g-docweb-display Portlet

Ordinanza ingiunzione nei confronti di Comune di Salento - 20 ottobre 2022 [9831369]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 9831369]

Ordinanza ingiunzione nei confronti di Comune di Salento - 20 ottobre 2022

Registro dei provvedimenti
n. 341 del 20 ottobre 2022

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Introduzione.

Con reclamo dell’XX, regolarizzato e integrato il XX, un cittadino ha lamentato una presunta violazione della disciplina in materia di protezione dei dati personali da parte del Comune di Salento (di seguito, il “Comune”).

In particolare, è stato rappresentato che il Comune, durante il periodo di confinamento per contrastare la diffusione del virus SARS-CoV-2, avrebbe accertato “la violazione al divieto di uscire dalla propria abitazione” mediante “impianto di videosorveglianza […] la sera del XX”.

Il reclamante ha, altresì, lamentato che “l’area video sorvegliata, non [sarebbe] dotata di idonea cartellonistica che informa gli interessati della ripresa”.

Infine, il reclamante ha  rappresentato di aver fatto richiesta al Comune, anche sulla base di quanto previsto dell’art. 18 del regolamento comunale sulla videosorveglianza, di accedere alle immagini riprese “la sera del XX dalle h. 21.50 alle h. 22.10” dalle “telecamere […] posizionate in Salento via M. Scarpa Valiante in prossimità dell’incrocio tra via Vignali e Via della Libertà”, senza aver, tuttavia, ottenuto alcun riscontro da parte del Comune.

2. L’attività istruttoria.

In riscontro alle richieste d’informazioni dell’Autorità (v. note prot. nn. XX del XX; XX del XX; XX del XX), il Comune, con note del XX, XX (prot. n. XX) e XX (prot. n. XX), ha dichiarato, in particolare, che:

“il Comune è dotato di regolare cartellonistica, peraltro posta proprio nel luogo dove è stata scattata la fotografia”;

“valutando che la dicitura “a tempo illimitato nel rispetto della vigente normativa” riportata nella informativa estesa relativa all’impianto di videosorveglianza potesse ingenerare qualche equivoco, sia pur nella perfetta buona fede, si è provveduto ad uniformarla a quanto presente nel regolamento. Per cui l’attuale riferimento è “i dati personali oggetto di trattamento vengono conservati per un periodo di tempo non superiore a quello strettamente necessario al soddisfacimento delle finalità istituzionali dell’impianto e in ogni caso per un periodo di tempo non superiore a sette giorni, fatte salve speciali esigenze di ulteriore conservazione in modo particolare in relazione ad illeciti che si siano verificati o ad indagini dell’autorità giudiziaria o di pubblica sicurezza”, come riportato nell’informativa sulla home page del sito internet istituzionale […]”;

"rispetto al Registro del trattamento dati si evidenzia che effettivamente nel corso del mese di XX (e precisamente in data XX) dal DPO designato ci è stata inviata nota PEC […] accompagnatoria del Registro del titolare dei dati, con tutte le informazioni relative al Comune di Salento […] [che è stato] recepito immediatamente ossia nel momento stesso in cui è stato inviato. Non lo abbiamo recepito subito formalmente in quanto “distratti” per il noto problema Covid che ha messo davvero in ginocchio un piccolo Comune come il nostro, fornito di poche unità come dipendenti e avendo dovuto far fronte a tutte le questioni emergenziali a tutti note. Oggi risulta regolarmente recepito anche dal punto di vista formale”;

il Comune ha fornito riscontro all’istanza di esercizio dei diritti del reclamante “presso la PEC del proprio avvocato in data XX prot.llo XX”.

Il Comune ha fornito all’Autorità, tra le altre cose, anche copia di una nota del proprio Responsabile della protezione dei dati, datata XX, nella quale si afferma che “allo scopo di agevolare l’Ente nel rispetto degli adempimenti del [Regolamento], [si è provveduto] a generare, nel corso del mese di XX, una versione pdf […] del registro del trattamento”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, avente ad oggetto le presunte violazioni degli artt. 5, par. 1, lett. a), b) ed e), 6, 12, 13, 15 e 30 del Regolamento, invitando il predetto Comune a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), il Comune ha presentato la propria memoria difensiva, dichiarando, in particolare, che:

“l'intera vicenda nasce dalla necessità di garantire da parte del [Sindaco del Comune], anche nel suo ruolo di responsabile della salute pubblica, il rispetto della normativa anti Covid 19, anche in ossequio alla ordinanza del Presidente della Regione [Campania], particolarmente attento in quel periodo di inizio pandemia, che raccomandava a Noi Sindaci di usare tutti i mezzi a Nostra disposizione per garantire il rispetto della stessa, proprio nel momento in cui l’intera Nazione era sottoposta a lockdown totale. I fatti risalgono al mese di XX, poche settimane dopo che il Governo […] aveva stabilito, per l'appunto, il lockdown totale”;

il Comune, che dispone di soli “due [vigili urbani] in convenzione con altro Comune per 15 ore settimanali, [...] ha usato l’unico mezzo a disposizione per cercare di far rispettare la predetta normativa”;

"è possibile che il cartello recante l’indicazione che l’area fosse soggetta alla video sorveglianza, dove si trovavano i cinque cittadini […,] non fosse in linea con la normativa; ma era proprio sulla testa del [reclamante] ben visibile a ricordare che quell'area era videosorvegliata”;

“in riferimento poi alla pubblicazione sul […] sito web istituzionale [del Comune] della informativa estesa [, agli atti del Comune vi è una] comunicazione del XX […] [del] responsabile per la protezione dei dati, che […] trasmetteva [al Comune] il link da pubblicare dove erano disponibili le informative del Comune di Salento. A tale proposito, su […] precisa indicazione [dell’Autorità], una volta riscontrata la non coerenza tra la informativa pubblicata e quanto riportato nel Regolamento comunale, [il Comune ha] provveduto a uniformare i due testi”;

“in riferimento al diniego di esercitare gratuitamente il diritto di accesso alle immagini occorre sottolineare che la cifra richiesta era esattamente quanto preventivato dalla società tecnica per effettuare le operazioni di estrazione. La scelta di richiedere un contributo spese trova la sua base giuridica proprio nell'articolo 12 del Regolamento […]”;

“inoltre anche il […] regolamento [comunale] sulla videosorveglianza prevede la possibilità, per la giunta comunale, di determinare i costi della messa a disposizione delle immagini”.

In occasione dell’audizione, richiesta ai sensi dell’art. 166, comma 6, del Codice e tenutasi in data XX (verbale prot. n. XX del XX), il Comune ha dichiarato, in particolare, che:

“il titolare del trattamento è un Comune molto piccolo, dotato di risorse estremamente limitate, e i fatti oggetto di reclamo si sono verificati nel difficile e critico contesto dell’emergenza epidemiologica da SARS-CoV-2”;

“il Comune, in assoluta buona fede, nel tentativo di contenere l’emergenza sanitaria, che ha causato dei decessi nel territorio comunale, e arginare la violazione da parte di alcuni cittadini delle disposizioni sul c.d. lockdown, considerato l’esiguo numero del personale della polizia locale a propria disposizione, ha ritenuto opportuno utilizzare dei dispositivi video per assicurare il rispetto della legge. Le violazioni sono state, peraltro, contestate dal Comune ma le relative somme sono destinate alla Prefettura, non avendo, pertanto, il Comune tratto alcun beneficio economico dalle stesse”;

“gli interessati avevano piena contezza di trovarsi in un’area sottoposta a videosorveglianza, atteso che il Comune aveva apposto specifici cartelli, che, per quanto non perfettamente in linea con la normativa, erano comunque idonei a dar conto dei trattamenti di dati personali in essere”.

3. Esito dell’attività istruttoria.

Sulla base di quanto emerso nel corso dell’istruttoria, risulta accertato che, con verbale n.XX del XX, la Polizia locale del Comune ha notificato al reclamante la violazione amministrativa alle disposizioni di cui al d.l. n. 19/2020, attestando che “nell’anno XX alle ore 21,50 si ripete alle ore 22,10 [gli operatori di polizia hanno accertato che] in Salento via M. Scarpa Valiante in prossimità dell’incrocio tra via Vignali e via Della Libertà” il reclamante “ha violato la misura di contenimento del contagio da Covid-19 riferita alla limitazione della mobilità delle persone fisiche […] [ex] art. 1, comma 1, del D.P.C.M. 10 aprile 2020, nello specifico la persona si è spostata dal luogo di domicilio, pur in assenza dei presupposti di esigenze lavorative o di motivi di salute o di situazione di necessità” e “non ha rispettato il divieto di assembramento in luogo pubblico o aperto al pubblico – art. 1, comma 1, lett. d)”.

Nel verbale “si precisa che il fatto non è stato contestato nell’immediatezza della violazione […] trattandosi di violazione accertata con impianto di videosorveglianza”.

3.1 La trasparenza nei confronti degli interessati.

Nel rispetto del principio di “liceità, correttezza e trasparenza”, il titolare del trattamento deve adottare misure appropriate per fornire all'interessato, prima di iniziare il trattamento, tutte le informazioni richieste dal Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (artt. 5, par. 1, lett. a), 12 e 13 del Regolamento).

Allorquando siano impiegati sistemi di videosorveglianza, il titolare del trattamento, oltre a rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza, deve fornire agli interessati anche delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video” del Comitato europeo per la protezione dei dati, adottate il 29 gennaio 2020, in particolare par. 7; ma si veda già il “Provvedimento in materia di videosorveglianza” del Garante dell’8 aprile 2010, doc. web n. 1712680, in particolare par. 3.1, nonché, da ultimo, la FAQ del Garante n. 4 in materia di videosorveglianza, doc. web n. 9496574; cfr., altresì, provv.ti 28 aprile 2022, n. 162, doc. web n. 9777974, 7 aprile 2022, n. 119, doc. web n. 9773950, 16 settembre 2021, n. 327, doc. web n. 9705650 e 11 marzo 2021, n. 90, doc. web n. 9582791).

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, cit., par. 114). Inoltre, la segnaletica deve contenere anche quelle informazioni che potrebbero risultare inaspettate per l’interessato. Potrebbe trattarsi, ad esempio, della trasmissione di dati a terzi, in particolare se ubicati al di fuori dell’UE, e del periodo di conservazione. Se tali informazioni non sono indicate, l’interessato dovrebbe poter confidare nel fatto che vi sia solo una sorveglianza in tempo reale (senza alcuna registrazione di dati o trasmissione a soggetti terzi) (Linee guida del Comitato, cit., par. 115). La segnaletica di avvertimento di primo livello deve contenere un chiaro riferimento al secondo livello di informazioni, ad esempio indicando un sito web sul quale è possibile consultare il testo dell’informativa estesa.

Nel caso di specie, sebbene il Comune abbia dichiarato di aver affisso un cartello informativo in prossimità dell’area in cui si sono svolti i fatti oggetti di reclamo, nel corso dell’istruttoria – nonostante le specifiche richieste formulate dall’Ufficio e le interlocuzioni sul punto intercorse con il Responsabile della protezione dei dati del Comune – non è stata prodotta una versione integralmente leggibile di tale cartello informativo (essendo leggibile solo il nome/logo del Comune, il simbolo della videocamera e la dicitura “questo territorio è sottoposto a videosorveglianza”). Il Comune non ha, pertanto, comprovato di aver fornito un’informativa di primo livello adeguata e conforme ai requisiti previsti dal Regolamento (cfr. art 13 dello stesso). In particolare, il cartello informativo non fa riferimento alla finalità del trattamento che è stata perseguita in occasione dei fatti oggetto di reclamo né indica le modalità con le quali gli interessati possono consultare un’informativa completa relativa al trattamento delle immagini di videosorveglianza.

Quanto a tale informativa estesa, il Comune non ha comprovato in alcun modo che il testo della stessa, inviato a questa Autorità in allegato alla nota del XX, risultasse pubblicato sul proprio sito web istituzionale o fosse stato comunque portato all’attenzione degli interessati già alla data dei fatti oggetto di reclamo. Peraltro, il testo prodotto nel corso dell’istruttoria, nel far riferimento, quanto alle finalità del trattamento, “all’esecuzione di compiti nell’interesse pubblico per protezione e incolumità degli individui, ivi ricompresi i profili attinenti alla sicurezza urbana, all’ordine e sicurezza pubblica, alla prevenzione, accertamento o repressione dei reati, al contratto degli accessi in edifici pubblici”, non è, comunque, idoneo a rappresentare agli interessati il perseguimento di finalità connesse, come nel caso di specie, all’accertamento delle violazioni amministrative della normativa emergenziale di contrasto alla diffusione del virus SARS-CoV-2.

Il Comune ha, pertanto, fornito agli interessati un’informativa di primo livello inadeguata e ha omesso di fornire agli stessi un’informativa completa di secondo livello, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione dell’art. 5, par. 1, lett. a), 12 e 13 del Regolamento.

3.2 Limitazione della finalità e liceità del trattamento.

I soggetti pubblici possono, di regola, trattare dati personali mediante dispositivi video se il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento (art. 6, parr. 1, lett. c) ed e), e 3, del Regolamento, nonché 2-ter del Codice; cfr. le “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., par. 41; con specifico riguardo all’impiego dei Comuni di sistemi di videosorveglianza sulla pubblica via per finalità di sicurezza urbana, v. art. 6, co. 7 e 8, del d.l. 23 febbraio 2009, n. 11 e artt. 4 e 5, co. 2, lett. a), del d.l. 20 febbraio 2017, n. 14).

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi in materia di protezione dei dati, incluso il principio di “limitazione della finalità”, in base al quale i dati personali devono essere “raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità” (art. 5, par. 1, lett. b), del Regolamento).

Con riguardo alla principio di limitazione della finalità, l’art. 6, par. 4, del Regolamento precisa che “laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all'articolo 23, paragrafo 1, al fine di verificare se il trattamento per un'altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l'altro: a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto; b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento; c) della natura dei dati personali […]; d) delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati; e) dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione”.

Nel caso oggetto di reclamo, il Comune ha trattato le immagini del proprio sistema di videosorveglianza per una finalità (ovvero la contestazione di una violazione amministrativa della normativa emergenziale in materia di contenimento della diffusione del virus SARS-CoV-2), che non può ritenersi compatibile con quella per cui lo stesso è stato installato (ovvero la tutela della pubblica sicurezza; v. art. 3 del regolamento comunale sulla videosorveglianza, adottato con deliberazione n. 6 del 26 marzo 2018, agli atti).

In disparte da ogni considerazione in merito all’effettiva competenza del Comune ad accertare una violazione amministrativa nell’ambito delle misure di contenimento della pandemia da SARS-CoV-2, nonché all’idoneità di un generico sistema di videosorveglianza ai fini di tale accertamento, anche con riguardo all’identificazione del trasgressore, si osserva, infatti, che i trattamenti di dati personali posti in essere per la finalità di trattamento connessa a tale accertamento non possono comunque considerarsi logicamente connessi o derivanti dai trattamenti posti in essere dal Comune per finalità di sicurezza urbana, che sono volti alla “prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria”, rispetto ai quali, peraltro, la normativa di settore richiede la previa stipula di un patto per l’attuazione della sicurezza urbana tra Sindaco e Prefetto   (v. art. 5, co. 2, lett. a), del d.l. 20 febbraio 2017, n. 14) (cfr. Gruppo di Lavoro Art. 29, “Parere 03/2013 sulla limitazione delle finalità” (WP 203) del 2 aprile 2013, par. III.2.2.(a), ove si afferma che può sussistere una relazione tra la finalità di trattamento originaria e quella ulteriore nel caso in cui il trattamento ulteriore sia già in qualche misura implicito nella finalità iniziale, o possa considerarsi un logico passaggio successivo alla luce di tale finalità iniziale).

Il ricorso alla videosorveglianza sulla pubblica via quale misura di contenimento della pandemia da SARS-CoV-2 si pone, altresì, in contrasto con l’aspettativa dei cittadini in merito al trattamento dei propri dati, i quali, anche in considerazione di quanto previsto dal regolamento comunale sulla videosorveglianza adottato dal Comune, confidavano che le immagini acquisite dalle telecamere installate sulla pubblica via sarebbero state trattate esclusivamente per le predette finalità di sicurezza urbana (cfr. “Parere 03/2013 sulla limitazione delle finalità”, cit., par. II.3, ove si afferma che il trattamento ulteriore non può considerarsi prevedibile se non è sufficientemente correlato alla finalità di trattamento originaria e non soddisfa le ragionevoli aspettative che gli interessati avevano al momento della raccolta dei dati, tenuto conto del contesto in cui tale raccolta è avvenuta).

A ciò si aggiunga che nessuna specifica garanzia per gli interessati è stata adottata dal Comune per ridurre l’impatto sugli stessi e assicurare la correttezza del trattamento, non avendo lo stesso fornito agli interessati alcuna informazione specifica in merito all’ulteriore finalità di trattamento perseguita, relativa all’accertamento di violazioni amministrative della normativa emergenziale per il contenimento del SARS-CoV-2 (cfr. “Parere 03/2013 sulla limitazione delle finalità”, cit., par. III.2.2.(b)).

Alla luce delle considerazioni che precedono, il Comune ha trattato le immagini di videosorveglianza in questione per una finalità di trattamento incompatibile con quella originaria, in maniera non conforme al principio di “limitazione della finalità”, in violazione dell’art. 5, par. 1, lett. b) del Regolamento.

Tenuto conto che, solo allorquando la finalità di trattamento ulteriore è compatibile con quella originaria non è richiesta alcuna base giuridica separata oltre a quella che ha consentito la raccolta dei dati personali (v. Cons. 50 del Regolamento) e considerato che, nel caso di specie, il Comune non ha, invece, comprovato la sussistenza di autonomi presupposti di liceità per il trattamento delle immagini di videosorveglianza, già acquisite e trattate per finalità di sicurezza urbana, anche al diverso fine di accertare violazioni amministrative nel contesto delle misure di contenimento della pandemia da SARS-CoV-2, il relativo trattamento di dati personali è stato effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento.

3.3 Limitazione della conservazione.

Ai sensi dell’art. 5, par. 1, lett. e), del Regolamento, i dati personali devono essere “conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato («limitazione della conservazione»)”.

Con riguardo ai trattamenti di dati personali effettuati mediante sistemi di videosorveglianza, le immagini registrate non possono essere conservate più a lungo di quanto necessario per le finalità per le quali sono acquisite (art. 5, par. 1, lett. c) ed e), del Regolamento). In base al principio di responsabilizzazione (artt. 5, par. 2, e 24 del Regolamento), spetta al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche; ciò salvo che specifiche norme di legge non prevedano espressamente determinati tempi di conservazione dei dati (cfr. art. 6, comma 8, del d.l. 23 febbraio 2009, n. 11).

Tenendo conto del richiamato principio di “limitazione della conservazione”, nonché di quello di “minimizzazione dei dati” (art. 5, par. 1, lett. c) del Regolamento), “i dati personali dovrebbero essere – nella maggior parte dei casi (ad esempio se la videosorveglianza serve a rilevare atti vandalici) – cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione” (FAQ n. 5 del Garante in materia di videosorveglianza, V. 1.0 - dicembre 2020, doc. web n. 9496574).

Ciò premesso, con riguardo al caso di specie, si osserva che nell’informativa estesa sul trattamento dei dati personali (allegata alla nota XX) si afferma che “i dati personali vengono conservati a tempo illimitato nel rispetto della normativa vigente”.

Il Comune, a fronte di tale affermazione, non ha comprovato in alcun modo, nel corso dell’istruttoria, di aver fissato tempi di certi di conservazione delle immagini di videosorveglianza, così come richiesto alla luce del principio di “limitazione della conservazione” (art. 5, par. 1, lett. e), del Regolamento), ai fini dell’accertamento delle violazioni amministrative previste dalla normativa sull’emergenza da SARS-CoV-2.

Il trattamento delle immagini di videosorveglianza è stato, pertanto, effettuato dal Comune, per le predette finalità amministrative, in maniera non conforme al principio di “limitazione della conservazione” (art. 5, par. 1, lett. e), del Regolamento).

3.4 Il diritto di accesso ai dati personali.

L’art. 12 del Regolamento prevede che il titolare del trattamento debba fornire gratuitamente all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 del Regolamento senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa (parr. 3 e 5).

Solo “se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta” (par. 5).

Se non ottempera alla richiesta dell’interessato, il titolare del trattamento deve informare l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (par. 4).

Con riguardo all’esercizio dei propri diritti da parte del reclamante, si osserva che quest’ultimo aveva rivolto al Comune, con nota del XX, un’istanza di “accesso [alle] immagini [di] videosorveglianza ai sensi dell’art. 18 […] del Regolamento [comunale sulla videosorveglianza]”, adottato con “delibera di Consiglio Comunale n. 8/2018”, in base al quale “per accedere ai dati ed alle immagini l’interessato dovrà presentare un’apposita istanza scritta […] richiedendo l’esistenza o meno del trattamento di dati che possono riguardarlo”.

Il regolamento comunale prevede, altresì, che, nel caso in cui venga accertata l’”effettiva esistenza delle immagini”, si “fisserà […] il giorno, l’ora ed il luogo in cui [l’interessato] potrà visionare le immagini che lo riguardano”, precisandosi che potrà essere richiesto di corrispondere “un contributo spese […] a copertura dei costi sostenuti per l’espletamento della pratica”.

Con nota prot. n.XX del XX, il Comune, in riscontro a “nota PEC in data XX”, ha conseguentemente comunicato all’interessato che, per poter ottenere copia delle immagini estratte dal sistema di videosorveglianza, avrebbe dovuto corrispondere la “somma complessiva di euro 307,84”.

Successivamente, con nota prot. n. XX del XX, il Comune ha fissato “la data per la visione delle immagini […] per il XX”, invitando l’interessato a inviare “copia della ricevuta di versamento […] per il costo dell’operazione”.

Il Comune ha, pertanto, negato all’interessato la possibilità di esercitare gratuitamente il diritto di accesso ai propri dati personali, espressamente prevista dagli artt. 12, par. 5, e 15 del Regolamento, avendo subordinato lo stesso al pagamento della somma di euro 307,84, sebbene la richiesta dell’interessato non potesse considerarsi eccessiva, in violazione degli artt. 12 e 15 del Regolamento.

3.5 Il registro delle attività di trattamento.

Ai sensi dell’art. 30, par. 1, del Regolamento, “ogni titolare del trattamento […] [tiene] un registro delle attività di trattamento svolte sotto la propria responsabilità”.

Tale obbligo non si applica alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'art. 9, par. 1, del Regolamento o i dati personali relativi a condanne penali e a reati di cui all'art. 10 del Regolamento (art. 30, par. 5, del Regolamento).

Su richiesta, il titolare del trattamento deve mettere tale registro a disposizione dell'autorità di controllo (art. 30, par. 4, del Regolamento).

Dalle dichiarazioni in atti emerge che, quantomeno fino al mese di XX, il Comune, pur effettuando trattamenti di dati personali che possono presentare un rischio per i diritti e le libertà degli interessati (come la videosorveglianza sulla pubblica via), nonché trattamenti non occasionali di dati personali relativi a categorie particolari o a condanne penali e reati, non ha provveduto a redigere il registro delle attività di trattamento, in violazione dell’art. 30 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver posto in essere un trattamento illecito di dati personali mediante dispositivi video, in maniera non trasparente nei confronti degli interessati, per non aver fissato i tempi di conservazione delle immagini di videosorveglianza trattate per finalità amministrative, per non aver consentito all’interessato il diritto di accedere gratuitamente ai propri dati personali e per aver omesso di redigere , almeno fino al mese di XX, il registro dei trattamento, in violazione degli artt. 5, par. 1, lett. a), b) ed e), 6, 12, 13, 15 e 30 del Regolamento.

La violazione delle predette disposizioni rende applicabile la sanzione amministrativa prevista dall’art. 83, par. 5, del Regolamento, ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 3, del Regolamento medesimo.

5. Misure correttive (art. 58, par. 2, lett. c), del Regolamento).

L’art. 58, par. 2, lett. c), del Regolamento prevede che il Garante ha i poteri correttivi di “ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell'interessato di esercitare i diritti loro derivanti dal […] regolamento”.

Prendendo atto di quanto emerso in fase di istruttoria e tenendo conto della circostanza che il Comune non ha né comprovato di avere fornito gratuitamente all’interessato copia dei dati personali oggetto della richiesta di accesso, né ha esposto motivi in fatto o in diritto ostativi all’accoglimento della stessa, si rende necessario, ai sensi degli artt. 12, parr.1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento, ingiungere al Comune, ove non vi abbia già provveduto, di fornire gratuitamente all’interessato, entro trenta giorni dalla notifica del presente provvedimento, copia delle immagini di videosorveglianza richieste, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato, o, alternativamente, entro il medesimo termine, ai sensi degli artt. 12, parr. 1 e 3, 15, 58, par. 1, lett. a), del Regolamento e 157 del Codice, di informare l’Autorità e il reclamante, in merito all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere detta richiesta, fornendo un riscontro adeguatamente documentato.

Resta fermo che spetta al Comune, in qualità di titolare del trattamento, verificare la sussistenza dei presupposti previsti dalla legge ai fini dell’eventuale accoglimento (cfr., in particolare, artt. 12, par. 6, e 15, par. 4, del Regolamento e 2-undecies del Codice, anche con riguardo alla necessità di oscurare previamente eventuali immagini riferibili a terzi).

Nel caso in cui, invece, il Comune abbia già provveduto a fornire riscontro alla predetta richiesta dell’interessato, si rende necessario ingiungere al Comune, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, di informare l’Autorità di tale circostanza, fornendo, entro il medesimo termine sopra indicato, un riscontro adeguatamente documentato.

Da ultimo, con riguarda alla contestata mancata redazione del registro delle attività di trattamento, si prende atto che, con nota prot. n. XX del XX, il Comune ha dichiarato di aver provveduto ad adempiere all’obbligo in questione.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

In relazione ai predetti elementi è stata considerata la particolare natura e gravità della violazione, che si è concretizzata in un’invasiva e sproporzionata forma di sorveglianza dei cittadini, peraltro in un contesto particolarmente delicato, in cui gli stessi erano soggetti a restrizioni di carattere eccezionale per effetto delle misure di contrasto alla pandemia da SARS-CoV-2. Le forme di sorveglianza opaca degli spazi pubblici, che comportano conseguenze inaspettate sulla sfera giuridica degli interessati, possono, infatti, compromettere gravemente l’esercizio delle libertà fondamentali dei singoli, comprimere il diritto all’autodeterminazione e disincentivare la partecipazione nell’arena pubblica, fino al punto di “modificare le norme culturali” su cui si fondano le società democratiche, con la conseguenza di “ammettere come regola l’assenza di privacy” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, cit., par. 5). Né può essere invocata, al riguardo, lo stato di emergenza dovuto alla pandemia, atteso che, come evidenziato dal Comitato europeo per la protezione dei dati, “anche in questi momenti eccezionali, titolari e responsabili del trattamento devono garantire la protezione dei dati personali degli interessati” e che sebbene “l'emergenza [sia] una condizione giuridica che può legittimare limitazioni delle libertà [ciò può avvenire solo] a condizione che tali limitazioni siano proporzionate […]” (“Dichiarazione sul trattamento dei dati personali nel contesto dell’epidemia da COVID-19” adottata il 19 marzo 2020).

È stata, altresì, considerata la scarsa collaborazione offerta dal titolare del trattamento nel corso dell’istruttoria, avendo lo stesso fornito in ritardo gli elementi informativi richiesti dall’Autorità, solo a seguito di sollecitazioni da parte dell’Ufficio, talvolta in maniera incompleta ed evasiva, anche producendo documentazione scarsamente leggibile (v. copie dei cartelli informativi sulla videosorveglianza).

Di contro, si è tenuta in considerazione la circostanza che il titolare del trattamento è un Ente di modeste dimensioni (con meno di cinquemila abitanti). Non risultano, inoltre, precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento.

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 12.000 (dodicimila) per la violazione degli artt. 5, par. 1, lett. a), b) ed e), 6, 12, 13, 15 e 30 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Tenuto conto che l’attività di videosorveglianza in questione ha interessato luoghi pubblici, concretizzando un trattamento di dati personali che “consente [di rilevare] la presenza e il comportamento delle persone nello spazio considerato” (“Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, par. 2.1, cit.), senza che i soggetti ripresi fossero consapevoli dell’effettiva finalità di trattamento perseguita, con conseguente pregiudizio dei propri diritti e delle proprie libertà fondamentali, si ritiene altresì che debba applicarsi la sanzione accessoria della pubblicazione sul sito del Garante del presente provvedimento, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Salento per violazione degli artt. 5, par. 1, lett. a), b) ed e), 6, 12, 13, 15 e 30 del Regolamento, nei termini di cui in motivazione;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Comune di Salento, con sede legale in Piazza Europa, 2 - 84070 Salento (SA), C.F. 84000050652, di pagare la somma di euro 12.000 (dodicimila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune:

a) in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 12.000 (dodicimila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

b) ai sensi degli artt. 12, parr. 1 e 3, 15, parr. 1 e 3, e 58, par. 2, lett. c), del Regolamento, di fornire gratuitamente all’interessato, ove non vi abbia già provveduto, previa verifica in ordine alla sussistenza dei presupposti previsti dalla legge, entro trenta giorni dalla notifica del presente provvedimento, copia delle immagini di videosorveglianza richieste, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato;

c) alternativamente, entro il medesimo termine di cui alla precedente lett. b), ai sensi degli artt. 12, par. 3, 15, 58, par. 1, lett. a), del Regolamento e 157 del Codice, di informare l’Autorità e il reclamante, fornendo un riscontro adeguatamente documentato, in merito all’eventuale sussistenza di motivi in fatto o in diritto ostativi alla possibilità di accogliere la richiesta dell’interessato di ottenere copia dei predetti dati personali;

d) alternativamente, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, nel caso in cui il Comune abbia già provveduto a fornire riscontro alla predetta richiesta dell’interessato, di informare l’Autorità di tale circostanza, fornendo, entro il medesimo termine sopra indicato, un riscontro adeguatamente documentato.

DISPONE

la pubblicazione del presente provvedimento sul sito web del Garante ai sensi dell’art. 166, comma 7, del Codice (v. art. 16 del Regolamento del Garante n. 1/2019);

l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate in conformità all'art. 58, par. 2, del Regolamento (v. art. 17 del Regolamento del Garante n. 1/2019).

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 20 ottobre 2022

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL VICE SEGRETARIO GENERALE
Filippi