VEDI Newsletter del 15 dicembre 2023

[doc. web n. 9963486]

Provvedimento del 16 novembre 2023

Registro dei provvedimenti
n. 578 del 16 novembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l'avv. Guido Scorza;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il Sig. XX ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali da parte del Comune di Castel Goffredo (di seguito, il “Comune”).

In particolare, è stato rappresentato che il reclamante, che all’epoca dei fatti era dipendente del Comune di Lonato del Garda, nel ruolo di Vice Commissario di Polizia Locale, “in data XX […] decidev[a] di recar[s]i presso gli uffici del Comando di Polizia Locale del comune di Castel Goffredo (MN), per conferire con il Comandante [della Polizia locale], [e,] non trovandolo in sede, conferiv[a] con la collega […] presente al frontoffice, [discutendo con la stessa in merito alle] motivazioni [dell’] appuntamento […]”.

Il reclamante ha rappresentato che, nel corso di tale colloquio, “si era parlato di questioni lavorative tra colleghi”, nonché delle condizioni di lavoro presso il corpo di Polizia locale del Comune di Lonato del Garda. 

Nel reclamo viene lamentato che “in data XX, (22 giorni dopo i fatti), la Comandante di Polizia Locale [del Comune di Lonato del Garda], richiedeva le registrazioni audio e video della […] presenza [del reclamante] presso il Comando di Polizia Locale di Castel Goffredo al Comandante [dello stesso], e precisamente i tracciati della telecamera posta all’interno del Comando di P.L. prospiciente il front-office […], facendo riferimento ad una non meglio precisata indagine di polizia giudiziaria. Il Comandante [della Polizia locale del Comune di Castel Goffredo] forniva quanto richiesto il XX […]”.

In relazione a tali fatti, che avrebbero portato alle “dimissioni volontarie [del reclamante] presentate al Comune di Lonato del Garda […]”, è stata “depositata denuncia presso la Procura della Repubblica di Brescia […]”.

Avuta notizia del sopravvenuto decesso del reclamante, si è proseguito d’ufficio l’istruttoria attesa la delicatezza dei fatti emersi in occasione della trattazione del reclamo (cfr. artt. 6, par. 1, e 21, par. 1, del Regolamento del Garante n. 1/2019).

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX), il Comune, con nota prot. n. XX dell’XX, ha dichiarato, in particolare, che:

“il trattamento dei dati personali delle immagini di videosorveglianza si è reso necessario per: l’esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il Comune […], in qualità il titolare del trattamento. In particolare, l’utilizzo della predetta telecamera era finalizzato alla: sicurezza degli operatori di Polizia Locale presenti all’interno dell’ufficio nonché alla tutela del patrimonio pubblico in caso di intrusione abusiva, considerato che la porta di ingresso è una comunissima porta antipanico vetrata e non blindata [e che] […] all’interno dell’ufficio, sono presenti nr. 7 pistole d’ordinanza […]”;

“la telecamera, posta all’interno del Comando di Polizia Locale di Castel Goffredo, rivolta verso il frontoffice, ha una visuale di 90 gradi. Quest’ultima telecamera, rimossa il XX, oltre alle immagini acquisiva anche l’audio”;

“il tempo di conservazione delle immagini registrate è, secondo le regole generali, di 7 giorni, al termine dei quali vi è la cancellazione automatica. Tuttavia, l’ulteriore conservazione dei dati personali è ammessa qualora sia necessaria per esercitare il diritto alla libertà di espressione e di informazione, per adempiere un obbligo legale, per eseguire un compito di interesse pubblico o nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento, per motivi di interesse pubblico nel settore della sanità pubblica, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria. Nel caso di specie, conseguentemente, non vi è stata alcuna violazione del principio di limitazione della conservazione dei dati personali, sussistendo i presupposti per una conservazione ulteriore al termine di 7 giorni”;

“all’epoca, non vi fu accordo sindacale specifico per la telecamera in questione poiché: la richiesta di inserimento di tale telecamera avvenne da parte degli appartenenti il Comando di Polizia Locale di Castel Goffredo, i quali ritenevano l’installazione della suddetta telecamera una sorta di sicurezza personale anche in conseguenza dei fatti avvenuti in data XX, come da relazione di servizio Rep. nr. XX del XX. Il consenso dei lavoratori, nel caso di specie, ha costituito il presupposto per l’installazione delle telecamere che, nel tempo, e fino alla data di disattivazione, hanno generato sicurezza nella gestione del rapporto di lavoro”;

“[era stata posizionata] cartellonistica […] in piazza Martiri della Liberazione nr. 26/A/2, sulla porta all’ingresso dello stabile, posto al piano terra, dell’Ufficio di Polizia Locale, così come sulla porta d’entrata dell’ufficio di Polizia Locale, posto al primo piano”;

“la motivazione alla richiesta di acquisizione delle immagini, da parte della Comandante della Polizia Locale [del Comando Intercomunale di Polizia Locale istituito presso il Comune di Lonato del Garda], era relativa al protocollo di P.G. nr. XX “.... per indagini di Polizia giudiziaria…”, che si allega. Tale richiesta è stata preceduta da contatti informali (WhatsApp) che hanno indotto l’ufficio al salvataggio di copia delle immagini oggetto del contenzioso”;

“la telecamera di sorveglianza è stata rimossa in data XX e non fa più parte dell’impianto di video sorveglianza cittadina. Le immagini e audio di videosorveglianza che riguardano il reclamante non sono più trattate, essendo state eliminate subito dopo aver assolto alla richiesta della Comandante […]”.

In riscontro a un’ulteriore richiesta d’informazioni dell’Autorità (nota prot. n. XX del XX), il Comune, con nota prot. n. XX del XX, ha dichiarato, in particolare, che:

“la telecamera, posta all’interno del Comando di Polizia Locale di Castel Goffredo, rivolta verso il front-office, è stata installata e messa in funzione tra gennaio XX e marzo XX. L’installazione è avvenuta a seguito di incarico alla ditta esecutrice mediante l’assunzione della Determinazione di acquisto nr. XX del XX […]”;

“l’ente aveva ritenuto di non essere assoggettato, nel XX, alla valutazione di impatto in relazione alla circostanza che: a) l’impianto da realizzare avrebbe assorbito le telecamere del precedente impianto, di cui si presupponeva la regolarità; b) il capitolato speciale d’appalto […] vincola l’affidatario alla garanzia della riservatezza dei dati, all’applicazione della normativa sul trattamento, alla protezione dei dati medesimi […] e alla formazione del personale […]”;

“nel caso in esame il Comandante del Comando Intercomunale di Lonato, Calcinato e Bedizzole richiedeva, verbalmente e con messaggio, la conservazione delle immagini in data XX. Il Comandante si riservava, nel contempo, di formalizzare la richiesta scritta al protocollo dell'ente. Senonché tale richiesta scritta perveniva soltanto in data XX, protocollo in entrata numero XX. Verosimilmente tale tempistica è attribuibile alla consistente mole di lavoro che caratterizza, in via generale, gli uffici di Polizia Locale degli enti locali”;

“il Comune di Lonato del Garda è venuto a conoscenza della “presenza del vice commissario S.M.” presso i locali della Polizia Locale di codesto comune “de relato”, non essendo mai stata comunicata tale informazione al Comune di Lonato medesimo. Verosimilmente, la notizia è stata acquisita dal Comune di Lonato per effetto di un colloquio intercorso tra un attuale dipendente del Comando di Castel Goffredo e un ex dipendente di Castel Goffredo, attualmente in forza al Comando Intercomunale di Lonato, Calcinato e Bedizzole”;

“codesto Comune e il Corpo di Polizia Locale di Castel Goffredo, ricevuta la richiesta di cui al “protocollo interno di PG al nr.XX” non era[…] a conoscenza della natura e dell’oggetto delle indagini di polizia giudiziaria menzionate nella predetta nota”;

“l’Autorità Giudiziaria, a seguito di denuncia del reclamante in data XX, a tutt’oggi non risulta si sia ancora pronunciata in merito”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni:

degli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento, nonché 114 del Codice (in relazione all’art. 4, comma 1, della l. n. 300/1970), per aver installato nei locali del Comando di Polizia Locale una telecamera di videosorveglianza, dotata anche di funzionalità di registrazione dell’audio, in assenza delle procedure di garanzia richieste dalla legge (accordo sindacale o autorizzazione pubblica);

degli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento, nonché 113 del Codice (in relazione agli artt. 8 della l. n. 300/1970 e 10 del d.lgs. n. 276/2003), per aver raccolto e trattato le registrazioni audio acquisite mediante la predetta telecamera, in assenza di idonei presupposti giuridici, con la conseguente possibilità per il datore di lavoro di acquisire, nel corso dello svolgimento del rapporto di lavoro, informazioni sulle opinioni, relazioni o vicende afferenti alla vita privata dei lavoratori;

degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo), per aver comunicato i dati personali del reclamante, contenuti nella predetta registrazione audio-video, al Comune di Lonato del Garda, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica;

degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento, per non aver adeguatamente informato gli interessati in merito al trattamento di dati personali posto in essere mediante la predetta telecamera di videosorveglianza;

dell’art. 5, par. 1, lett. e), del Regolamento, per aver conservato la registrazione audio-video oggetto di reclamo oltre il termine di conservazione stabilito dal Comune;

dell’art. 35 del Regolamento, per non aver redatto una valutazione d’impatto sulla protezione dei dati prima di iniziare il trattamento di dati personali mediante la predetta telecamera di videosorveglianza.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).
Con nota del XX (prot. n. XX), il Comune, che non ha chiesto di essere audito, ha presentato una memoria difensiva, dichiarando, in particolare, che:

“il reclamante non era un lavoratore del Comune di Castel Goffredo”;

“il controllo a distanza è una fattispecie che si applica ai lavoratori, ma non a utenti del Comando della Polizia Locale”;

“il reclamante rileva come semplice utente”;

“per tutti gli utenti del Comando di Polizia Locale, il Comune di Castel Goffredo ha previsto il libero accesso agli uffici amministrativi negli orari di accesso al pubblico. Per salvaguardare la sicurezza degli Agenti di Polizia Locale, il Comune stesso ha installato la telecamera assistita da apposita segnaletica informativa”;

“la contestazione (controlli a distanza e controlli del datore di lavoro) non attiene alla fattispecie di fatto in esame”;

“quanto agli altri capi della contestazione (assenza di base giuridica, violazione dei principi di liceità, correttezza e trasparenza e conservazione e assenza di [valutazione d’impatto sulla protezione dei dati] rileva la circostanza che i dati dovevano essere trattati e conservati per motivi di polizia giudiziaria”;

“l’asserita violazione avrebbe, laddove fossero rilevanti e fondati i capi di imputazione, carattere colposo”;

“[…] il reclamante, ben conscio dell’esistenza della telecamera (che era frontale al bancone) ha accettato il rischio che la videoregistrazione fosse sottoposta a istanza di accesso da gestire, a cura del Comando della Polizia Locale di Castel Goffredo, secondo i vincoli e le disposizioni della normativa sull’accesso medesimo”.

3.Esito dell’attività istruttoria.

3.1. La disciplina in materia di protezione dei dati personali.

In base alla disciplina in materia di protezione dei dati personali, il datore di lavoro può trattare i dati personali, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1, del Regolamento) dei lavoratori se il trattamento è necessario, in generale, per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti derivanti dalla disciplina di settore (artt. 6, par. 1, lett. c), 9, par. 2, lett. b) e 4; 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (artt. 6, parr. 1, lett. e), 2 e 3 del Regolamento; 2-ter del Codice, nel testo anteriore alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente all’epoca dei fatti oggetto di reclamo).

Il datore di lavoro deve, inoltre, rispettare le norme nazionali, che “includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro” (artt. 6, par. 2, e 88, par. 2, del Regolamento). Sul punto il Codice, confermando l’impianto anteriore alle modifiche apportate dal d.lgs. 10 agosto 2018, n. 101, fa espresso rinvio alle disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, con particolare riferimento ai possibili controlli da parte del datore di lavoro (artt. 113 “Raccolta dati e pertinenza” e 114 “Garanzie in materia di controllo a distanza”). Per effetto di tale rinvio, e tenuto conto dell’art. 88, par. 2, del Regolamento, l’osservanza degli artt. 4 e 8 della l. n. 300/1970 e dell’art. 10 del d.lgs. n. 297/2003 (nei casi in cui ne ricorrono i presupposti) costituisce una condizione di liceità del trattamento.

Tali norme costituiscono nell’ordinamento interno quelle disposizioni più specifiche e di maggiore garanzia di cui all’art. 88 del Regolamento - a tal fine oggetto di specifica notifica a cura del Garante alla Commissione (consultabile alla pagina: https://ec.europa.eu/info/law/law-topic/data-protection/data-protection-eu/eu-countries-gdpr-specific-notifications_en) ai sensi dell’art. 88, par. 3, del Regolamento - la cui osservanza costituisce una condizione di liceità del trattamento e la cui violazione - analogamente alle specifiche situazioni di trattamento del capo IX del Regolamento - determina anche l’applicazione di sanzioni amministrative pecuniarie ai sensi dell’art. 83, par. 5, lett. d), del Regolamento.

Sulla base di un orientamento del Garante ormai consolidato, le garanzie dello Statuto dei Lavoratori trovano, peraltro, sempre applicazione, fatto salvo quanto disposto altrimenti dalle specifiche disposizioni di settore (combinato disposto art. 37 della l. 300/1970 e artt. 3, 42 e 51, comma 2, del d.lgs. 165/2001; v. anche C.d.S., sent. n. 708 del 12 luglio 1990 e C.d.S, sez. V, sent. n. 95 del 23 gennaio 1995, in base alle quali le norme della l. n. 300/1970 si applicano ai dipendenti pubblici nel caso in cui manchi del tutto la disciplina relativa al caso di specie nell’ambito dell’ordinamento interno dell’ente).

In base alla disciplina di protezione dei dati, i soggetti pubblici possono trattare dati personali se il trattamento è necessario, in particolare, “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento).

La normativa europea prevede che “gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). Al riguardo, si evidenzia che l’operazione di comunicazione di dati personali a terzi, da parte di soggetti pubblici, è ammessa solo quando prevista da una norma di legge o, nei casi previsti dalla legge, di regolamento (v. art. 2-ter, commi 1 e 3, del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

Nel rispetto del principio di “liceità, correttezza e trasparenza”, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12 del Regolamento).

Allorquando siano impiegati sistemi di videosorveglianza, il titolare del trattamento, oltre a rendere l’informativa di primo livello, mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1; v. anche la FAQ n. 4 del Garante in materia di videosorveglianza, doc. web n.9496574).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., spec. par. 114, che forniscono anche un modello esemplificativo di cartello con l’informativo di primo livello). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale (senza alcuna registrazione di dati o trasmissione a soggetti terzi) (ibidem, cit., par. 115). La segnaletica di avvertimento di primo livello deve, inoltre, contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Ai sensi dell’art. 35 del Regolamento, “quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi”.

In attuazione del principio di “responsabilizzazione” (cfr. art. 5, par. 2, e 24 del Regolamento), spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali (cfr. cons. 90 del Regolamento).

In base al principio di “limitazione della conservazione”, i dati personali devono essere “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati” (art. 5, par. 1, lett. e), del Regolamento).

3.2. La liceità del trattamento: il mancato rispetto della disciplina in materia di controlli a distanza.

Sulla base di quanto è emerso nel corso dell’istruttoria, risulta accertato che il Comune, nel periodo intercorrente tra i mesi di gennaio/marzo XX e il 31 ottobre XX, ha installato e messo in funzione all’interno dei locali del Comando di Polizia Locale una telecamera di videosorveglianza, senza aver previamente esperito le procedure di garanzia di cui all’art. 4, comma 1, della l. 300/1970.

A tal riguardo, si evidenzia che le esigenze di sicurezza, pure invocate dal Comune, non possono di per sé sole, in base al quadro normativo sopra delineato, legittimare il trattamento dei dati personali mediante strumenti dai quali può derivare anche la possibilità di controllo a distanza dei lavoratori, come la telecamera di videosorveglianza in questione, in assenza delle garanzie previste dall’art. 4, comma 1, l. n. 300/1970.

Sul punto, anche la giurisprudenza della Corte europea dei diritti dell’uomo, nel caso Antovic e Mirković v. Montenegro (Application n. 70838/13 del 28.11.2017), ha stabilito che il rispetto della “vita privata” deve essere esteso anche ai luoghi di lavoro pubblici (nel caso di specie, le aule universitarie), evidenziando che la videosorveglianza sul posto di lavoro pubblico può essere giustificata solo nel rispetto delle garanzie previste dalla legge nazionale applicabile, in mancanza delle quali costituisce un'interferenza illecita nella vita privata del dipendente, ai sensi dell'art. 8, par. 2, della Convenzione Europea dei Diritti dell’Uomo.

Pertanto, il rispetto del citato art. 4, comma 1, anche per effetto del rinvio ad esso contenuto nell’art. 114 del Codice, costituisce condizione di liceità del trattamento dei dati personali (cfr., da ultimo, con riguardo al ricorso alla videosorveglianza sui luoghi di lavoro, provv.ti 16 settembre 2021, n. 331, doc. web n. 9719768; 11 marzo 2021, n. 90, doc. web n. 9582791; 5 marzo 2020. n. 53, doc. web n.9433080; 19 settembre 2019, n. 167, doc. web n. 9147290; v., a livello europeo, le indicazioni contenute nelle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” del Comitato europeo per la protezione dei dati del 29 gennaio 2020, spec. par. 11, nonché le precedenti indicazioni del Gruppo di Lavoro Articolo 29 nel “Parere 2/2017 sul trattamento dei dati sul posto di lavoro”, WP 249; in giurisprudenza, v. Cass. pen., sez. 3, 17 dicembre 2019, n. 50919; Cass. civ., sez. 1, 19 settembre 2016, n. 18302).

Né è idonea a far venir meno l’obbligo di conformarsi alla richiamata disciplina la circostanza, rappresentata dal Comune, che i lavoratori in servizio presso il Comando della Polizia locale avessero prestato il proprio consenso all’installazione della telecamera in questione.

Al riguardo si fa presente che il consenso, stante la asimmetria contrattuale connaturata dal rapporto di lavoro, non costituisce di regola un’idonea base giuridica per i trattamenti di dati personali in ambito lavorativo (v., tra gli altri, provv.ti 28 ottobre 2021, n. 384, doc. web n. 9722661 e 13 dicembre 2018, n. 500, doc. web n. 9068983, punto 3.1.; con specifico riferimento alla videosorveglianza v. provv.ti 4 luglio 2013, n. 336, doc. web n. 2578071 e 18 luglio 2013, n. 361, doc. web n.2605290; v. anche Comitato per la protezione dei dati, “Linee Guida sul consenso ai sensi del Regolamento UE 2016/679”, WP 259, del 4 maggio 2020, par.3.1.1, nonché “Parere 2/2017 sul trattamento dei dati sul posto di lavoro”, adottato dal Gruppo di lavoro art. 29 in data 8 giugno 2017, WP 249).

Tale considerazione è valida anche con riguardo ai trattamenti posti in essere da soggetti pubblici, circostanza che, pure, ricorre nel caso di specie (cfr. cons. 43 del Regolamento).
Peraltro, la giurisprudenza di legittimità ha più volte ritenuto che l’art. 4 della l. n. 300 del 1970 “tutela interessi di carattere collettivo e superindividuale” e, pertanto, anche il consenso, eventualmente prestato dai singoli lavoratori all’installazione di impianti, non è equivalente alla necessaria attivazione della procedura con le rappresentanze dei dipendenti o, in mancanza, all’autorizzazione pubblica non potendo essere sufficiente a scriminare la condotta vietata e penalmente sanzionata (v. Cass., sez. 3 penale, sent. 17 gennaio 2020, n. 1733 e precedenti pronunce ivi richiamate; cfr. provv. 16 settembre 2021, n. 331, cit.).

In ragione delle considerazioni che precedono, il trattamento dei dati personali effettuato mediante la predetta telecamera risulta essere stato effettuato in contrasto con la normativa in materia di protezione dei dati personali e con la disciplina di settore in materia di controlli a distanza, in assenza delle procedure di garanzia richieste dalla legge nazionale applicabile, che ne costituisce la base giuridica (sotto tale profilo, ancorché con riferimento all’impiego di diversi sistemi nel contesto lavorativo, v. provv. 1° dicembre 2022, n. 409, doc web n. 9833530, spec. parr. 3.4 e 3.5).

La telecamera di videosorveglianza in questione, catturando in via generalizzata l’audio e il video di qualsiasi evento occorso all’interno dell’area di ripresa nel Comando della Polizia locale del Comune, ha, pertanto, comportato il trattamento di dati personali relativi ai lavoratori e ad altri interessati (ad esempio, visitatori, utenti, fornitori, cittadini e altre categorie di interessati), in maniera non conforme al “principio di liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6 e 88, par. 1, del Regolamento, nonché 114 del Codice (in relazione all’art. 4, comma 1, della l. n. 300/1970).

3.3. La raccolta di dati non attinenti all’attività lavorativa: le registrazioni audio.

Il Comune ha confermato, nel corso dell’istruttoria, che la telecamera di videosorveglianza installata presso il Comando della Polizia locale registrava anche il segnale audio.

Fin dal 1970, al datore di lavoro, pubblico e privato, è fatto divieto di “effettuare indagini, anche a mezzo di terzi, sulle opinioni politiche, religiose o sindacali del lavoratore, nonché su fatti non rilevanti ai fini della valutazione dell'attitudine professionale del lavoratore” (v. art. 8 della l. n. 300/1970 e art. 10 del d.lgs. 10 settembre 2003, n. 276, richiamati espressamente dall’art. 113 del Codice).

Sul presupposto che la linea di confine tra ambito lavorativo e professionale e quello strettamente privato non può sempre essere tracciata in modo netto e che, pertanto, non può essere prefigurato il completo annullamento di ogni aspettativa di riservatezza dell’interessato sul luogo di lavoro, la Corte europea dei diritti dell’uomo ha nel tempo confermato che la protezione della vita privata si estende anche all’ambito lavorativo, ove si svolgono le relazioni della persona che lavora (v. sentenze Niemietz c. Allemagne, 16.12.1992, ric. n. 13710/88, spec. par. 29; Copland v. UK, 03.04.2007, ric. n. 62617/00, spec. par. 41; Bărbulescu v. Romania, cit., spec. parr. 70-73 e 80; Antović and Mirković v. Montenegro, cit., spec. par. 41-42).

Tale tutela va assicurata, più in generale, a tutte le conversazioni private, che sono assistite dalle più elevate garanzie sul piano costituzionale (art. 21 Cost.).

La sproporzione del trattamento che consiste dell’acquisizione dell’audio sussiste, peraltro, di regola, nel più generale contesto dell’impiego di qualsiasi dispositivo video, anche al di fuori del contesto lavorativo (v. le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., in particolare par. 129, ove si afferma che “le soluzioni individuate non dovrebbero prevedere funzioni non necessarie (ad esempio, movimento illimitato delle telecamere, capacità di zoom, radiotrasmissione, analisi e registrazioni audio). Le funzioni fornite, ma non necessarie, devono essere disattivate”).

Nel caso di specie, la generalizzata raccolta e la conservazione di registrazioni audio sul luogo di lavoro, attraverso una telecamera di videosorveglianza, in assenza di idonei presupposti giuridici e di chiare indicazioni e informazioni rese ai lavoratori, ha comportato la possibilità per il datore di lavoro di acquisire, nel corso dello svolgimento del rapporto di lavoro, informazioni sulle opinioni, relazioni o vicende afferenti alla vita privata dei lavoratori in servizio presso il Comando di Polizia Locale o su fatti comunque non rilevanti ai fini della valutazione dell'attitudine professionale, oggetto di conversazione tra gli stessi dipendenti e tra questi e soggetti terzi (ad esempio, utenti, visitatori, fornitori, familiari, ecc.).

Per tali ragioni, la condotta del Comune risulta, altresì, in contrasto con le disposizioni nazionali che vietano al datore di lavoro di acquisire (e comunque “trattare”) informazioni che “non [siano] rilevanti ai fini della valutazione dell’attitudine professionale del lavoratore” o comunque relative alla sfera privata degli interessati, in violazione degli artt. 5, par. 1, lett. a), 6 e 88, del Regolamento, nonché 113 del Codice (in relazione agli artt. 8 della l. n. 300/1970 e 10 del d.lgs. n. 276/2003).

3.4. La mancanza di trasparenza nei confronti degli interessati.

Nel corso dell’istruttoria, il Comune ha dichiarato che “[era stata posizionata] cartellonistica […] in piazza Martiri della Liberazione nr. 26/A/2, sulla porta all’ingresso dello stabile, posto al piano terra, dell’Ufficio di Polizia Locale, così come sulla porta d’entrata dell’ufficio di Polizia Locale, posto al primo piano”, allegando copia della stessa.

Al riguardo, si osserva che l’informativa di primo livello sul trattamento dei dati personali, riportata in tale cartellonistica, non è conforme ai requisiti previsti dalla normativa in materia di protezione dei dati.

Premesso che non è più attuale il richiamo all’art. 13 del Codice, abrogato dal d.lgs. 10 agosto 2018, n. 101, l’informativa in questione era sprovvista di riferimenti all’identità e ai dati di contatto del titolare del trattamento e del responsabile della protezione dei dati da questi designato (art. 13, par. 1, lett. a) e b), del Regolamento); al periodo di conservazione dei dati (art. 13, par. 2, lett. a), del Regolamento); ai diritti degli interessati e alle modalità per esercitare gli stessi (art. 13, par. 2, lett. b), del Regolamento).

L’informativa di primo livello, difetta, altresì, di ogni riferimento alla registrazione dell’audio, non essendo stata, pertanto, fornita agli interessati un’“informazion[e] sugli impatti più consistenti del trattamento” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., spec. par. 114), esponendo gli stessi all’elevato rischio che informazioni di natura privata o di carattere confidenziale venissero acquisite dal Comune, senza che gli interessati ne avessero consapevolezza.

Inoltre, tale cartello non conteneva alcuna informazione in merito alle modalità con le quali gli interessati (ovvero tutti i soggetti, compresi i visitatori, ripresi dalla telecamera di videosorveglianza in questione) avrebbero potuto ricevere un’informativa completa, di secondo livello, sul trattamento dei propri dati (v. parr. 117-119 delle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit.).

Né emerge dagli atti che il Comune abbia provveduto a redigere tale informativa di secondo livello e portarla a conoscenza degli interessati, ad esempio mediante pubblicazione della stessa sul sito web istituzionale del Comune.

Anche con specifico riguardo al trattamento dei dati personali dei lavoratori in servizio presso il Comando di Polizia locale, il Comune non ha comprovato nel corso dell’istruttoria di aver fornito loro un’informativa relativa al trattamento dei dati personali effettuato, mediante la telecamera in questione, per le finalità di cui all’art. 4, comma 1, della l. 300/1970.

Il Comune ha, pertanto, agito in maniera non conforme al “principio di liceità, correttezza e trasparenza” e in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

3.5. La mancata redazione di una valutazione d’impatto sulla protezione dei dati.

In attuazione del principio di “responsabilizzazione” (cfr. art. 5, par. 2, e 24 del Regolamento), spetta al titolare valutare se i trattamenti che si intendono realizzare possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche - in ragione delle tecnologie impiegate e considerata la natura, l'oggetto, il contesto e le finalità perseguite - che renda necessaria una preventiva valutazione di impatto sulla protezione dei dati personali ai sensi dell’art. 35 del Regolamento (cfr. cons. 90 del Regolamento).

Nel caso di specie, il trattamento delle registrazioni audio-video, mediante la predetta telecamera di videosorveglianza, è stato effettuato anche in assenza di una preliminare valutazione d’impatto sulla protezione dei dati.

Tenuto conto delle indicazioni fornite anche a livello europeo sul punto, si rileva, invece, che il trattamento in questione, comporta rischi specifici per i diritti e le libertà degli interessati nel contesto lavorativo (art. 35 del Regolamento).

Tanto in considerazione della particolare “vulnerabilità” degli interessati nel contesto lavorativo (cfr. cons. 75 e art. 88 del Regolamento e le “Linee guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento "possa presentare un rischio elevato" ai sensi del Regolamento 2016/679”, WP 248 del 4 aprile 2017, che, tra le categorie di interessati vulnerabili, menzionano espressamente “i dipendenti”) e del fatto che in tale ambito l’impiego di sistemi che comportano il “monitoraggio sistematico”, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” (cfr. criterio n. 3 indicato nelle Linee guida, cit., ma vedi anche criteri 4 e 7), può presentare rischi in termini di possibile monitoraggio dell’attività dei dipendenti (cfr. artt. 35 e 88, par. 2, del Regolamento; v. anche provv. 11 ottobre 2018, n. 467, doc. web n. 9058979, all. n. 1, che espressamente menziona i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici […] dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”; v., tra gli altri, provv. 1° dicembre 2022, n. 409, doc. web n. 9833530).

Nel caso di specie, il Comune ha, invece, trattato i dati personali dei lavoratori in servizio presso il Comando di Polizia locale, mediante la telecamera di videosorveglianza in questione, nel periodo tra il 25 maggio XX (data in cui il Regolamento è diventato efficace) e il 31 ottobre XX (data in cui tale telecamera è stata disinstallata), in assenza di una preliminare valutazione d’impatto sulla protezione dei dati e, pertanto, in violazione dell’art. 35 del Regolamento.

3.6. L’illecita comunicazione dei dati personali del reclamante al Comune di Lonato del Garda.

Sulla base di quanto emerso nel corso dell’istruttoria, risulta accertato che, in data XX, l’allora Comandante del Comando Intercomunale di Polizia Locale dei Comuni di Lonato del Garda, Calcinato e Bedizzole, costituito presso il Comune di Lonato del Garda, chiedeva in via informale al Comandante della Polizia locale del Comune di Castel Goffredo la conservazione della registrazione audio/video, effettuata in data XX (dalle ore 10:16 alle ore 10:30) mediante una telecamera di videosorveglianza installata presso il Comando della Polizia locale del Comune di Castel Goffredo, avente ad oggetto il colloquio intercorso tra il reclamante e una dipendente del Comune di Castel Goffredo.

Successivamente, con nota prot.XX del XX, l’allora Comandante del predetto Comando Intercomunale chiedeva formalmente al Comandante della Polizia locale del Comune di Castel Goffredo di trasmettere la predetta registrazione, “per indagini di Polizia giudiziaria in riferimento alla pratica registrata al […] protocollo interno di PG al n. XX”.

A seguito di tale richiesta, in data XX, il Comando Intercomunale redigeva “Verbale di acquisizione di documentazione probatoria”, attestante la consegna di “registrazioni video e audio del sistema di Videosorveglianza installato nel Comando di Castel Goffredo riferite ad eventi accaduti nella mattinata dal XX dalle ore 10:16 alle ore 10:30”, con l’indicazione che “di quanto sopra è stato redatto il presente verbale in triplice copia per trasmetterne una alla Procura della Repubblica, una per il Comandante [della Polizia locale di Castel Goffredo] ed una da trattenere agli atti del Comando”.

Con verbale del Comune di Castel Goffredo (Settore Polizia Locale) prot. n. XX del XX, si dava atto che l’effettiva trasmissione al Comando Intercomunale della registrazione in questione veniva effettuata il giorno XX alle ore 10:10 presso i locali del Comando della Polizia Locale di Castel Goffredo, mediante consegna di una “pen drive (chiavetta)”. 

Ciò premesso, si osserva che, ai sensi dell’art. 3 della l. 7 marzo 1986, n. 65, recante “Legge-quadro sull'ordinamento della polizia municipale”, “gli addetti al servizio di polizia  municipale esercitano nel territorio di competenza le funzioni istituzionali previste dalla presente legge e collaborano, nell'ambito delle proprie attribuzioni, con le Forze di polizia dello Stato, previa disposizione del sindaco, quando ne venga fatta, per specifiche operazioni, motivata richiesta dalle competenti autorità”.

L’art. 5, comma 1, lett. a), della medesima legge prevede poi che “il  personale  che  svolge  servizio  di polizia municipale, nell'ambito territoriale dell'ente di appartenenza e nei limiti delle proprie attribuzioni, esercita anche: a) funzioni di polizia giudiziaria, rivestendo a tal fine la qualità di agente di polizia giudiziaria, riferita agli operatori, o di ufficiale di polizia giudiziaria,  riferita ai responsabili del servizio o del Corpo e agli addetti al coordinamento e al controllo, ai sensi dell'articolo 221, terzo comma, del codice di  procedura penale” (sul punto, cfr. art. 57, comma 2, lett. b), c.p.p., ai sensi del quale “[…] sono ufficiali di polizia giudiziaria […] gli ufficiali superiori e inferiori e i sottufficiali dei carabinieri, della guardia di finanza, degli agenti di custodia e del corpo forestale dello Stato nonché gli altri appartenenti alle predette forze di polizia ai quali l'ordinamento delle rispettive amministrazioni riconosce tale qualità”).

L’art. 55 c.p.p. precisa che “1. La polizia giudiziaria deve, anche di propria iniziativa, prendere notizia dei reati, impedire che vengano portati a conseguenze ulteriori, ricercarne gli autori, compiere gli atti necessari per assicurare le fonti di prova e raccogliere quant'altro possa servire per l'applicazione della legge penale. 2. Svolge ogni indagine e attività disposta o delegata dall'autorità giudiziaria. 3. Le funzioni indicate nei commi 1 e 2 sono svolte dagli ufficiali e dagli agenti di polizia giudiziaria”.

In merito alle predette disposizioni, la Corte di Cassazione ha chiarito, con orientamento consolidato, che “ai sensi della L. 7 marzo 1986, n. 65, art. 5 e dell'art. 57 c.p.p., comma 2, lett. b), la qualità di agenti di polizia giudiziaria è espressamente attribuita alle guardie dei comuni, alle quali è riconosciuto il potere di intervento nell'ambito territoriale dell'ente di appartenenza e nei limiti delle proprie attribuzioni, tra le quali rientra lo svolgimento di funzioni attinenti all'accertamento di reati di qualsiasi genere, che si siano verificati in loro presenza, e che richieda un pronto intervento anche al fine di acquisizione probatoria” (Cass. pen. Sez. III, Sent., ud. 07/06/2022, 30-08-2022, n. 31930; v. anche Cass. pen., sez. 1, 10/03/1994, n. 1193; in merito ai limiti territoriali della competenza di polizia giudiziaria degli agenti della Polizia locale, v. anche Cass. civ. Sez. II Ord., 08/02/2019, n. 3839; Cass. civ. Sez. VI - 2 Ord., 30/01/2019, n. 2748).

Pertanto, “la qualifica di agenti di polizia giudiziaria attribuita agli appartenenti alla polizia municipale è […] limitata nel tempo ("quando sono in servizio") e nello spazio ("nell'ambito territoriale dell'ente di appartenenza"), a differenza di altri corpi (Polizia di Stato, Carabinieri, Guardia di Finanza) i cui appartenenti operano su tutto il territorio nazionale e sono sempre in servizio” (v. Cass. civ. Sez. lavoro, Ord., 02/12/2019, n. 31388; Cass. pen. 10/06/2015, n. 35099).

Conseguentemente, le operazioni di polizia giudiziaria da parte della Polizia locale, d'iniziativa dei singoli agenti durante il servizio, sono ammesse esclusivamente in caso di necessità dovuto alla flagranza dell'illecito commesso nel territorio di appartenenza. Diversamente, fuori da tale ipotesi, l’attività di polizia giudiziaria della Polizia locale è consentita esclusivamente “alla dipendenza e sotto la direzione dell'autorità giudiziaria” (art. 56 c.p.p.), limitatamente agli “atti ad essa specificamente delegati a norma dell'articolo 370, esegue[ndo] le direttive del pubblico ministero”, essendo invece preclusa ogni attività di iniziativa propria.

Ciò premesso, si osserva che, nel caso di specie, il predetto Comando Intercomunale, istituito presso il Comune di Lonato del Garda, ha, invece, acquisito la registrazione audio-video in questione, quale presunta fonte di prova, pur non sussistendo il presupposto della necessità dovuta dalla flagranza dell’illecito commesso durante il servizio e fuori dal territorio comunale (e anche provinciale) di propria competenza. Né emerge dalla documentazione in atti che l’acquisizione della registrazione in questione fosse stata disposta dall’autorità giudiziaria e che il predetto Comando Intercomunale avesse agito su delega della stessa.

Alla luce delle considerazioni che precedono, il Comune non avrebbe dovuto dar seguito a una richiesta di acquisizione di immagini/audio di videosorveglianza, presentata da un Comando Intercomunale operante in una diversa provincia, in assenza di evidenze che la richiesta in questione fosse stata avanzata su richiesta e delega dell’autorità giudiziaria.

Il Comune ha, pertanto, effettuato una comunicazione di dati personali in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento, nonché 2-ter del Codice (nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo).

3.7. La violazione del principio di limitazione della conservazione dei dati.

Dai fatti sopra esposti consegue che, sebbene il reclamante fosse stato ripreso presso i locali del Comando della polizia di locale del Comune in data XX, la registrazione audio/video in questione è stata comunicata al Comando Intercomunale di Lonato del Garda, Calcinato e Bedizzole in data XX.
Pertanto, la registrazione in questione è stata conservata ben oltre il termine di sette giorni che, in base al principio di responsabilizzazione, era stato stabilito dal Comune stesso per il perseguimento di finalità di sicurezza. 

Non rileva, a tal riguardo, che il Comandante del predetto Comando Intercomunale avesse informalmente chiesto al Comandante della polizia locale del Comune, attraverso comunicazioni per le vie brevi, di conservare dette immagini in attesa che venisse formalizzata la nota di richiesta delle stesse.

Tale corrispondenza, del tutto priva delle necessarie caratteristiche di formalità e ufficialità - essendo, peraltro, intercorsa utilizzando gli account personali dell’applicazione “WhatsApp” - non poteva, infatti, considerarsi un presupposto idoneo per poter disporre la conservazione delle immagini oltre il termine di cancellazione automatica normalmente previsto, pari a sette giorni.

Il Comune ha, pertanto, agito in maniera non conforme al principio di “limitazione della conservazione”, in violazione dell’art. 5, par. 1, lett. e), del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune di Castel Goffredo, per aver posto in essere un trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a) ed e), 6, 12, 13, 35 e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice (rispettivamente in relazione agli artt. 8 e 4, comma 1, della l. n. 300/1970), nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo, come richiamato anche dall’art. 166, comma 2, del Codice.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, atteso che il Comune ha disinstallato la telecamera di videosorveglianza in questione in data XX, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Nel caso di specie, il Comune ha posto in essere due distinte condotte, che devono essere considerate separatamente ai fini della quantificazione della sanzione amministrativa da applicarsi.

5.1 La condotta di cui ai precedenti paragrafi 3.1, 3.2, 3.3, 3.4 e 3.5.

Tenuto conto che la violazione delle disposizioni citate nei precedenti paragrafi 3.1, 3.2, 3.3, 3.4 e 3.5, per effetto dell’impiego di un dispositivo di sorveglianza audio-video all’interno dei locali del Comando di Polizia Locale, ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, la violazione più grave riguarda gli artt. 5, 6, 12, 13 e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice, soggetta alla sanzione amministrativa prevista dall’83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Con specifico riguardo alla natura e alla gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), occorre considerare sia la specifica natura del trattamento - avviato in modo non conforme alla disciplina di settore in materia di impiego di strumenti tecnologici sul luogo di lavoro e alle indicazioni fornite nel tempo dal Garante, per i profili di competenza - sia la prolungata durata dello stesso. Si ritiene che debba, altresì, essere presa in considerazione la delicatezza dei dati trattati (art. 83, par. 2, lett. g), del Regolamento), essendo gli stessi idonei a rivelare il contenuto delle conversazioni effettuate all’interno dei locali del Comando di Polizia locale e, con riguardo ai lavoratori del Comune, anche informazioni inconferenti rispetto al contesto lavorativo e relative alla vita privata.

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60).

Ciò premesso, si deve considerare, in senso favorevole al titolare, che quest’ultimo è un Comune di modeste dimensioni (circa 12.500 abitanti) e che, ai fini dell’83, par. 2, lett. e), del Regolamento, non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

Infine, ai fini dell’art. 83, par. 2, lett. k), del Regolamento, si ritiene debba considerarsi che la violazione ha riguardato una specifica articolazione interna del titolare del trattamento e non la complessiva organizzazione dello stesso.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro30.000 (trentamila) per la violazione degli artt. 5, par. 1, lett. a), 6, 12, 13, 35 e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice (rispettivamente in relazione agli artt. 8 e 4, comma 1, della l. n. 300/1970), nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto dell’esteso lasso temporale durante il quale i predetti dati sono stati trattati, contravvenendo alla ragionevole aspettativa di riservatezza in un contesto in cui si svolgeva anche l’attività lavorativa, nonché considerato che il dispositivo audio-video in questione è stato installato in violazione della disciplina di settore in materia di impiego di sistemi di videosorveglianza nei luoghi di lavoro, che risale al 1970, nonostante i numerosi provvedimenti adottati dal Garante in tale ambito, si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

5.2 La condotta di cui ai precedenti paragrafi 3.6 e 3.7.

La violazione delle disposizioni citate nei precedenti paragrafi 3.6 e 3.7, per effetto della conservazione della registrazione audio-video oltre i termini fissati dal Comune e per la successiva comunicazione di tale registrazione al Comune di Lonato del Garda, ha, invece, avuto luogo in conseguenza di un’ulteriore unica condotta (stesso trattamento o trattamenti tra loro collegati), trovando applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la  violazione più grave. Considerato che, nel caso di specie, la violazione più grave riguarda gli artt. 5 e 6 Regolamento, nonché 2-ter del Codice, soggetta alla sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

Con specifico riguardo alla natura e alla gravità della violazione, all’elemento soggettivo e alla delicatezza dei dati interessati dalla violazione (art. 83, par. 2, lett. a), b) e g), del Regolamento), occorre considerare che il Comune ha negligentemente omesso di verificare la fondatezza e la liceità della richiesta, proveniente dal Comando Intercomunale di Polizia Locale istituito presso il Comune di Lonato del Garda, di conservare e comunicare una registrazione audio-video effettuata con una telecamera di videosorveglianza, rivelando a un altro Comune dati personali particolarmente delicati, ovvero il contenuto di una conversazione intercorsa tra un proprio dipendente e il reclamante, esponendo conseguentemente quest’ultimo a rilevanti conseguenze per la propria sfera giuridica.

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità di tale violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Guidelines 04/2022 on the calculation of administrative fines under the GDPR” del 23 maggio 2023, punto 60)”.

Anche in questo caso, come per la violazione accertata al punto precedente, sono state considerate le modeste dimensioni dell’Ente (circa 12.500 abitanti) e che, ai fini dell’83, par. 2, lett. e), del Regolamento, non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

Infine, analogamente alla violazione accertata al punto precedente, ai fini dell’art. 83, par. 2, lett. k), del Regolamento, è stato considerato che la violazione ha riguardato una specifica articolazione interna del titolare del trattamento e non la complessiva organizzazione dello stesso.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 20.000 (ventimila) per la violazione degli artt. 5, par. 1, lett. a) ed e) e 6, nonché 2-ter del Codice, nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.
Tenuto conto che dall’illecita comunicazione dei dati personali del reclamante al Comune di Lonato del Garda sono derivate conseguenze pregiudizievoli per l’interessato nel contesto lavorativo (provvedimento disciplinare), si ritiene, altresì, che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Castel Goffredo per violazione degli artt. 5, par. 1, lett. a) ed e), 6, 12, 13, 35 e 88 del Regolamento, nonché 2-ter, 113 e 114 del Codice (rispettivamente in relazione agli artt. 8 e 4, comma 1, della l. n. 300/1970), nel testo antecedente alle modifiche apportate dal d.l. 8 ottobre 2021, n. 139, vigente al tempo dei fatti oggetto di reclamo, nei termini di cui in motivazione;

ORDINA

al Comune di Castel Goffredo, in persona del legale rappresentante pro-tempore, con sede legale in Piazza Mazzini, 1 - 46042 Castel Goffredo (MN), C.F. 81001030204, di pagare la somma complessiva di euro 50.000 (cinquantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà di ciascuna sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la complessiva somma di euro 50.000 (cinquantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione del presente provvedimento sul sito web del Garante, ritenendo che ricorrano i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 16 novembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Scorza

IL VICE SEGRETARIO GENERALE
Filippi