto 2019);

• quanto, invece, alla divulgazione e diffusione su internet del video e delle relative immagini, l’agente che ha proceduto a riprendere le operazioni suddette, “ammettendo la sua superficialità, inviava il predetto filmato (…) con l'intento di condividere le modalità operative adottate nel complesso intervento” (cfr. pag. 3 della nota del 2 agosto 2019) ad “altri colleghi tramite chat WhatsApp” (cfr. nota del 4 ottobre 2019).

Dalla documentazione in atti è emerso, pertanto, che le riprese in questione (“parte integrante di atti di polizia giudiziaria”) sono state effettuate da agenti di polizia, nell’esercizio delle loro funzioni, al fine di documentare quanto stava accadendo nel suddetto Commissariato. Tali dati, che rientrano in “categorie particolari” di dati, ai sensi degli artt. 9 del Regolamento, 10 della Direttiva e 7 del d.lgs. n. 51/2018 (in considerazione delle lesioni che l’interessato si è procurato durante le riprese dell’agente e delle dichiarazioni dell’interessato che si odono nel video relativamente al suo stato di salute generale), sono stati trattati, quindi, dall’autorità competente a fini di prevenzione, indagine, accertamento e perseguimento di reati, nei confronti di un interessato che si trovava in stato di arresto sotto la custodia di agenti di polizia (artt. 1, comma 2, d.lgs. n. 51/2018 e 1 D.P.R. n. 15/2018).

Al riguardo, si prende atto innanzitutto della straordinarietà dell’accaduto e delle particolari caratteristiche del luogo in cui lo stesso si è verificato (“locale dell’ufficio, privo di sistema di videosorveglianza”), che hanno giustificato l’urgente acquisizione e registrazione audiovisiva di quanto stava accadendo mediante dispositivo privato di un agente di polizia (“per salvaguardare l’incolumità delle persone presenti ed evitare ulteriori danneggiamenti all’immobile”).

Tuttavia, i successivi trattamenti riferiti ai dati in questione non sono risultati conformi alla citata disciplina in materia di protezione dei dati personali (artt. 4 della Direttiva e 3, co. 1, lett. a), b), c), e), f) e 7 del d.lgs, n. 51/2018).

Infatti, come si è visto, in un’integrazione al verbale di arresto dell’interessato si è dato conto degli atti di polizia giudiziaria svoltisi all’interno del citato Commissariato, di cui le riprese costituiscono “parte integrante” perché destinate a “cristallizzare” i fatti così come riportati “a conferma, quindi, che le ferite subite dal fermato erano conseguenza dei richiamati atti di autolesionismo e di contestuale danneggiamento e aggressione nei confronti del personale di polizia che ne aveva la custodia” (cfr. pag. 2 della nota del 2 agosto 2019).

Tuttavia, dall’istruttoria svolta, né il Commissariato in cui i gravi fatti in parola si sono svolti in piena evidenza, né il Commissariato i cui agenti sono intervenuti risultano aver adottato alcuna misura idonea a garantire la dovuta sicurezza e riservatezza dei dati in parola né tantomeno a prevenirne la fuoriuscita e la diffusione via internet.

Al riguardo è appena il caso di osservare che si tratta di una diffusione assolutamente illegittima, come riconosce pacificamente lo stesso Ministero, resa possibile dalla suddetta mancanza di ogni misura idonea a proteggere i dati in questione impedendone improprie circolazioni.

Risultano così violate le disposizioni relative alla conservazione dei dati, alla compatibilità del trattamento con le finalità per cui erano stati raccolti, alla non eccedenza dei dati, all'adeguata sicurezza e protezione da trattamenti non autorizzati ed alle adeguate garanzie per i diritti e le libertà dell’interessato richieste per le particolari categorie di dati (artt. 3 e 7 del d.lgs. 51/2018). Ulteriore conferma è fornita dalla stessa Amministrazione che ha “acquisito il video (…) solo successivamente alla sua diffusione illecita su internet; nessun trattamento dei dati è stato (…) operato dall'Amministrazione prima dell'illecita diffusione del video in questione; l'Amministrazione medesima è entrata in possesso del video successivamente, scaricandolo dalla rete, ed ha - solo a quel punto - operato un trattamento dei dati personali dell'interessato, consistente nella messa a disposizione dell'Autorità Giudiziaria, del tutto lecito ai sensi del combinato disposto di cui agli artt. 1, comma 2, e 5, comma 1, del d.lgs. n. 51/2018.” (cfr. pag. 4 nota del 2 agosto 2019 cit.).

Con riguardo alla divulgazione del video, dal primo riscontro del Ministero è emerso che l’operatore dello stesso lo ha successivamente trasmesso “con l'intento di condividere le modalità operative adottate nel complesso intervento [svoltosi presso il Commissariato]”.

In ordine alle modalità della diffusione su internet, il Ministero ha dapprima dichiarato, nelle memorie difensive del 2 agosto 2019, che le stesse (all’epoca) non erano note e formavano ancora oggetto di un'autonoma e puntuale attività istruttoria, “con particolare riguardo all'accertamento di responsabilità, anche di natura disciplinare, da ascrivere al comportamento dell'operante che ha effettuato tali riprese”.

Successivamente, con nota del 4 ottobre 2019, il Ministero ha riferito che l’operatore che ha effettuato il video lo ha successivamente condiviso con altri colleghi tramite chat WhatsApp. Ciò considerato, pur in assenza di alcuna autorizzazione alla condivisione del video e fatte salve eventuali conseguenze di natura disciplinare e/o penale nei confronti della persona fisica cui è imputabile il singolo comportamento, la stessa condivisione sulla chat parrebbe riconducibile a finalità di servizio o comunque non è dimostrata con certezza la finalità esclusivamente personale della stessa.

Peraltro, anche a prescindere dalla finalità della condivisione suddetta e dell’individuazione delle responsabilità disciplinari e/o penali per la divulgazione in internet delle immagini suddette, l’imputabilità del trattamento in questione ai fini dell’adozione di misure correttive, sanzionatorie e/o risarcitorie (cfr. artt. 82 e 83 del Regolamento e 41 e 42 d.lgs. n. 51/2018), è da ricondurre comunque al Ministero. Infatti, il soggetto pubblico risponde del fatto illecito del proprio dipendente “ogni qual volta questo non si sarebbe verificato senza l'esercizio delle funzioni o delle attribuzioni o dei poteri pubblicistici: e ciò a prescindere dal fine soggettivo dell'agente (non potendo dipendere il regime di oggettiva responsabilità dalle connotazioni dell'atteggiamento psicologico dell'autore del fatto), ma in relazione all'oggettiva destinazione della condotta a fini diversi da quelli istituzionali o - a maggior ragione - contrari a quelli per i quali le funzioni o le attribuzioni o i poteri erano stati conferiti” (Cass. civ. Sez. Unite, n. 13246 del 16 maggio 2019). Nella fattispecie, i fatti si sono svolti all’interno di uffici di polizia da parte di agenti nei confronti di persona temporaneamente ristretta e quindi è assolutamente presente il nesso di occasionalità necessaria in base al quale la condotta è riferibile all’Amministrazione.

Peraltro, tenuto conto che il titolare del trattamento – destinatario dei provvedimenti correttivi sanzionatori del Garante – è, in base alla disciplina in materia di protezione dati, il soggetto che “determina le finalità e i mezzi del trattamento di dati personali” (art. 4 par. 1 n. 7) Regolamento), deve rilevarsi che nella vicenda in esame la fuoriuscita del video in questione è avvenuta da parte di un agente di polizia, che nell’esercizio delle sue funzioni aveva acquisito e registrato le immagini e, quindi, la titolarità del trattamento è da ricondurre, anche sotto il profilo della rigorosa applicazione della disciplina in materia, al Ministero.

Quanto alle misure tecniche e organizzative già adottate dal titolare al momento del verificarsi dei trattamenti in esame, per garantire che i trattamenti per finalità di polizia avvenissero nel rispetto della disciplina in materia di protezione dei dati personali, il Ministero ha prodotto:

•  i documenti relativi al Documento programmatico sulla sicurezza (in particolare, con riguardo alla Questura di XX, il DPS datato 2006);

• la circolare del 26 giugno/6 luglio 2018 del Capo della Polizia, illustrativa del nuovo quadro normativo nazionale in materia di protezione dei dati personali, con particolare riferimento al Regolamento e al d.lgs. n. 51/2018 (nonché, con riguardo alla Questura di XX, la circolare del 25 settembre 2018 con cui è stato diramato il d.lgs. 51/2018 ai propri uffici dipendenti);

• la circolare 21-24 dicembre 2018 del Capo della Polizia avente ad oggetto l’aggiornamento professionale del personale della Polizia di Stato per l’anno 2019 (nonché, con riguardo alla Questura di XX, la circolare del 12 febbraio 2019, con cui si è provveduto a predisporre moduli formativi per il proprio personale). In particolare, per l’anno 2019 era prevista n. 1 giornata di approfondimento indirizzata tutto il personale sulla tematica di interesse generale, denominata “anticorruzione e nuova disciplina in materia di protezione dei dati personali”.

Tali misure tecnico-organizzative si sono rilevate non pienamente adeguate per la formazione di una piena ed effettiva conoscenza e consapevolezza da parte degli operatori di polizia (nella specie, di tutti coloro che sono stati coinvolti fin dall’inizio nei trattamenti in esame) dei rischi derivanti agli interessati dai trattamenti per finalità di polizia.

Peraltro, nel corso dell’istruttoria in esame l’Ufficio è stato informato dal titolare dell’istituzione, nel luglio 2019, della “Struttura di missione per l’individuazione e la realizzazione delle misure tecnico-organizzative in materia di trattamento dei dati personali” avente il compito di “a) individuare - anche mediante apposita attività di ricognizione - le soluzioni e le misure tecnico-organizzative finalizzate a garantire che i trattamenti di dati personali effettuati nei diversi settori di attività istituzionale dalle articolazioni centrali e territoriali siano svolti nel pieno rispetto dei principi e delle disposizioni previste dalla normativa vigente in materia di trattamento dei dati personali; b) elaborare mirate proposte per l'adozione dei provvedimenti del Capo della Polizia - Direttore Generale della Pubblica Sicurezza, necessari a dare piena attuazione in ambito dipartimentale e nelle strutture territoriali alle disposizioni in materia di trattamento dei dati personali per le diverse finalità istituzionali perseguite, con particolare riferimento alle finalità di polizia; c) informare e fornire consulenza all'Organo di vertice del titolare del trattamento individuato nel Dipartimento della Pubblica Sicurezza, nonché a coloro che effettuano il trattamento, in merito agli obblighi derivanti dal Regolamento (UE) 2016/679 del 27 aprile 2016, dal d.lgs. 18 maggio 2018, n. 51 e da altre disposizioni dell'Unione Europea o degli Stati membri ovvero dello Stato, relative alla protezione dei dati, nonché su ogni altra questione in materia, concernente anche il "diritto di accesso dell'interessato" ai dati personali che lo riguardano; d) fornire un parere in merito alle valutazioni d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell'articolo 35 del Regolamento (UE) 2016/679 del 27 aprile 2016 e dell'articolo 23 del d.lgs. 18 maggio 2018, n. 51; e) cooperare con il Garante per la Protezione dei Dati Personali; f) fungere da punto di contatto per il medesimo Garante per questioni connesse al trattamento, tra cui le consultazioni preventive di cui all'articolo 36 del Regolamento (UE) 2016/679 del 27 aprile 2016 e all'articolo 24 del d.lgs.18 maggio 2018, n. 51 ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione; g) intraprendere tutte le iniziative necessarie ai fini della realizzazione di quanto previsto alle lettere precedenti.” (art. 3, co. 1, decreto del Capo della Polizia del 23 luglio 2019).

Ciò considerato, la divulgazione in questione risulta avvenuta in violazione della disciplina in materia di protezione dei dati personali di cui alla Direttiva ed al d.lgs. n. 51/2018, ed, in particolare, in violazione dell’art. 14 del D.P.R. n. 15/2018 secondo cui “La diffusione di dati personali è consentita quando è necessaria per le finalità di polizia di cui all'articolo 3, fermo restando l'obbligo del segreto di cui all'articolo 329 del codice di procedura penale e fatti salvi i divieti previsti da altre disposizioni di legge o di regolamento; essa è comunque effettuata nel rispetto della dignità della persona. 2. La diffusione di immagini personali è consentita quando la persona interessata ha espresso il proprio consenso o è necessaria per la salvaguardia della vita o dell'incolumità fisica o è giustificata da necessità di giustizia o di polizia; essa è comunque effettuata con modalità tali da non recare pregiudizio alla dignità della persona. 3. Il Garante è informato delle direttive generali adottate in ambito nazionale sulla diffusione dei dati o delle immagini personali.”.

Tenuto conto, infine, che i trattamenti in esame hanno riguardato categorie particolari di dati, non risulta che gli stessi siano stati assistiti da garanzie adeguate per i diritti e le libertà dell'interessato in conformità all’art. 7 del d.lgs. n. 51/2018.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ e considerato che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante” ˗ gli elementi forniti dal titolare del trattamento nelle memorie difensive non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

In altri termini i dati, di cui il Ministero disponeva in ragione e per lo svolgimento dei propri compiti istituzionali, che erano in suo pieno ed esclusivo controllo ed in relazione ai quali aveva un obbligo di custodia ben dettagliato dalle norme sulla protezione dei dati personali, sono stati comunicati e diffusi in violazione delle norme stesse ed in modo gravemente lesivo della dignità della persona interessata.

Per tali ragioni si rileva l’illiceità del trattamento di dati personali, che ha portato alla divulgazione delle immagini e del video in questione, effettuato dal Ministero dell’Interno in violazione dell’art. 3, co. 1, lett. a), b), e), f) e dell’art. 7 del d.lgs. n. 51/2018.

L’art. 42, comma 1, del d.lgs. n. 51/2018 stabilisce che, salvo che il fatto costituisca reato e ad esclusione dei trattamenti svolti in ambito giudiziario, la violazione delle disposizioni di cui all'articolo 3, comma 1, lettere a), b), d), e) ed f), all'articolo 7, è punita con la sanzione amministrativa del pagamento di una somma da 50.000 euro a 150.000 euro.

Il medesimo articolo stabilisce al terzo comma che nella determinazione della sanzione amministrativa da applicare si tiene conto dei criteri di cui all'articolo 83, paragrafo 2, lettere a), b), c), d), e), f), g), h), i), k), del Regolamento UE.

Sulla base di tali criteri, occorre considerare innanzitutto che il titolare del trattamento si è dimostrato in ogni circostanza cooperante con l’Ufficio e si è attivato nel corso dell’istruttoria per la rimozione del video in questione ancora presente in internet (cfr. note del 2 agosto 2019 e del 9 agosto 2019). Inoltre, deve tenersi favorevolmente conto dell’istituzione, avvenuta con decreto del capo della polizia del 23 luglio 2019, della Struttura di missione per l'individuazione e la realizzazione delle misure tecnico-organizzative in materia di trattamento dei dati personali.

Pur in considerazione della collaborazione del Ministero al fine di accertare i fatti e circoscrivere il pregiudizio per la persona interessata, si ritiene di commisurare la sanzione al minimo edittale (pari a 50.000,00 euro) aumentato del 20%, in relazione alla particolare natura dei dati in parola ed alla gravità della loro messa a disposizione di una platea indeterminata di soggetti per l’interessato, che ancora nel dicembre 2019 ne segnalava la persistenza in rete.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara l’illiceità dei trattamenti dei dati dell’interessato per violazione dell’art. 3, co. 1, lett. a), b), e), f) e dell’art. 7 del d.lgs. n. 51/2018, nei termini di cui in motivazione e, conseguentemente,

INGIUNGE

ai sensi dell’art. 37, commi 2, lett. b), e 3 lett. c) e d) del d.lgs. n. 51/2018:

• di trasmettere al Garante le direttive generali adottate ai sensi dell’art. 14, comma 3, D.P.R. n. 15/2018 entro 120 giorni dalla data di ricezione del presente provvedimento;

•  di valutare l’opportunità:

- di promuovere adeguate ed ulteriori iniziative formative nei confronti del personale, anche periferico, della Polizia di Stato, per assicurare il rispetto dei diritti degli interessati;

- di individuare ulteriori misure tecnico-organizzative finalizzate a garantire che i trattamenti di dati personali effettuati nei diversi settori di attività istituzionale dalle articolazioni centrali e territoriali siano svolti nel pieno rispetto dei principi e delle disposizioni previste dalla normativa vigente in materia di trattamento dei dati personali (art. 3 del decreto del capo della polizia del 23.7.2019)

e di riferire al Garante entro 180 giorni dalla data di ricezione del presente provvedimento l’esito di tali valutazioni.

ORDINA

al Ministero dell’Interno, titolare del trattamento, di pagare la somma di euro 60.000,00 (sessantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell'art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi del citato art. 166, comma 8, del Codice, di pagare la somma di euro 60.000,00 (sessantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981.

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione per intero del presente provvedimento sul sito web del Garante.

Ai sensi dell’art. 39, comma 3 del d.lgs. n. 51/2018 e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione, in via alternativa, al tribunale del luogo in cui il titolare del trattamento risiede o ha sede, ovvero al tribunale del luogo di residenza dell'interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso.

Roma, 26 novembre 2020

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei