Videosorveglianza, multa del Garante privacy se il Comune non protegge i dati personali

Pubblicata l'ordinanza ingiunzione n. 119/2022 con cui il Garante della privacy ha applicato pesanti sanzioni nei confronti di un Comune che ha installato fototrappole per reprimere l'illecito smaltimento dei rifiuti in mancanza di misure adeguate ad attuare i principi di protezione dei dati e senza informativa.

Il caso
Un cittadino, essendo stato videoregistrato più volte, ha lamentato l'installazione di "fototrappole" utilizzate per la repressione dei reati di illecito smaltimento dei rifiuti, senza che il comune abbia pubblicato alcun documento in materia. In effetti, l'ente non risulta aver approvato il regolamento comunale sulla videosorveglianza né ha promosso iniziative afferenti all'avvio effettivo del servizio e alle garanzie correlate e nemmeno esistono elementi indicativi di eventuali sanzioni irrogate a danno dei cittadini per effetto dell'utilizzo della strumentazione.
Nella istruttoria, il Garante ricorda che il trattamento di dati personali mediante sistemi di videosorveglianza da parte di soggetti pubblici è generalmente ammesso se esso è necessario per adempiere un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri. Purtuttavia il titolare del trattamento è tenuto a rispettare i principi in materia di protezione dei dati, adottando misure tecniche e organizzative adeguate e integrando nel trattamento le necessarie garanzie. Egli inoltre deve rendere agli interessati l'informativa mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza. Con riguardo alla figura del RPD, deve comunicare i dati di contatto all'autorità di controllo.

Le violazioni
Nel caso di specie, il Comune non ha adottato alcun atto organizzativo in relazione all'impiego dei dispositivi video, non ha assunto alcuna determinazione in materia di protezione dei dati personali prima di iniziarne il trattamento e non ha conseguentemente adottato misure tecniche e organizzative adeguate volte ad attuare in modo efficace i principi di base in materia di protezione dei dati. Non ha inoltre assicurato che la protezione dei dati personali fosse integrata nel trattamento dalla progettazione alla conservazione dei dati né ha adottato alcuna misura per fornire l'informativa sul trattamento dei dati personali agli interessati sottoposti alla videosorveglianza. Con riguardo alla figura del Rpd, risultano comunicati l'indirizzo del segretario comunale e quello Pec del comune, che il Garante ritiene non idonei a consentire una comunicazione diretta tra l'autorità e il Rpd, in quanto occorre una casella istituzionale ad hoc attribuita al solo Rpd, evitando l'utilizzo di caselle che siano espressione del titolare del trattamento.

Le sanzioni
Il Garante rileva l'illiceità del trattamento di dati personali effettuato dal Comune per aver trattato dati personali mediante dispositivi video in violazione delle norme sulla protezione dei dati personali. Considera inoltre «l'alto grado di responsabilità del titolare del trattamento, che ha sostanzialmente omesso di considerare i profili di protezione dei dati sottesi al trattamento in questione, prima di effettuare lo stesso», ma anche la sua «scarsa collaborazione con l'Autorità nel corso dell'istruttoria, fornendo informazioni ed elementi caratterizzati da vaghezza e imprecisione, ben oltre i termini assegnati ed ha trattato i dati personali di un numero elevato di interessati, sebbene durante un lasso temporale non particolarmente esteso».
Ha così ordinato al sindaco di pagare 20mila euro a titolo di sanzione amministrativa pecuniaria, con possibilità di pagamento dimezzato se effettuato entro il termine di 30 giorni. Inoltre gli ingiunge di comunicare gli specifici dati di contatti del Rpd designato dal Comune, diversi dai recapiti dello stesso, e di comunicare, fornendo un riscontro adeguatamente documentato, le iniziative intraprese al fine di dare attuazione a quanto ordinato.