g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Comune di Policoro - 9 giugno 2022 [9794895]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9794895]

Ordinanza ingiunzione nei confronti di Comune di Policoro - 9 giugno 2022*

*Il provvedimento è stato impugnato

Registro dei provvedimenti
n. 214 del 9 giugno 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196, “Codice in materia di protezione dei dati personali”, come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l’adeguamento dell'ordinamento nazionale al Regolamento (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, in www.gpdp.it, doc. web n. 1098801;

RELATORE l’avv. Guido Scorza;

1. Premessa.

Con reclamo del XX, presentato ai sensi dell’art. 77 del Regolamento, è stato lamentato che il Comune di Policoro (di seguito, il “Comune”) avrebbe utilizzato un sistema di videosorveglianza in violazione della disciplina in materia di protezione dei dati personali.

In particolare, il reclamante ha rappresentato di aver ricevuto tre verbali di accertamento, con i quali venivano irrogate sanzioni amministrative per aver “abbandonato i rifiuti solidi urbani” in data XX, XX e XX. L’accertamento delle violazioni, mediante visione delle immagini di videosorveglianza, sarebbe, tuttavia, avvenuto rispettivamente in data XX (ovvero 82 giorni dopo la data della registrazione delle immagini), XX (ovvero 79 giorni dopo la data della registrazione delle immagini) e XX (ovvero 64 giorni dopo la data della registrazione delle immagini).

Il reclamante ha, altresì, lamentato l’inidonea installazione dei cartelli contenenti l’informativa semplificata sulla videosorveglianza, nonché la non conformità dell’informativa contenuta nei verbali notificatogli dal Comune, in quanto “carente del contenuto prescritto dagli artt. 13 e 14 del Regolamento [e contraddistinta da genericità con riguardo] alla specifica finalità di accertamento compiuto”.

Infine, il reclamante ha rappresentato di aver provveduto “ad incardinare innanzi all'Ufficio del Giudice di Pace di Pisticci tre distinti giudizi […], con i quali, opponendosi alle sanzioni irrogate [dal Comune], contestava l’illegittima acquisizione ed utilizzazione dei dati personali e richiedeva la condanna dell’Amministrazione al risarcimento dei danni”. Nell’ambito di tali giudizi, il Comune si sarebbe costituito con il patrocinio di un avvocato che risulta essere anche il Responsabile della protezione dei dati (“RPD”) del Comune. Per tale ragione, è stata lamentata una situazione di “incompatibilità fra il [RPD] e l’incarico di difesa del Comune, tenuto conto che il [RPD] è intervenuto in un procedimento in cui si evidenziavano le illegittimità nel trattamento dei dati”.

2. L’attività istruttoria.

In risposta a una richiesta d’informazioni del Garante del XX (prot. n. XX), il Comune, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

“i fatti contestati costituiscono […] illeciti amministrativi per espressa violazione del Regolamento comunale di Igiene Urbana; [di conseguenza], la disciplina prevista è quella della […] Legge n. 689/1981”;

“in ordine alla conservazione dei dati sul presupposto di un periodo di conservazione superiore ai 7 giorni, si ritiene che nell’ipotesi di riprese effettuate nel corso di indagini di polizia giudiziaria, la disciplina cambia. Il trattamento dei dati nelle attività di p.g., infatti, a livello europeo non ricade nell’ambito del [Regolamento], bensì della direttiva 2016/680 […] [e del] D.lgs. 51/2018 […] [; pertanto,] nel corso di indagini di p.g. che si avvalgono dell’utilizzo di fototrappole, le immagini vanno conservate per il tempo prescritto dall’art. 10 del D.P.R. n. 15 del 15.01.2018, che distingue diversi periodi per differenti fattispecie di reato […]”;

“per il deposito dei rifiuti, al punto 5.2 del provvedimento [del Garante sulla videosorveglianza del 2010] il Garante ammette l’uso dei sistemi di videosorveglianza solo in caso di inefficacia o impossibilità di sistemi alternativi e sia per quanto riguarda le disposizioni sanzionate amministrativamente che per quelle di natura penale”;

“in ordine poi all’informativa privacy a mezzo cartello informatico, a differenza di quanto sostenuto [nel reclamo], risulta legittima l’acquisizione dei dati avendo prescritto una legittima collocazione dell’informativa, secondo i dettami della deliberazione di Giunta Comunale n.XX del XX”;

“il caso prospettato si caratterizza per l’informativa minima a mezzo cartello informativo e per l’informativa allegata al processo verbale che consente di avere le informazioni necessarie […]”;

“[…] non sussiste […] alcuna forma di conflitto di interessi [, in quanto l’] oggetto del giudizio ha riguardato esclusivamente l’opposizione a sanzione amministrativa disciplinata dalle Legge nr. 689/1981 e […] nessuna considerazione potevano avere in giudizio problematiche afferenti [al]la protezione di dati personali […] giacché il sistema sanzionatorio vigente è sottoposto alla disciplina di cui alla Legge nr. 689/1981, con l’effetto, pertanto, che il giudizio non poteva in assoluto “toccare problematiche di protezione dei dati”;

“si è proceduto a formalizzare il mandato ad litem [all’avvocato, il quale] ha proceduto a difendere l’Ente sulla scorta della sola questione preliminare posta a base dell’errata proposizione del ricorso innanzi al Giudice di Pace di Pisticci per non aver l’allora ricorrente regolato la questione nei modi e nei termini di cui alla disciplina della più volte citata Legge nr. 689/1981”;

“gli atti posti a base della difesa hanno riguardato esclusivamente ed unicamente l’eccezione preliminare della improcedibilità ed inammissibilità del ricorso per i motivi sopra evidenziati, anche perché, tra l’altro, il Giudice di Pace è incompetente per materia ad istruire e decidere su questioni che attengono problematiche attinenti [al]la materia della privacy”;

“i magistrati aditi […] si sono limitati esclusivamente a prendere posizione ed a decidere sulla sola accertata inammissibilità del proposto ricorso perché il trasgressore, a seguito della notificazione del verbale de quo, stante la materia della violazione amministrativa, avrebbe dovuto seguire la disciplina vertente il sistema sanzionatorio previsto dalla Legge nr. 689/1981”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, invitando il predetto titolare a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24/11/1981). Con la nota sopra menzionata, l’Ufficio ha rilevato che il Comune ha posto in essere trattamenti di dati personali mediante dispositivi video in maniera non conforme ai principi di “liceità, correttezza e trasparenza”, “limitazione della conservazione” e “responsabilizzazione”, fornendo un’informativa sul trattamento dei dati personali di primo livello non idonea e omettendo di fornire un’informativa sul trattamento dei dati personali di secondo livello, nonché mettendo il proprio RPD in una posizione di conflitto di interessi, in violazione degli artt. 5, par. 1, lett. a) ed e), e par. 2 (in combinato disposto con l’art. 24), 12, 13, e 38, par. 6, del Regolamento.

Con nota del XX (prot. n. XX), il Comune ha inviato al Garante i propri scritti difensivi in relazione alle violazioni notificate, dichiarando, in particolare, che:

“la Relazione […] del XX del Comando di Polizia Locale, […] evidenzia […] che la Polizia Locale, oltre a svolgere funzioni di polizia amministrativa, svolge anche funzioni di Polizia Giudiziaria”;

“con disposizione del Comando di Polizia Locale […] venivano individuati n. 2 agenti di polizia locali svolgenti funzioni di polizia giudiziaria ai sensi dell’art. 57 c.p.p. Non solo, ma con verbale di nomina del XX al prot.n. XX, gli Ufficiali di p.g. del Comando di Polizia locale provvedevano a nominare quale ausiliario di p.g. il Sig. […] per la fornitura e posa in opera, assistenza e manutenzione di n. 4 telecamere fisse/mobili per la videosorveglianza finalizzata al controllo delle discariche abusive sul territorio comunale, con espresso incarico di acquisire le immagini e lo sviluppo del materiale utile per le ulteriori indagini di p.g. a cura della Polizia Locale procedenti”;

“è di tutta evidenza, pertanto, la piena legittimità del trattamento del dato in ordine al periodo di conservazione oltre i sette giorni dal rilevamento del dato, atteso che nel corso di indagini di p.g., la disciplina non ricade nell’ambito del GDPR, bensì nella direttiva 2016/680, attuata poi con D. Lgs. 51/2018, che riguarda il trattamento dei dati effettuato dalle autorità pubbliche a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali”;

“nel corso di indagini di p.g. che si avvalgono dell’utilizzo di fototrappole, - l’informativa può essere omessa (Punto 3.1.1 del Provvedimento del Garante dell’8 aprile 2010)”;

“l’incaricato (ossia, colui che esegue materialmente le operazioni di trattamento dei dati) deve rivestire necessariamente la qualifica di cui all’art. 57 c.p.p..”;

“le immagini vanno conservate per il tempo prescritto dall’art. 10 del D.P.R. n. 15 del 15.01.2018, che distingue diversi periodi per differenti fattispecie di reato (peraltro, anche nel caso di infrazioni amministrative accertate, le immagini vanno conservate oltre il termine dei 7 giorni sopra riferito, in quanto entrano in altro procedimento). Tra l’altro, v’è da evidenziare che la disciplina applicabile è quella delle sanzioni amministrative ex Legge n.689/1981, che a mente dell’art. 14 regola il termine dei novanta giorni per proporre il ricorso che decorre dalla data del rilevamento/accertamento del dato, così come estrapolato e conservato sino alla definizione del procedimento per consentire il diritto di difesa nel contraddittorio fra le parti”;

“in considerazione dei tempi di conservazione dettati dall’art. 10 del D.P.R. n. 15 del 15.01.2018 […], nonché dei 90 giorni per proporre il ricorso previsti dall’art. 14 della Legge n. 689/1981 […] è possibile affermare che i tempi di conservazione di entrambe le casistiche risultano superiori agli 82 giorni contestati [dal Garante]”;

“con Deliberazione di Giunta Comunale n. XX del XX, l’Ente provvedeva all’obbligo di fornire apposita informativa [, fermo restando che] nel corso di indagini di p.g. che si avvalgono dell’utilizzo di fototrappole, l’informativa può essere omessa […]”;

il reclamante “, come già sostenuto nelle note del XX, ha adito l’Ufficio del Giudice di Pace per impugnare il verbale avverso la sanzione amministrativa, denominandolo “Ricorso avverso sanzione amministrativa” senza alcuna menzione alla materia della privacy”;

“la menzione “per violazione delle norme sulla privacy” (Sentenza n.XX e n.XX) costituisce la ricostruzione delle richieste [della parte ricorrente] riportate nella parte dedicata al fatto, giacché poi, e ciò che più rileva, nella parte dedicata al diritto, che è propria del magistrato, non vi alcuna menzione alla materia della privacy, atteso che il giudizio non poteva in assoluto “toccare problematiche di protezione dei dati”;

“il solo fatto che nei giudizi in questione [il reclamante] aveva sollevato eccezioni in merito al rispetto della normativa in materia di protezione dei dati personali non determina affatto una situazione di conflitto di interessi [del RPD]”;

“l’Ente ha provveduto ad esaminare l’intero contesto e gli elementi a disposizione ed alla luce della impostazione errata dell’allora ricorrente ha provveduto ad incaricare l’avv. […] ai fini della rappresentanza processuale affinché si manifestassero motivi afferenti la improcedibilità […]”;

“[…] la inammissibilità del ricorso, si legge nelle tre Sentenze, riguarda la non corretta applicazione […] della normativa afferente [al]le sanzioni amministrative di cui alla Legge n.689/1981, senza nulla indicare, mostrare e motivare in ordine alla materia della protezione dei dati personali […] Era fin troppo evidente la inammissibilità dei ricorsi presentati già a prima lettura […]”;

“l’Avv. […] ha ottenuto una Sentenza favorevole di inammissibilità ma ciò non vuol dire che lo stesso, quale RPD, non avrebbe esitato a portare le questioni attinenti [al]le eventuali violazioni in materia di privacy all’attenzione del titolare del trattamento qualora si fossero manifestate”.
In data XX si è tenuta l’audizione richiesta ai sensi dell’art. 166, comma 6, del Codice, nel corso della quale il Comune ha dichiarato, in particolare, quanto segue:

“l’Amministrazione ha agito al servizio del territorio e della difesa dell’ambiente, per contrastare il fenomeno dell’abbandono illecito dei rifiuti, utilizzando le c.d. fototrappole come deterrente. L’Amministrazione ha quindi agito in assoluta buona fede per il perseguimento dell’interesse pubblico, nonché per tutelare la reputazione dell’Ente stesso, la cui immagine è lesa dal fenomeno dell’abbandono illecito dei rifiuti”;

“la scelta di conferire mandato al RPD a rappresentare il Comune in giudizio è stata dettata anche dall’esigenza di ottimizzare le risorse dell’Amministrazione, ritenendo in buona fede […] che questa scelta non potesse dare origine a un conflitto di interesse. Ciò in quanto, diversamente, il Comune avrebbe dovuto incaricare un soggetto terzo, con ulteriore aggravio di spesa”;

“la difesa dell’Ente è stata impostata a monte dalla stessa Amministrazione (ovvero dal Comando di Polizia Locale e dai funzionari e dirigenti preposti). L’avvocato incaricato, in quanto esterno, si è limitato a rappresentare in giudizio tale posizione […]”;

“in ogni caso, le Linee Guida del Comitato Europeo sulla figura del RPD ipotizzano un conflitto di interessi quando, nell’ambito della difesa in giudizio, vengono “toccati” profili in materia di protezione dei dati personali, circostanza non sussistente nel caso di specie. Inoltre, non si rinvengono pronunce dell’autorità giudiziaria che abbiano trattato questo specifico tipo di conflitto di interesse”;

“per quanto concerne l’assolvimento degli obblighi informativi, si rileva che le Linee Guida del Comitato Europeo sono state pubblicate poco prima dei fatti oggetto di reclamo. In ogni caso, si ribadisce che la polizia locale ha agito esercitando le proprie funzioni di polizia giudiziaria (pur non avendo ricevuto uno specifico incarico da parte dell’autorità giudiziaria) e, pertanto, l’informativa sul trattamento dei dati personali poteva anche essere del tutto omessa”.

3. Esito dell’attività istruttoria.

3.1 La correttezza e la trasparenza del trattamento: l’informativa.

Il trattamento di dati personali mediante sistemi di videosorveglianza da parte di soggetti pubblici è generalmente ammesso se esso è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito lo stesso (art. 6, parr. 1, lett. c) ed e), e 3, del Regolamento, nonché 2-ter del Codice; cfr. par. 41 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il XX). In tale quadro, si osserva che la gestione dei rifiuti rientra tra le attività istituzionali affidate agli enti locali.

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati di cui all’art. 5 del Regolamento, fra i quali quello di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a), del Regolamento), in base al quale il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (v. art. 12 del Regolamento).

Allorquando siano impiegati sistemi di videosorveglianza, il titolare del trattamento, oltre a rendere l’informativa di primo livello, mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1; v. anche la FAQ n. 4 del Garante in materia di videosorveglianza, doc. web n. 9496574).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale (senza alcuna registrazione di dati o trasmissione a soggetti terzi) (ibidem, cit., par. 115). La segnaletica di avvertimento di primo livello deve, inoltre, contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Nel corso dell’istruttoria, il Comune ha dichiarato che in prossimità delle aree nelle quali sono installate le c.d. fototrappole viene affisso il cartello informativo previsto deliberazione di Giunta Comunale n. XX del XX. Tale cartello informativo riprende il modello indicato dal Garante nell’ambito del previgente quadro normativo in materia di protezione dei dati personali (v. all. 1 al “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010, cit.).

Al riguardo, si osserva che risulta, tuttavia, errato – in quanto non più attuale - il richiamo, effettuato nel cartello utilizzato dal Comune (così come nell’informativa riportata in calce al processo verbale n. XX notificato al reclamante), all’art. 13 del Codice, che è stato abrogato dal d.lgs. 10 agosto 2018, n. 101.

Inoltre, tale cartello, che è, peraltro, sprovvisto di riferimenti ai diritti degli interessati, non indica le modalità con le quali gli interessati (ovvero non solo i soggetti ai quali viene contestata una violazione amministrativa, ma tutte le persone fisiche che entrano nel raggio di azione delle fototrappole) possono ricevere un’informativa completa sul trattamento di secondo livello (v. parr. 117-119 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video), cit.).

Né emerge dagli atti che il Comune abbia provveduto a redigere tale informativa di secondo livello e portarla a conoscenza degli interessati, ad esempio mediante pubblicazione della stessa sul sito web istituzionale del Comune.

Quanto alla difesa prospettata dal Comune, in base alla quale l’informativa sul trattamento dei dati personali non sia in ogni caso dovuta, atteso che i trattamenti in questione sono stati effettuati nell’ambito di attività di polizia giudiziaria (con conseguente applicazione del d.lgs. 18 maggio 2018, n. 51), si osserva che il Comune ha contestato al reclamante talune violazioni amministrative per “illecito conferimento dei rifiuti”. Ne deriva che il Comune tratta dati personali, mediante dispositivi video, “per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e) del Regolamento), ovvero per accertare condotte che sono sanzionate anzitutto in via amministrativa (cfr. artt. 192, “divieto di abbandono”, e 255, “abbandono di rifiuti”, del d.lgs. 3 aprile 2006, n. 152; art. 13 della l. 24 novembre 1981, n. 689).

Tali trattamenti sono, dunque, del tutto estranei all’attività di pubblica sicurezza e polizia giudiziaria, che la polizia locale può svolgere, in ogni caso, solo in forma limitata e a determinate condizioni (cfr. artt. 3 e 5 della l. 7 marzo 1986, n. 65). Pertanto, essi ricadono pienamente nel perimetro di applicazione del Regolamento e del Codice, anche per quanto concerne l’obbligo per il titolare del trattamento di fornire agli interessati un’informativa sul trattamento dei dati personali.

D’altra parte, come dichiarato dal Comune in sede di audizione, lo stesso non aveva ricevuto alcun incarico da parte dell’autorità giudiziaria, ostando di per sé tale circostanza alla riconduzione dei trattamenti di dati personali in questione all’ambito delle attività di polizia giudiziaria.

Alla luce delle considerazioni che precedono, il Comune ha trattato dati personali mediante dispositivi video, fornendo agli interessati un’informativa sul trattamento dei dati personali di primo livello non idonea e omettendo di fornire un’informativa sul trattamento dei dati personali di secondo livello, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

3.2 I principi di “limitazione della conservazione” e “responsabilizzazione”.

Ai sensi dell’art. 5, par. 1, lett. e), del Regolamento, i dati personali devono essere “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (“limitazione della conservazione”)”.

In base al principio di responsabilizzazione (artt. 5, par. 2, e 24 del Regolamento), spetta al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche; ciò salvo che specifiche norme di legge non prevedano espressamente specifici tempi di conservazione dei dati.

Anche con riguardo ai trattamenti di dati personali effettuati mediante sistemi di videosorveglianza, le immagini registrate non possono essere conservate più a lungo di quanto necessario per le finalità per le quali sono acquisite. In particolare, “i dati personali dovrebbero essere – nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici) – cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione” (FAQ n. 5 del Garante in materia di videosorveglianza, cit., che riprende le indicazioni fornite nelle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., par. 121).

Nel corso dell’attività istruttoria, è emerso che il Comune non ha fissato i tempi massimi di conservazione delle immagini riprese mediante le c.d. fototrappole ai fini del contrasto al fenomeno dell’illecito abbandono dei rifiuti e, conseguentemente, con riguardo al caso oggetto di reclamo, ha proceduto all’accertamento delle violazioni amministrative in tempi superiori a due mesi rispetto alla data di registrazione delle immagini.

Anche in relazione a tale profilo, il Comune ha sostenuto che i trattamenti di dati personali da esso effettuati sarebbero da ricondursi ad attività di polizia giudiziaria, con conseguente applicazione del d.lgs. 18 maggio 2018, n. 51. Tali tesi non può, tuttavia, trovare accoglimento, valendo, a tal riguardo, le considerazioni sopra esposte in merito alla piena applicazione delle disposizioni del Regolamento e del Codice ai trattamenti di dati personali effettuati dal Comune ai fini dell’accertamento di violazioni amministrative in materia ambientale.

Di conseguenza, nell’ottica del principio di responsabilizzazione e in ossequio al principio di limitazione della conservazione, il Comune avrebbe dovuto definire i termini massimi di conservazione delle immagini di videosorveglianza per ciascuna finalità di trattamento perseguita, motivando adeguatamente le scelte a tal riguardo compiute.

Pertanto, il Comune ha trattato dati personali mediante dispositivi video in maniera non conforme ai principi di “limitazione della conservazione” e “responsabilizzazione”, in violazione degli artt. 5, par. 1, lett. e), e par. 2 (in combinato disposto con l’art. 24) del Regolamento.

3.3 Il conflitto di interessi del Responsabile della protezione dei dati.

Con riguardo alla figura del RPD, la normativa in materia di protezione dei dati prevede che la designazione dello stesso sia sempre dovuta da parte dei soggetti pubblici (art. 37, par. 1, lett. a), del Regolamento).

Per quanto concerne la posizione del RPD, l’art. 38, par. 6, del Regolamento prevede che lo stesso “[possa] svolgere altri compiti e funzioni”, fermo restando che “il titolare del trattamento [deve assicurarsi] che tali compiti e funzioni non diano adito a un conflitto di interessi”.

In merito a tale profilo, le “Linee guida sui responsabili della protezione dei dati”, adottate dal Comitato europeo per la protezione dei dati il 13 dicembre 2016, come emendate e adottate in data 5 aprile 2017, evidenziano che “può insorgere un conflitto di interessi se, per esempio, a un RPD esterno si chiede di rappresentare il titolare o il responsabile in un giudizio che tocchi problematiche di protezione dei dati” (par. 3.5).

Nel caso di specie, il reclamante ha affermato di aver provveduto a “incardinare innanzi all’Ufficio del Giudice di Pace tre distinti giudizi (R.G. XX; XX e XX), con i quali opponendosi alle sanzioni irrogate, contestava l’illegittima acquisizione e utilizzazione dei dati personali e richiedeva la condanna dell’Amministrazione al risarcimento dei danni […]”.

Dalla sentenza n. XX del XX dell’Ufficio del Giudice di Pace di Pisticci, agli atti, emerge che “con ricorso depositato in data XX [il reclamante] proponeva opposizione avverso il processo verbale n.XX redatto in data XX dalla Polizia Locale del Comune di Policoro e notificato il XX […]”, chiedendo “[all’autorità giudiziaria] l'annullamento del processo verbale impugnato con vittoria di spese; la condanna del resistente alla rifusione dei danni subiti nella misura di € […], o di quella somma minore o maggiore ritenuta di giustizia, per violazione delle norne sulla privacy”.

Similmente, dalla sentenza n. XX, agli atti, risulta che “il ricorrente contesta il verbale [in quanto lo stesso] è carente di dati essenziali, [e in quanto sussiste] violazione delle norme sulla privacy, illegittima adozione di video sorveglianza”.

Nei giudizi in questione, originati da ricorsi in cui venivano sollevate eccezioni anche in merito al rispetto della normativa in materia di protezione dei dati personali, il Comune è stato, pertanto, rappresentato e difeso da un avvocato che rivestiva il ruolo di RPD dell’Ente.

Ciò, come chiarito dal Comitato europeo per la protezione dei dati personali nelle “Linee guida sui responsabili della protezione dei dati”, sopra citate, ha dato luogo a una situazione di conflitto di interessi.

La circostanza che, come dichiarato dal Comune, l’autorità giudiziaria abbia dichiarato i ricorsi inammissibili, per difetto di giurisdizione, non è, a tal riguardo, dirimente, atteso che il Comune è stato, in ogni caso, rappresentato dal proprio RPD in giudizi nell’ambito dei quali il reclamante aveva sollevato eccezioni in merito al rispetto della normativa in materia di protezione dei dati personali. Deve, a tal riguardo, considerarsi che, nel momento in cui il Comune ha affidato la propria difesa al RPD, esso non poteva prevedere l’esito del giudizio, essendo, pertanto, astrattamente possibile che il giudice dichiarasse la propria competenza e si pronunciasse nel merito, anche incidentalmente, su questioni relative alla protezione dei dati personali.

Inoltre, atteso che il RPD, in quanto legale dell’Ente, condivideva con quest’ultimo l’interesse a ottenere il rigetto dei ricorsi, egli era da considerarsi, fin dalla data del conferimento dell’incarico di difendere l’Ente, in posizione di conflitto di interessi. Ove, infatti, nell’espletamento dei propri compiti, e in particolare del compito di “sorveglia[nza] del […] Regolamento, di altre disposizioni o dell’Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento […] in materia di protezione dei dati personali” (art. 39, par. 1, lett. b) del Regolamento), con specifico riferimento ai trattamenti di dati personali effettuati mediante i dispositivi video in questione, il RPD avesse rilevato violazioni della normativa in materia di protezione dei dati, egli non avrebbe potuto portare le stesse all’attenzione del titolare del trattamento senza, al contempo, pregiudicare la posizione processuale dell’Ente e il suo stesso interesse, in quanto legale, a ottenere una pronuncia favorevole da parte dal giudice adito del reclamante. Di converso, le eventuali valutazioni effettuate dal medesimo soggetto, in quanto legale, al fine di sostenere in giudizio la liceità del trattamento, avrebbero potuto compromettere l’autonomia di giudizio e la posizione di indipendenza che lo stesso, in veste di RPD, è tenuto ad assicurare.

Proprio alla luce di tali considerazioni, il Garante, nel “Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico”, allegato al provv. 29 aprile 2021, n. 186, doc. web n. 9589104, ha espressamente richiamato l’attenzione dei soggetti pubblici “sul fatto che è difficile prevedere a priori che una vertenza giudiziaria non possa coinvolgere anche profili di protezione dei dati personali”, invitando gli stessi “a designare un RPD che, contemporaneamente, non svolga per le medesime il ruolo di difensore in giudizio” (par. 10.3).

Occorre, altresì, evidenziare che il reclamante, dalla sua prospettiva, in conseguenza del mandato ricevuto dal RPD, non ha potuto più rivolgersi allo stesso (cfr. art. 13, par. 1, lett. b) del Regolamento), confidando nella sua imparzialità nell’espletamento dei propri compiti, essendo stata svuotata, di fatto, la previsione di cui all’art. 38, par. 4, del Regolamento, secondo cui gli interessati possono contattare il RPD per tutte le questioni relative al trattamento dei loro dati personali e per l’esercizio dei loro diritti quali, ad esempio, quelli di accesso, cancellazione o limitazione (rispettivamente, artt. 15, 17 e 18 del Regolamento). Anche in relazione a tale profilo, il Garante ha evidenziato che “agli occhi dell’interessato che voglia rivolgersi al RPD, la circostanza che questo sia contemporaneamente anche il difensore in giudizio dell’ente, mina la sua indipendenza. Pertanto, a prescindere dalle circostanze che in concreto si potranno realizzare – tali, ad esempio, da escludere che il giudizio involva questioni di protezione dei dati personali – [sono state invitate] tutte le pubbliche amministrazioni a designare un RPD che, contemporaneamente, non svolga per le medesime il ruolo di difensore in giudizio” (“Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati (RPD) in ambito pubblico”, cit., par. 10.3).

In ragione di quanto sopra, il Comune, affidando al RPD da esso designato la propria difesa nei giudizi in questione, ha posto lo stesso in una posizione di conflitto di interesse, in violazione dell’art. 38, par. 6, del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento negli scritti difensivi ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver posto in essere trattamenti di dati personali mediante dispositivi video in maniera non conforme ai principi di “liceità, correttezza e trasparenza”, “limitazione della conservazione” e “responsabilizzazione”, fornendo un’informativa sul trattamento dei dati personali di primo livello non idonea e omettendo di fornire un’informativa sul trattamento dei dati personali di secondo livello, nonché mettendo il proprio RPD in una posizione di conflitto di interessi, in violazione degli artt. 5, par. 1, lett. a) ed e), e par. 2 (in combinato disposto con l’art. 24), 12, 13 e 38, par. 6, del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo.

5. Misure correttive (art. 58, par. 2, lett. d), del Regolamento).

La rilevata condotta illecita tenuta dal Comune non ha esaurito completamente i suoi effetti, in quanto, allo stato, lo stesso non ha dimostrato di aver provveduto a fornire agli interessati un’idonea informativa sul trattamento dei dati personali di primo livello e un’informativa sul trattamento dei dati personali di secondo livello, nonché di aver fissato i tempi massimi di conservazione delle immagini riprese mediante dispositivi video.

Si ritiene, pertanto, necessario, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di ingiungere al Comune, entro trenta giorni dalla notifica del presente provvedimento, di:

individuare i tempi massimi di conservazione delle immagini sulla base delle finalità perseguite con il sistema di videosorveglianza predetto (art. 5, par. 1, lett. e), e par. 2, in combinato disposto con l’art. 24, del Regolamento);

fornire agli interessati un’idonea informativa sul trattamento dei dati personali di primo livello e un’informativa sul trattamento dei dati personali di secondo livello (artt. 5, par. 1, lett. a), 12 e 13 del Regolamento).

Ai sensi dell’art. 157 del Codice, il Comune dovrà provvedere a comunicare a questa Autorità quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto nel presente provvedimento, e di fornire comunque riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie – considerando anche il richiamo contenuto nell’art. 166, comma 2, del Codice – la violazione delle disposizioni citate è soggetta all’applicazione della stessa sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stato considerato che sin dal 2004 il Garante ha fornito indicazioni ai titolari del trattamento con riguardo alla necessità di informare debitamente gli interessati in merito al trattamento dei dati personali mediante dispositivi video e alla necessità di definire i tempi massimi di conservazione delle immagini registrate (v. il Provvedimento generale in materia videosorveglianza del 29 aprile 2004, doc. web n. 1003482, parr. 3.1 e 3.4). Si è, altresì, considerato che i trattamenti di dati personali in questione hanno interessato non soltanto il reclamante, ma tutti gli altri cittadini che hanno transitato nelle aree sottoposte a videosorveglianza. Quanto ai profili di violazione che hanno riguardato il RPD, si è tenuto conto che, come dichiarato dal Comune, la difesa in giudizio del Comune è stata conferita al RPD al fine di non incorrere in un “aggravio di spesa”, che sarebbe derivato dal conferimento dell’incarico a un terzo (cfr. art. 83, par. 2, lett. k), del Regolamento).

Di contro, si evidenzia che non risultano precedenti violazioni commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, e considerato che il Comune rientra nella dimensione demografica inferiore ai 20.000 abitanti, si ritiene di determinare l’ammontare della sanzione pecuniaria, nella misura di euro 26.000 (ventiseimila) per la violazione degli artt. 5, par. 1, lett. a) ed e), e par. 2 (in combinato disposto con l’art. 24), 12, 13 e 38, par. 6, del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che il Comune ha del tutto omesso di fornire agli interessati un’informativa estesa, di secondo livello, sul trattamento dei dati personali mediante dispositivi video, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito web del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

rileva, ai sensi dell’art. 57, par. 1, lett. f), l’illiceità del trattamento effettuato dal Comune di Policoro, per la violazione degli artt. 5, par. 1, lett. a) ed e), e par. 2 (in combinato disposto con l’art. 24), 12, 13 e 38, par. 6, del Regolamento, nei termini di cui in motivazione

ORDINA

ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento, nonché dell’art. 166, comma 2, del Codice, al Comune di Policoro, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Aldo Moro, 1 - 75025 Policoro (MT), C.F. 00111210779, di pagare la somma di euro 26.000 (ventiseimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al Comune di Policoro:

1. in caso di mancata definizione della controversia, ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 26.000 (ventiseimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

2. ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di conformare i trattamenti alle disposizioni del Regolamento, adottando le misure correttive indicate al paragrafo 5 del presente provvedimento, entro e non oltre 30 giorni dalla data di ricezione dello stesso;

3.  ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di comunicare a questa Autorità, fornendo un riscontro adeguatamente documentato, entro trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese per assicurare la conformità del trattamento al Regolamento;

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento del Garante n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 9 giugno 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL SEGRETARIO GENERALE
Mattei