VEDI Newsletter del 15 dicembre 2023

[doc. web n. 9963453]

Provvedimento del 16 novembre 2023

Registro dei provvedimenti
n. 577 del 16 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l'avv. Guido Scorza;

PREMESSO

1. Introduzione.

Nell’ambito dell’istruttoria relativa a un reclamo presentato dal Sig. XX ai sensi dell’art. 77 del Regolamento, nei confronti del Comune di Castel Goffredo, sono emerse possibili violazioni della disciplina in materia di protezione dei dati personali anche da parte del Comune di Lonato del Garda (di seguito, il “Comune”).

In particolare, è stato rappresentato che il reclamante, che all’epoca dei fatti era dipendente del Comune, nel ruolo di Vice Commissario di Polizia Locale, “in data XX […] decidev[a] di recar[s]i presso gli uffici del Comando di Polizia Locale del comune di Castel Goffredo (MN), per conferire con il Comandante [della Polizia locale], [e,] non trovandolo in sede, conferiv[a] con la collega […] presente al frontoffice, [discutendo con la stessa in merito alle] motivazioni [dell’] appuntamento […]”.

Il reclamante ha rappresentato che, nel corso di tale colloquio, “si era parlato di questioni lavorative tra colleghi”, nonché delle condizioni di lavoro presso il corpo di Polizia locale del Comune.

Nel reclamo viene lamentato che “in data XX, (22 giorni dopo i fatti), la Comandante di Polizia Locale [del Comune], richiedeva le registrazioni audio e video della […] presenza [del reclamante] presso il Comando di Polizia Locale di Castel Goffredo al Comandante [dello stesso], e precisamente i tracciati della telecamera posta all’interno del Comando di P.L. prospiciente il front-office […], facendo riferimento ad una non meglio precisata indagine di polizia giudiziaria. Il Comandante [della Polizia locale del Comune di Castel Goffredo] forniva quanto richiesto il XX […]”.

In relazione a tali fatti, che avrebbero portato alle “dimissioni volontarie [del reclamante]”, è stata “depositata denuncia presso la Procura della Repubblica di Brescia […]”.

Avuta notizia del sopravvenuto decesso del reclamante, si è proseguito d’ufficio l’istruttoria attesa la delicatezza dei fatti emersi in occasione della trattazione del reclamo (cfr. artt. 6, par. 1, e 21, par. 1, del Regolamento del Garante n. 1/2019).

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX), il Comune, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“il comando di polizia locale del comune di Lonato del Garda fa parte del Comando intercomunale di polizia locale dei comuni Lonato del Garda-Bedizzole-Calcinato e che l’allora comandante del suddetto servizio intercomunale era il Commissario capo […], dipendente del Comune di Calcinato”;

“in merito alla nota del comando intercomunale […] del XX […], si precisa che, dalla visione della documentazione in atti, risulta che la richiesta al Comandante di polizia Locale del Comune di Castel Goffredo è stata sottoscritta dall’allora comandante Commissario capo […], senza menzionare l’eventuale sussistenza di delega da parte dell’Autorità Giudiziaria”;

“[…] si può ritenere che la base giuridica [del trattamento] è da ricondursi a finalità di interesse pubblico e pubblici poteri legati alla normativa che regolamenta il trattamento di dati giudiziari da parte degli organi di polizia (D.P.R., 15/01/2018) e dalla legge del 7 marzo 1986, n. 65, recante «Legge-quadro sull’ordinamento della polizia municipale», che attribuisce il compito istituzionale di «svolgere funzioni di polizia locale». Tra i compiti assegnati alla PL rientrano le "funzioni di polizia giudiziaria" limitate «... nell’ambito territoriale dell’ente di appartenenza e nei limiti delle proprie attribuzioni ...»”;

nei confronti del reclamante è stato adottato un “provvedimento relativo al procedimento disciplinare n. XX”, di cui il Comune ha fornito copia;

da una verifica informatica effettuata non risulta sia presente copia delle registrazioni audio/video che riguardano il reclamante a cui fanno riferimento le relazioni di servizio del XX”;

“[il] comune non è a conoscenza di eventuali decisioni adottate dall’autorità giudiziaria in riferimento alla denuncia sporta dal reclamante […] presso la Procura della Repubblica di Brescia del XX”.

In riscontro a una richiesta d’informazioni di questa Autorità (nota prot. n. XX del XX) rivolta al Comune di Castel Goffredo, quest’ultimo, con nota prot. n. XX dell’XX, ha dichiarato, in particolare, che:

“la motivazione alla richiesta di acquisizione delle immagini, da parte della Comandante della Polizia Locale […], era relativa al protocollo di P.G. nr. XX “.... per indagini di Polizia giudiziaria…” […]. Tale richiesta è stata preceduta da contatti informali che hanno indotto l’ufficio al salvataggio di copia delle immagini oggetto del contenzioso”.

In riscontro a un’ulteriore richiesta d’informazioni di questa Autorità (nota prot. n. XX del XX), il Comune di Castel Goffredo, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“nel caso in esame il Comandante del Comando Intercomunale […] richiedeva, verbalmente e con messaggio, la conservazione delle immagini in data XX. Il Comandante si riservava, nel contempo, di formalizzare la richiesta scritta al protocollo dell'ente. Senonché tale richiesta scritta perveniva soltanto in data XX, protocollo in entrata numero XX. Verosimilmente tale tempistica è attribuibile alla consistente mole di lavoro che caratterizza, in via generale, gli uffici di Polizia Locale degli enti locali”;

“il Comune di Lonato del Garda è venuto a conoscenza della “presenza del vice commissario […]” presso i locali della Polizia Locale di codesto comune “de relato”, non essendo mai stata comunicata tale informazione al Comune di Lonato medesimo. Verosimilmente, la notizia è stata acquisita dal Comune di Lonato per effetto di un colloquio intercorso tra un attuale dipendente del Comando di Castel Goffredo e un ex dipendente di Castel Goffredo, attualmente in forza al Comando Intercomunale […]”;

“codesto Comune […], ricevuta la richiesta di cui al “protocollo interno di PG al nr.XX” non era […] a conoscenza della natura e dell’oggetto delle indagini di polizia giudiziaria menzionate nella predetta nota”;

“l’Autorità Giudiziaria, a seguito di denuncia del reclamante in data XX, a tutt’oggi non risulta si sia ancora pronunciata in merito”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a) e b), e 6 del Regolamento, nonché 2-ter del Codice, per aver acquisito dati personali del reclamante, contenuti nella registrazione audio-video effettuata dalla telecamera installata presso il Comando della Polizia Locale del Comune di Castel Goffredo, e successivamente trattato gli stessi dati nell’ambito di un procedimento disciplinare avviato nei confronti del reclamante, in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “limitazione della finalità”, nonché in assenza di base giuridica.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Comune, che non ha chiesto di essere audito, ha presentato una memoria difensiva, dichiarando, in particolare, che:

“l’ex Comandante della Polizia Locale dei Comuni di Bedizzole, Calcinato (di cui era dipendente) e Lonato del Garda ha dichiarato di aver operato - ai fini dell’acquisizione del file audiovisivo ad oggetto - in forza di “un’indagine di Polizia Giudiziaria”, funzione che non rientra fra quelle di competenza del Comune, bensì tra quelle del Procuratore della Repubblica. Il Comune di Lonato non era nella condizione di poter dubitare di quanto affermato dal predetto Pubblico Ufficiale”;

“l’Ufficio Procedimenti Disciplinari del Comune di Lonato del Garda è stato notiziato delle asserite dichiarazioni del reclamante esclusivamente da parte dell’ex Comandante, tramite […] relazione in forma scritta”;

“dopo ulteriori indagini interne, ad oggi ancora non è stata rinvenuta alcuna autorizzazione dell’Autorità Giudiziaria finalizzata all’acquisizione del file audiovisivo dal Comune di Castel Goffredo da parte della ex Comandante [del Comando Intercomunale] […]”;

“in base ad una ricostruzione più approfondita dei fatti contestati, è emerso che la ex Comandante ha presentato la richiesta di acquisizione del file sulla base di dichiarate “indagini di polizia giudiziaria” in collegamento alle motivazioni di cui al Prot. Intercomunale di P.G. n.XX che si ritiene di non dover ostendere in quanto del tutto estraneo e non pertinente alla vertenza qui ad oggetto […]”;

“detto fascicolo, che si conferma non essere stato comunicato al Comune di Castel Goffredo, si riferisce, infatti, ad un presunto reato ambientale compiuto da terzi nel Comune di Calcinato (c.d. “fatti di Calcinato”), rispetto al quale l’unico collegamento con la vertenza ad oggetto riguarda la trascrizione delle frasi rilasciate dal [reclamante], ritenute dall’ex Comandante diffamatorie nei confronti dell’amministrazione di Calcinato, come riportate nelle relazioni dell’ex Comandante di cui ai Prot. riservati n.ri XX e XX”;

“la finalità dell’acquisizione del file, pertanto, è stata costituita dal presunto presupposto di conduzione di “indagini di Polizia Giudiziaria” così come dichiarato dalla ex Comandante [del Comando Intercomunale], sulla base, pertanto, del fondamento giuridico di cui all’art.6.1.e [del Regolamento] (compito di interesse pubblico o connesso all’esercizio di pubblici poteri). Al riguardo, v’è anche da considerare che l’interesse perseguito dall’ex Comandante non è riferibile a quello proprio del Comune di Lonato”;

“il Comune non è al corrente di come l’ex Comandante sia venuta a conoscenza della presenza del [reclamante] la mattinata del XX presso i locali della Polizia del Comune di Castel Goffredo, ma può affermare che ciò non sia accaduto per via di una comunicazione ufficiale […]”;

“il file ad oggetto non è mai stato trasferito su alcun hard disk di proprietà del Comune di Lonato del Garda e, come sopra precisato, non è mai stato visionato dall’ufficio procedimenti disciplinari”;

“il file ad oggetto non risulta neanche essere detenuto presso questo Ente, nonostante le dichiarazioni di deposito “agli atti" dell’ex Comandante”;

“[il procedimento disciplinare] è stato avviato semplicemente, ex artt. 55 bis e ss del D.Lgs. n.165/2001, sulla base di parte delle informazioni riportate dalla ex Comandante [della Polizia Locale] “nella relazione trasmessa” (pag.1 del Prot. XX […]) e che la sanzione del rimprovero scritto è stata comminata perché “pur avendo di fatto smentito le frasi, il dipendente non ha negato di aver reso, fuori dall’orario di servizio e presso l’Ufficio di Polizia Locale del Comune di Castel Goffredo, alcune dichiarazioni inerenti [al] Comandante [della Polizia Locale], il suo modo di operare e di gestire i rapporti con il personale di polizia a lei sotto ordinato” […] e, di conseguenza, sono state ritenute “solo parzialmente fondate le affermazioni pronunciate dal dipendente” […]”;

“il Comune non è stato in alcun modo coinvolto nel procedimento incardinato presso la Procura di Brescia in seguito alla denuncia/querela sporta dal [reclamante]”;

“per quanto riguarda il Comune, inteso come organizzazione collettiva, il non essersi reso conto della possibile irregolarità dell’acquisizione del file ha carattere eventualmente colposo ma non doloso”.

3. Esito dell’attività istruttoria.

3.1 La disciplina in materia di protezione dei dati personali.

In base alla disciplina di protezione dei dati, i soggetti pubblici possono trattare dati personali se il trattamento è necessario, in particolare, “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento).

Il datore di lavoro, in ogni caso, può trattare i dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento) dei lavoratori se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b), e 4, e 88 del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento).

Al riguardo, si evidenzia che l’operazione di comunicazione di dati personali a terzi, da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (v. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Il titolare del trattamento è tenuto, in ogni caso, a rispettare i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “limitazione della finalità”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” e “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità” (art. 5, par. 1, lett. a) e b), del Regolamento).

3.2 Il trattamento dei dati personali contenuti nella registrazione audio-video trasmessa dal Comune di Castel Goffredo.

Sulla base di quanto emerso nel corso dell’istruttoria, risulta accertato che, in data XX, l’allora Comandante del Comando Intercomunale di Polizia Locale dei Comuni di Lonato, Calcinato e Bedizzole, costituito presso il Comune, chiedeva in via informale al Comandante della Polizia locale del Comune di Castel Goffredo la conservazione della registrazione audio/video, effettuata in data XX (dalle ore 10:16 alle ore 10:30) mediante una telecamera di videosorveglianza installata presso il Comando della Polizia locale del Comune di Castel Goffredo, avente ad oggetto il colloquio intercorso tra il reclamante e una dipendente del Comune di Castel Goffredo.

Successivamente, con nota prot. XX del XX, l’allora Comandante del predetto Comando Intercomunale chiedeva formalmente al Comandante della Polizia locale del Comune di Castel Goffredo di trasmettere la predetta registrazione, “per indagini di Polizia giudiziaria in riferimento alla pratica registrata al […] protocollo interno di PG al n. XX”.

A seguito di tale richiesta, in data XX, il Comando Intercomunale redigeva “Verbale di acquisizione di documentazione probatoria”, attestante la consegna di “registrazioni video e audio del sistema di Videosorveglianza installato nel Comando di Castel Goffredo riferite ad eventi accaduti nella mattinata dal XX dalle ore 10:16 alle ore 10:30”, con l’indicazione che “di quanto sopra è stato redatto il presente verbale in triplice copia per trasmetterne una alla Procura della Repubblica, una per il Comandante [della Polizia locale di Castel Goffredo] ed una da trattenere agli atti del Comando”.

Con verbale del Comune di Castel Goffredo (Settore Polizia Locale) prot. n. XX del XX, si dava atto che l’effettiva trasmissione al Comando Intercomunale della registrazione in questione veniva effettuata il giorno XX alle ore 10:10 presso i locali del Comando della Polizia Locale di Castel Goffredo, mediante consegna di una “pen drive (chiavetta)”.

Ciò premesso, si osserva che, ai sensi dell’art. 3 della l. 7 marzo 1986, n. 65, recante “Legge-quadro sull'ordinamento della polizia municipale”, “gli addetti al servizio di polizia  municipale esercitano nel territorio di competenza le funzioni istituzionali previste dalla presente legge e collaborano, nell'ambito delle proprie attribuzioni, con le Forze di polizia dello Stato, previa disposizione del sindaco, quando ne venga fatta, per specifiche operazioni, motivata richiesta dalle competenti autorità”.

L’art. 5, comma 1, lett. a), della medesima legge prevede poi che “il  personale  che  svolge  servizio  di polizia municipale, nell'ambito territoriale dell'ente di appartenenza e nei limiti delle proprie attribuzioni, esercita anche: a) funzioni di polizia giudiziaria, rivestendo a tal fine la qualità di agente di polizia giudiziaria, riferita agli operatori, o di ufficiale di polizia giudiziaria,  riferita ai responsabili del servizio o del Corpo e agli addetti al coordinamento e al controllo, ai sensi dell'articolo 221, terzo comma, del codice di  procedura penale” (sul punto, cfr. art. 57, comma 2, lett. b), c.p.p., ai sensi del quale “[…] sono ufficiali di polizia giudiziaria […] gli ufficiali superiori e inferiori e i sottufficiali dei carabinieri, della guardia di finanza, degli agenti di custodia e del corpo forestale dello Stato nonché gli altri appartenenti alle predette forze di polizia ai quali l'ordinamento delle rispettive amministrazioni riconosce tale qualità”).

L’art. 55 c.p.p. precisa che “1. La polizia giudiziaria deve, anche di propria iniziativa, prendere notizia dei reati, impedire che vengano portati a conseguenze ulteriori, ricercarne gli autori, compiere gli atti necessari per assicurare le fonti di prova e raccogliere quant'altro possa servire per l'applicazione della legge penale. 2. Svolge ogni indagine e attività disposta o delegata dall'autorità giudiziaria. 3. Le funzioni indicate nei commi 1 e 2 sono svolte dagli ufficiali e dagli agenti di polizia giudiziaria”.

In merito alle predette disposizioni, la Corte di Cassazione ha chiarito, con orientamento consolidato, che “ai sensi della L. 7 marzo 1986, n. 65, art. 5 e dell'art. 57 c.p.p., comma 2, lett. b), la qualità di agenti di polizia giudiziaria è espressamente attribuita alle guardie dei comuni, alle quali è riconosciuto il potere di intervento nell'ambito territoriale dell'ente di appartenenza e nei limiti delle proprie attribuzioni, tra le quali rientra lo svolgimento di funzioni attinenti all'accertamento di reati di qualsiasi genere, che si siano verificati in loro presenza, e che richieda un pronto intervento anche al fine di acquisizione probatoria” (Cass. pen. Sez. III, Sent., ud. 07/06/2022, 30-08-2022, n. 31930; v. anche Cass. pen., sez. 1, 10/03/1994, n. 1193; in merito ai limiti territoriali della competenza di polizia giudiziaria degli agenti della Polizia locale, v. anche Cass. civ. Sez. II Ord., 08/02/2019, n. 3839; Cass. civ. Sez. VI - 2 Ord., 30/01/2019, n. 2748).

Pertanto, “la qualifica di agenti di polizia giudiziaria attribuita agli appartenenti alla polizia municipale è […] limitata nel tempo ("quando sono in servizio") e nello spazio ("nell'ambito territoriale dell'ente di appartenenza"), a differenza di altri corpi (Polizia di Stato, Carabinieri, Guardia di Finanza) i cui appartenenti operano su tutto il territorio nazionale e sono sempre in servizio” (v. Cass. civ. Sez. lavoro, Ord., 02/12/2019, n. 31388; Cass. pen. 10/06/2015, n. 35099).

Conseguentemente, le operazioni di polizia giudiziaria da parte della Polizia locale, d'iniziativa dei singoli durante il servizio, sono ammesse esclusivamente in caso di necessità dovuto alla flagranza dell'illecito commesso nel territorio di appartenenza. Diversamente, fuori da tale ipotesi, l’attività di polizia giudiziaria della Polizia locale è consentita esclusivamente “alla dipendenza e sotto la direzione dell'autorità giudiziaria” (art. 56 c.p.p.), limitatamente agli “atti ad essa specificamente delegati a norma dell'articolo 370, esegue[ndo] le direttive del pubblico ministero”, essendo invece preclusa ogni attività di iniziativa propria.

Ciò premesso, si osserva che, nel caso di specie, il predetto Comando Intercomunale, istituito presso il Comune di Lonato del Garda, ha, invece, acquisito la registrazione audio-video in questione, quale presunta fonte di prova, pur non sussistendo il presupposto della necessità dovuta dalla flagranza dell’illecito commesso durante il servizio. Ciò peraltro è avvenuto al di fuori dal territorio comunale (e al limite provinciale) di propria competenza.

Né emerge dalla documentazione in atti che l’acquisizione della registrazione in questione fosse stata disposta dall’autorità giudiziaria e che il predetto Comando avesse agito su delega della stessa, con la conseguenza che, contrariamente a quanto prospettato dal Comune, non possono essere ritenute applicabili al caso di specie le disposizioni del d.lgs. 51/2018 (cfr. provv. 11 novembre 2021, n. 399, doc. web n. 9725891).

Alla luce delle considerazioni che precedono, deve concludersi che l’acquisizione da parte del Comune, presso il quale è istituto il predetto Comado Intercomunale di Polizia locale, dei dati personali del reclamante contenuti nella registrazione audio-video (effettuata dalla telecamera installata presso il Comando della Polizia Locale del Comune di Castel Goffredo), è avvenuta in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

3.3 L’utilizzo dei dati personali contenuti nella registrazione audio-video (anche) nell’ambito del procedimento disciplinare.

Nel corso dell’istruttoria è, inoltre, emerso che il Comune ha utilizzato la registrazione audio-video in questione per avviare un procedimento disciplinare nei confronti del reclamante, che è poi scaturito nel provvedimento disciplinare n. XX del XX, adottato nei confronti dello stesso per aver reso “fuori dall’orario di servizio e presso l’ufficio di polizia locale del comune di Castel Goffredo, alcune dichiarazioni inerenti il comandante [del Comando Intercomunale], il suo modo di operare e di gestire i rapporti con il personale di polizia locale a lei sotto ordinato”.

Tale procedimento disciplinare è stato avviato sulla base di una segnalazione presentata dal Comandante del Comando Intercomunale con relazione del XX, acquisita agli atti, nella quale si legge, in particolare, che “durante un’indagine di Polizia Giudiziaria riguardante fatti accaduti nel Comune di Calcinato, in data XX inviavo una richiesta di acquisizione delle registrazioni, video ed audio, dell’impianto di videosorveglianza presente nell’ufficio di Polizia Locale del Comune di Castel Goffredo riferite alla presenza del [reclamante] nella mattinata del XX […] Nei due giorni successivi visionavo ed ascoltavo attentamente la registrazione della conversazione tra il [reclamante] e l’agente di Polizia Locale di Castel Goffredo […], frasi non consone al ruolo rivestito ed offensive, nonché denigranti nei confronti della sottoscritta e di alcuni componenti del Comando”.

Tanto premesso, occorre preliminarmente ribadire che qualunque trattamento di dati personali deve avvenire nel rispetto del Regolamento e del Codice dovendo, in particolare, i dati personali essere trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato” e “raccolti per finalità determinate, esplicite e legittime” (principio di limitazione della finalità, art. 5, par. 1, lett. a) e b), del Regolamento).

In tale quadro il titolare può successivamente utilizzare i soli dati personali lecitamente raccolti in presenza di un’idonea base giuridica, avendo previamente “soddisfatto tutti i requisiti per la liceità del trattamento originario” (cfr. cons. n. 50 del Regolamento), e dunque nei limiti in cui l’originaria raccolta sia stata lecitamente effettuata, avuto riguardo alla finalità principale e nel rispetto dei principi generali di protezione dei dati.

Per tali ragioni, deve rilevarsi che l’illiceità del trattamento dei dati richiesti al Comune di Castel Goffredo e acquisiti con le modalità sopra descritte (v. precedente par. 3.2) investe anche il successivo trattamento di dati personali, effettuato dal Comune nell’ambito del procedimento disciplinare avviato nei confronti del reclamante.

Il Comune ha, infatti, utilizzato dati personali del reclamante - già acquisiti in assenza di base giuridica nell’esercizio di asseriti poteri di polizia giudiziaria e che, sulla base della documentazione in atti, non risultano ricorrere nel caso di specie (v. par. 3.2) - per una finalità ulteriore, ovvero per avviare un procedimento disciplinare nei confronti del reclamante.

I dati personali possono essere, invece, trattati per una finalità diversa da quella per la quale essi sono stati originariamente raccolti (nel caso di specie, una supposta finalità di accertamento di reati in esecuzione di un potere di polizia giudiziaria), solo a condizione che il trattamento, cui inerisce la finalità originaria, sia lecito, in quanto fondato su una delle basi giuridiche previste dall’art. 6 del Regolamento (v. art. 6, par. 4, del Regolamento).

Stante l’inutilizzabilità dei “dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati” (art. 2-decies del Codice, “i dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati, salvo quanto previsto dall'articolo 160-bis”), si ritiene che i successivi trattamenti - ancorché effettuati nell’ambito dell’esercizio di compiti e poteri attribuiti al Comune in qualità di datore di lavoro - siano avvenuti in modo non conforme alla disciplina in materia di protezione dei dati personali.

Né l’aver utilizzato i medesimi dati nell’ambito dell’esercizio delle predette funzioni può essere considerato sufficiente a colmare il difetto di base giuridica dell’originaria raccolta (per analoghe considerazioni in relazione all’utilizzo di dati raccolti in assenza di base giuridica per l’esercizio del potere disciplinare in un diverso contesto, cfr. provv 10 novembre 2022 n. 367, doc. web n. 9835095).

Il trattamento dei dati personali del reclamante, anche nell’ambito del procedimento disciplinare in questione, è, pertanto, avvenuto in maniera non conforme al principio di “liceità, correttezza e trasparenza” e di “limitazione della finalità”, nonché in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e b) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver trattato i dati personali del reclamante in violazione degli artt. 5, par. 1, lett. a) e b) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Tenuto conto che la violazione, peraltro molteplice, delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni sono soggette alla sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il Comune ha dichiarato di non detenere alcuna copia della registrazione in questione, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura e alla gravità della violazione e alla delicatezza dei dati interessati dalla violazione (art. 83, par. 2, lett. a) e g), del Regolamento), occorre considerare che la stessa ha comportato l’acquisizione da parte del Comune, in assenza di base giuridica, del contenuto di una conversazione intercorsa tra un proprio dipendente e un dipendente di altra Amministrazione, peraltro fuori dal contesto dal lavorativo e dall’orario di servizio, interferendo con l’esercizio di libertà fondamentali della persona e con l’aspettativa di riservatezza nell’ambito di uno scambio di opinioni caratterizzate da confidenzialità. Al riguardo, deve, altresì, considerarsi il nocumento arrecato all’interessato per effetto del successivo utilizzo dei dati, in tal modo acquisiti, al fine di irrogare una sanzione disciplinare noi confronti dello stesso.

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60)”.

Ciò premesso, si deve considerare, in senso favorevole al titolare, che quest’ultimo è un Comune di modeste dimensioni (circa 16.800 abitanti) e che, ai fini dell’83, par. 2, lett. e), del Regolamento, non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

Infine, ai fini dell’art. 83, par. 2, lett. k), del Regolamento, si ritiene debba considerarsi che la violazione ha riguardato una specifica articolazione interna del titolare del trattamento, di ridotte dimensioni, e non la complessiva organizzazione dello stesso.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 20.000 (ventimila) per la violazione degli artt. artt. 5, par. 1, lett. a) e b) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo) quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che i dati illecitamente acquisiti dal Comune sono stati utilizzati anche ai fini dell’adozione di un provvedimento disciplinare nei confronti del reclamante, con conseguente pregiudizio per lo stesso nel delicato contesto lavorativo, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Lonato del Garda per violazione degli artt. artt. 5, par. 1, lett. a) e b) e 6 del Regolamento e art. 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo, nei termini di cui in motivazione;

ORDINA

al Comune di Lonato del Garda, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Martiri Della Libertà, 12 - 25017 Lonato del Garda (BS), C.F. 00832210173, di pagare la somma di euro 20.000 (ventimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 20.000 (ventimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi