[doc. web n. 9970880]

Provvedimento del 7 dicembre 2023

Registro dei provvedimenti
n. 586 del 7 dicembre 2023

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento nei confronti del Comune di Cittadella, (di seguito, il Comune), il sig. XX ha rappresentato a questa Autorità di aver esercitato i diritti di cui agli artt. 17, 18 e 21 del Regolamento e di non avere ricevuto un idoneo riscontro.

In particolare, il reclamante ha rappresentato:

- “in data XX, lo scrivente ritirava presso Poste Italiane [… un] Verbale di contestazione di violazione del Codice della Strada, […] relativo a una presunta violazione del Codice della Strada per eccesso di velocità rilevata automaticamente”;

- “in data XX lo scrivente, a seguito della lettura del predetto Verbale e dell’accesso al portale dedicato alla verifica delle fotografie associate ai numeri di targa e alla velocità dei mezzi contravvenzionati, inviava [… una] PEC al Comune di Cittadella - Comando di Polizia Locale, esercitando i diritti di cui agli artt. 17, 18 e 21 del Regolamento Generale sulla Protezione dei Dati (RGPD), opponendosi al trattamento dei dati personali, nonché richiedendo la limitazione temporanea del trattamento e, infine, la cancellazione dei dati personali che lo riguardano, incluse le immagini o altre tipologie di dati a lui associati”.

Il reclamante ha lamentato, altresì, il mancato conferimento di un’idonea informativa da parte del Comune.

L’attività istruttoria.

Non avendo, il reclamante, ricevuto riscontro nei termini stabiliti dall’art. 12 par. 3, del Regolamento, l’Autorità ha formulato, nei confronti del Comune, un invito ad aderire (nota prot. XX del XX), ai sensi dell’art. 15 del Regolamento n. 1/2019, concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (doc. web n. 9107633).

In risposta a tale invito il Comune, (nota prot. n. XX del XX), ha fornito riscontro all’interessato, chiarendo, in particolare:

- “dalla lettura congiunta dell’art. 12 co. 1 del Regolamento [… ] oltre che dell’art. 13 e dell’art. 14 del Regolamento (EU) 2016/679, appare desumibile come l’obbligo in capo al Titolare del trattamento di informare l’interessato delle attività di trattamento di dati personali ad esso stesso riferibili possa essere adempiuto con modalità diverse, non sussistendo espressamente un vincolo in merito alla forma dell’informativa privacy, la quale nel caso di specie può essere fornita all’interessato a mezzo del sito istituzionale dell’Ente, e/o mezzo affissione in bacheca, e/o consegnando a mano una copia cartacea detenuta dall’Ufficio di polizia procedente”;

- “la gestione delle attività sanzionatorie in materia di violazione del Codice della Strada da parte del Distretto di Polizia Locale PD1A trova il proprio fondamento normativo agli artt. 11 e 12 del Decreto legislativo 30 aprile 1992, n. 285 e che pertanto una delle basi giuridiche comportanti la liceità del trattamento viene con certezza rinvenuta nell’adempimento di un obbligo legale al quale è soggetto il Titolare del trattamento, ai sensi dell’art. 6 par. 1 lett. c) Regolamento (EU) 2016/679”;

- “l’attività sanzionatoria sopra menzionata rientra nelle materie previste dall’art. 2-sexies del Decreto legislativo 196/2003 come modificato dal Decreto legislativo 101/2018, pertanto il trattamento risulta altresì giustificato da motivi di interesse pubblico rilevante ex art. 9 par. 2 lett. g) Regolamento (EU) 2016/679”;

- “dato atto della natura di soggetto pubblico del Distretto di Polizia Locale PD1A, che è convenzione ai sensi dell'art.30 del D.Lgs. n.267/2000, tra i Comuni di Cittadella (che è l'ente capofila), Campodoro, Carmignano di Brenta, Fontaniva, Galliera Veneta, Gazzo, Grantorto, San Giorgio in Bosco, Tombolo, e Villafranca Padovana, e dunque dovendosi evidenziare come l’attività di trattamento in esame sia necessaria per l’esecuzione di un compito di interesse pubblico o comunque connesso all’esercizio di pubblici poteri di cui è investito il Titolare del trattamento ex art. 6 par. 1 lett. e) Regolamento (EU) 2016/679”;

- “visto l’art. 21 co. 1 Regolamento (EU) 2016/679, in cui in particolar modo si evidenzia come il Titolare del trattamento possa non dar seguito alla richiesta dell’interessato circa l'opposizione al trattamento dei suoi dati personali, qualora dimostri la sussistenza di motivi legittimi cogenti prevalenti sugli interessi, i diritti e le libertà dell’interessato, come è il caso in esame circa la contestazione di illeciti amministrativi”;

- “dato atto altresì che il Titolare del trattamento, ai sensi dell’art. 1 co. 1 del D.Lgs. 30 aprile 1992, n. 285 persegue “La sicurezza e la tutela della salute delle persone nonché la tutela dell'ambiente, nella circolazione stradale”, le quali “rientrano tra le finalità primarie di ordine sociale ed economico perseguite dallo Stato.”, sottolineando così ulteriormente come l’attività svolta di vigilanza sul rispetto del Codice della Strada sia sorretta da esigenze di tutela della pubblica sicurezza e salute delle persone, attività svolta dal personale del Distretto P.L. PD1A dei Comuni associati, ai sensi dell'art.12/c.1 – lett. e) del già citato D.Lgs. n.285/1992”;

- “evidenziata la non sussistenza delle condizioni richieste per esercitare il diritto di opposizione di cui all’art. 21 Regolamento (EU) 2016/679, e come non sia pertanto possibile accogliere la richiesta di limitazione del trattamento di cui all’art. 18 co. 1 lettera d) Regolamento (EU) 2016/679”;

- “conseguentemente a quanto sopra, altresì non rilevandosi le motivazioni per richiedere la cancellazione dei propri dati personali ai sensi dell’art. 17 co. 1 lettera c) Regolamento (EU) 2016/679”;

- “seppure con riferimenti a normative precedenti alle attuali vigenti, nello stesso verbale sono state fornite informazioni in merito al trattamento dei dati personali, indicando senza dubbio: il titolare (Comune di Cittadella); le finalità del trattamento (notificazione di atti concernenti la commissione di illeciti amministrativi); la base giuridica per cui avviene tale trattamento (il D.Lgs. n.285/1992 – nuovo codice della strada); il fine istituzionale pubblico di polizia stradale perseguito dal medesimo ente nella gestione dei dati e nella spedizione degli atti conseguenti all'illecito accertato a carico del titolare della targa rilevata; il verbalizzante cioè colui che materialmente ha validato l'accertamento, previo esame della documentazione fotografica acquisita dal dispositivo di rilevazione, in quanto non si è in presenza di un processo decisionale automatizzato, giacché sia la validazione dell'accertamento e quindi la verbalizzazione dell'illecito, sia la sua spedizione per la notificazione al trasgressore vengono vagliati da personale in servizio presso il Corpo di P.L. Del Distretto, il cui nominativo viene riportato espressamente nel verbale stesso”;

- “stante la più volte sottolineata liceità del trattamento, rilevandosi come non esistano i presupposti per dare seguito alla richiesta di cancellazione dei dati nemmeno ai sensi dell’art. 17 co. 1 lettera d) del Regolamento (EU) 2016/679 […] si ritiene di non poter dare seguito alle Sue richieste in merito a: - opposizione al trattamento dei dati personali ai sensi dell’art. 21 Regolamento (EU) 2016/679; - limitazione del trattamento dei dati personali ai sensi dell’art. 18 co. 1 lettera d) Regolamento (EU) 2016/679; - cancellazione dei dati personali ai sensi dell’art. 17 co. 1 lettere c) e d) Regolamento (EU) 2016/679”;

- “con riferimento all’attività di trattamento relativa alla gestione delle attività sanzionatorie in materia di violazione del Codice della Strada da parte del Distretto di Polizia Locale PD1A, nonché all’attività di videosorveglianza mezzo dispositivi elettronici atti a rilevare le violazioni al Codice della Strada, le informative complete redatte ai sensi degli artt. 13 e 14 del Regolamento (EU) 2016/679 sono disponibili in formato cartaceo presso questo Ufficio di Polizia locale del Comune di Cittadella, mentre la cartellonistica di preavviso delle postazioni è affissa secondo la normativa di riferimento sui tratti stradali oggetto di controllo, e la localizzazione precisa delle postazioni stesse è indicata nel sito del Distretto di P.L. PD1A www.distrettopl.pd1a.it/postazione , con tutta la documentazione autorizzativa emessa dalle competenti Autorità”.

In risposta ad una richiesta di informazioni dell’Autorità (nota n. prot. XX del XX), il Comune (nota prot. n. XX del XX) ha fornito ulteriori elementi integrativi, tra i quali:

- “la documentazione fotografica relativa a vari cartelli informativi collocati in aree sottoposte all'attività di videosorveglianza. A tal fine si segnala che la cartellonistica più datata viene progressivamente sostituita da questo Ente, avuto riguardo alle disponibilità finanziarie dei fondi destinati complessivamente per la segnaletica stradale, al fine di addivenire all'aggiornamento di tutta la numerosa segnaletica posizionata, mentre eventuali nuovi punti di videosorveglianza vengono già di loro dotati della cartellonistica, in linea con le vigenti disposizioni di codesta Autorità”;

- “copia dell'informativa rilasciata in calce ai verbali attualmente utilizzati, segnalando che la nuova versione dell'informativa è in uso dal XX, come da documentazione in atti”;

- “copia dell'informativa estesa rilasciata agli interessati direttamente allo sportello dell'Ufficio Sanzioni, ovvero su richiesta diretta all'Ente, via posta elettronica o tramite ricezione all'Ufficio protocollo. In merito a ciò si da conto che detta informativa estesa non è mai stata richiesta allo sportello del Distretto, né è mai pervenuta richiesta a mezzo p.e.o. o p.e.c., da parte di eventuali interessati. Ai fini della sua maggiore conoscibilità, la stessa informativa è affissa all'ingresso degli sportelli per l'utenza del Corpo, da sempre, provvedendosi all'aggiornamento della stessa secondo necessità, oltre che essere resa disponibile in copia alla stessa entrata. Ai fini di una sua maggiore conoscibilità la stessa è stata inserita nel sito del Distretto in data XX, in sede di aggiornamento del sito stesso”

- “documentazione fotografica dei cartelli di avviso di alcuni dispositivi fissi di controllo della velocità affissi dall'Ente sulle strade interessate dal controllo. Si segnala a tal fine che la presenza dei cartelli e la loro idoneità circa la segnalazione del sistema di controllo, nel punto […]  ove è avvenuto l'accertamento da cui è originato il verbale oggetto del reclamo, è stata oggetto di numerosi ricorsi avanti al Prefetto e al G.d.P: ex artt.203 e 204-bis del D.Lgs. n.285/1992, venendo tutti respinti in quanto infondati”.

Con nota del XX (prot. n. XX), l’Ufficio, sulla base degli elementi acquisiti, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver dato riscontro all’esercizio dei diritti avanzato dal reclamante, oltre i termini stabiliti dall’art. 12, par. 3 del Regolamento, solo dopo l’invito inoltrato dall’Autorità, e per aver fornito un’inidonea informativa sul trattamento dei dati personali effettuato mediante sistema di videosorveglianza, in violazione del principio di “liceità, correttezza e trasparenza” di cui all’art. 5, par. 1, lett. a) e degli artt. 12, 13, 14, 17, 18 e 21 del Regolamento. 

Con la medesima nota, il Comune è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

Con nota del XX (prot. n.XX), il Comune ha chiarito:

- “pare opportuno ribadire come il trattamento dei dati personali del soggetto reclamante, sia avvenuto in seguito all'accertamento di violazione amministrativa, rilevata tramite un sistema elettronico di accertamento, regolarmente approvato dal Ministero delle Infrastrutture e dei Trasporti, che al superamento del limite di velocità del veicolo, ne fotografa la targa e la acquisisce successivamente al sistema di gestione degli accertamenti interno all'Ente. Nel caso in questione, la targa del mezzo non è stata acquisita dal sistema di rilievo solo per il fatto di essere transitata nell'area di rilevazione, ma per aver azionato il meccanismo di rilievo in seguito all'accertamento del limite di velocità. Il dispositivo impiegato (marca Autosc@nSpeed matricola n. 2021.0001 – Decreto Approvazione Ministero delle Infrastrutture e Mobilità sostenibili n. XX del XX), infatti, non funziona con la continua registrazione delle immagini di tutti i veicoli che transitano nel suo raggio di azione, ma acquisisce l'immagine fotografica del solo veicolo il quale sia stato accertato eccedere il limite di velocità, a mezzo del meccanismo di misura della velocità conglobato nella stessa apparecchiatura, che quindi prima effettua una misura senza acquisire alcun dato del veicolo, solo rilevando l'anonimo dato della massa del veicolo in movimento in un dato spazio per un dato periodo; all'esito di tale misura, in caso di positività di essa rispetto al limite imposto, si aziona la fotocamera e viene catturata la targa del veicolo”;

- “gli atti compiuti dallo scrivente Ente, sono stati tutti generati da tale violazione di norma al codice della strada […], pertanto in modo obbligatorio in seguito a quanto avvenuto, e senza discrezionalità nell'agire amministrativo;

- “circa l'istanza di opposizione al trattamento dei dati personali, sebbene si sia data risposta oltre i 30 giorni previsti, come già rilevato ed emerso in atti, è da considerare come ciò non abbia comportato alcuna lesione dei diritti dello stesso istante, giacché il diniego opposto, discendente dall'obbligatorietà dell'attività posta in essere da questo Ente, avrebbe comportato l'identico esito della vicenda, anche nel caso di maggiore tempestività nel riscontro: si sottolinea, a tal fine, come il reclamante non solo non abbia mai richiesto alcun ulteriore informazione circa il trattamento dei dati personali avvenuto nel presente caso, limitandosi ad opporsi apoditticamente e senza precisare la stessa motivazione di questa opposizione, ma all'esito della sua opposizione, concluso con un rifiuto ad aderire alla sua richiesta, non abbia in alcun modo ricorso nelle appropriate sedi ulteriori al diniego formulato alla sua istanza, con ciò definendo la vicenda relativa alla medesima richiesta del XX. A tal fine si sottolinea come lo stesso reclamante abbia comunque adempiuto alle prescrizioni del verbale, comunicando i dati del conducente del veicolo, quindi consapevole del trattamento che sarebbe stato effettuato in relazione ai suoi dati personali, acconsentendo al trattamento di ulteriori dati personali, sulla scorta dell'obbligo di legge previsto dall'art.126bis del D.Lgs. n.285/1992, che prescrive l'obbligo per il proprietario del veicolo di comunicare i dati personali del conducente: tale comportamento è chiaro segno della comprensione della finalità del trattamento dei dati personali e della base giuridica fondante le richieste di questo Corpo e legittimante tutta l'attività posta in essere”;

- “sul punto dell'accessibilità dell'informativa “completa” (resa ai sensi degli artt.13 e 14 del Regolamento UE 2016/679), si ribadisce che certo essa è affissa agli sportelli destinati all'utenza presso gli Uffici del Corpo, ed è resa altresì disponibile in copia, ma si sottolinea come sia anche disponibile per l'invio a mezzo di p.e.o. e/o p.e.c., qualora richiesta all'ufficio sanzioni. Sul punto si ritiene opportuno rappresentare come questo Ente processi mediamente 120 mila verbali di accertamento di sanzioni amministrative all'anno; di queste, per meno di un migliaio, è presentata una richiesta di accesso agli atti per acquisire la documentazione legittimante l'accertamento (foto; atto di notificazione; decreti omologazione; autorizzazioni installazione; etc.); nessuna delle richieste di accesso agli atti, riguarda o ha riguardato la questione del trattamento dei dati personali, e nello specifico la richiesta delle informazioni di cui agli artt.13 e 14 del Regolamento UE 2016/679, ad eccezione della nota di cui all'oggetto, peraltro relativa all'opposizione al trattamento e non di mera informazione”;

- “lungi dal voler comprimere i giusti diritti di informazione degli interessati, ma per segnalare come l'informativa “breve” (contenuta nei verbali) e le interlocuzioni dirette o via p.e. con il Corpo consentano un'ottimale gestione di tutto il processo sanzionatorio del Corpo anche per quanto riguarda la parte relativa alla necessaria tutela dei diritti circa i propri dati personali di ogni soggetto sanzionato per l'attività ex lege svolta dal Corpo di Polizia Locale del Comune di Cittadella”;

- “all'istanza di opposizione al trattamento dei propri dati personali relativamente al verbale n.XX si è opposta l'impossibilità ad adempiere al fine di non compiere atti contra legem omettendo la contestazione dell'illecito accertato su strada a mezzo di dispositivo automatico di rilievo”;

- “la decorrenza dei termini, pur occorsa, e la risposta all'istanza avvenuta in tempi più lunghi rispetto a quanto stabilito dalla norma, non può considerarsi in violazione dei diritti dell'interessato, per l'assenza di conseguenze in ordine alla tutela della propria posizione”;

- “il ritardo non ha comportato alcuna conseguenza in capo all'interessato in quanto la richiesta di opposizione non avrebbe comunque potuto essere accolta; peraltro lo stesso reclamante non ha inteso ricorrere avverso il verbale avanti le competenti Autorità civili (Prefetto di Padova) o giudiziarie (G.d.P. di Padova), fornendo al contrario acquiescenza allo stesso a mezzo di pagamento della sanzione subito nei 5 giorni dalla notifica, il XX, ed effettuando la dichiarazione dei dati del conducente ex art.126 del D.Lgs. n.285/1992, con atto spedito in data XX, con ciò avendo pienamente compreso non solo la correttezza del procedimento, ma anche la legittimità del trattamento effettuato da questo Corpo di P.L.. A corredo degli atti si allegano la ricevuta di pagamento e la dichiarazione resa”;

- “I dispositivi impiegati nei rilievi delle sanzioni, al contrario dei sistemi di videosorveglianza urbana, si attivano esclusivamente in caso di superamento dei limiti di velocità e solo per quei determinati veicoli oggetto dell'accertamento. Non vengono acquisite da tali strumenti dati relativi a veicoli in transito, senon vengono superati i limiti di velocità prescritti sul tratto stradale oggetto del controllo. Tale modalità organizzativa rispetta appieno i principi del GDPR in specie quanto prescritto in merito a liceità, correttezza e trasparenza del trattamento, nei confronti dell’interessato (in quanto vengono acquisiti dati solo relativi a veicoli non rispettosi delle norme sulla circolazione stradale, e non si veicoli in mero transito); limitazione della finalità del trattamento, compreso l’obbligo di assicurare che eventuali trattamenti successivi non siano incompatibili con le finalità della raccolta dei dati,che è quella di reprimere comportamenti illeciti ai sensi di legge , e secondo le prerogative d'istituto; minimizzazione dei dati: ossia, i dati rilevati sono adeguati, pertinenti e limitati esclusivamente a quanto permesse in sede di approvazione degli strumenti in questione e quindi esclusivamente per accertamenti di violazioni”;

- “Si segnala altresì come tutto il personale del Corpo, riceva una formazione adeguata e continua rispetto agli obblighi di legge relativi al trattamento dei dati personali all'interno dei procedimenti amministrativi gestiti dall'Ente, con programmi e momenti formativi condivisi con il D.P.O., a cui tramite apposita piattaforma vengono altresì girati in report di verifica di quanto appreso;

- “si è sempre lealmente e tempestivamente collaborato con codesta Autorità nel rispetto dei diritti dell'interessato e delle prerogative dell'Ente in ordine ai procedimenti sanzionatori messi in atto per le violazioni alle norme sulla circolazione stradale”;

- “le prescrizioni di cui alla nota del XX di codesta Autorità sono state riscontrate nei termini stabiliti con nota del XX”;

- “si sottolinea come tutto il procedimento di trattamento dei dati personali del soggetto reclamante sia avvenuto nel pieno rispetto della normativa speciale di settore e in esecuzione ad un obbligo legislativo gravante su questa Amministrazione comunale, in ordine alla gestione degli accertamenti di violazioni e alla contestazione di illeciti alla normativa sulla circolazione stradale. E' evidente come in tale attività vi sia continuamente da ricercare un bilanciamento arduo e difficile tra due, a volte, opposte situazioni parimenti tutelate dal Legislatore: da un lato l'interesse del singolo a vedere tutelati i propri dati personali da usi illeciti, inappropriati, ovvero non consoni rispetto al fine perseguito; dall'altro l'obbligo dell'Amministrazione comunale di dar seguito ai processi di accertamento di violazioni amministrative imposto dalla normativa specifica di settore, a tutela della sicurezza pubblica, dell'incolumità delle categorie più sensibili di utenti della strada, e del diritto alla circolazione sul territorio nazionale. Non può non rappresentarsi come si tratti di situazioni per tanti versi di conflitto, che tuttavia la capacità di gestione degli operatori, supportata da formazione continua e processi di gestione dei dati trasparenti, da un lato; e il rispetto delle attribuzioni dell'Ente, che non può abdicare alle proprie prerogative, di fronte a capziose opposizioni al trattamento dei dati, presentate strumentalmente per contrastare il giusto atto di accertamento emesso (definito con il pagamento della sanzione e la comunicazione dei dati del conducente), dall'altro, porta senza dubbio a ricomporre ogni qualvolta si possano creare attriti, come il caso presente dimostra”.

In data XXsi è tenuta l’audizione richiesta ai sensi dell’art. 166, comma 6, del Codice, nel corso della quale il Comune ha dichiarato, tra l’altro:

- l’accertamento da cui nasce il procedimento in corso dinanzi all’Autorità è un procedimento necessitato e previsto per legge, trae origine da un atto di accertamento per una violazione al CDS accertata mediante sistema di rilevazione automatica conforme alle prescrizioni del CDS. Si precisa che l’impianto di accertamento tratta i dati personali esclusivamente nel caso in cui rileva una violazione di legge. Per tali ragioni l’ente non ha ritenuto di accogliere l’istanza di opposizione al trattamento presentata dal reclamante”;

- “dall’avvio dell’istruttoria (XX) l’ente ha acquisito maggiore consapevolezza e si è attivato nell’ottica di una applicazione ancora più puntuale del RGPD, considerato che si va ad incidere sui diritti dei cittadini. Nel caso di specie, l’ente ha provveduto a modernizzare la cartellonistica riguardante i sistemi di videosorveglianza in uso tenuto comunque conto delle disponibilità economiche a disposizione. Nell’evidenziare che si tratta di un Comune di circa 20.000 abitanti, si rappresenta che si è provveduto comunque ad una complessiva rivisitazione delle modalità con le quali è resa disponibile l’’informativa pubblicando la stessa anche sul sito istituzionale dell’ente anziché solo mediante affissione nei locali della Polizia o trasmettendola, tramite e-mail, ai richiedenti”.

Nel corso dell’audizione è intervenuto anche il Responsabile della protezione dei dati (RPD) dell’ente comunale che ha sottolineato “la virtuosità del Comune che ha intrapreso un buon percorso di adeguamento privacy, provvedendo a offrire ai dipendenti un percorso di formazione, non solo ai nuovi addetti, ma anche in generale a tutto il personale, mediante webinar, anche in un’ottica di accountability” e che “vengono tenuti periodicamente degli incontri con l’ente locale che coinvolgono, di volta in volta, solo le posizioni dirigenziali e organizzative o solo i dipendenti o rivolti ad entrambi, nell’ambito dei quali il DPO ha rilevato una proattività e una sensibilità crescente che trovano riscontro anche nei quesiti e richieste di supporto che vengono sottoposti periodicamente”.

2. Esito dell’attività istruttoria.

Il trattamento dei dati personali deve avvenire nel rispetto delle disposizioni del Regolamento e del Codice.

Il trattamento dei dati personali effettuato da soggetti pubblici o gestori dei pubblici servizi è, di regola, lecito solo se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), del Regolamento). Pur in presenza di una condizione di liceità, il trattamento, in ogni caso, deve avvenire nel rispetto dei principi in materia di protezione dei dati personali, tra i quali, il principio di “liceità, correttezza e trasparenza” in base al quale i dati devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato” (art. 5, par. 1, lett. a) del Regolamento).

L’art. 12, par. 3, del Regolamento stabilisce che il titolare del trattamento debba dare riscontro – anche negativo - alla richiesta dell’interessato senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della stessa. Se non ottempera alla richiesta dell'interessato deve, in ogni caso, informare l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale (cons. 59 e art. 12, par. 4, del Regolamento).

Il Comune, nel caso di specie, avrebbe dovuto dare riscontro all’interessato -al più tardi entro un mese dal ricevimento della richiesta- dei motivi dell’inottemperanza e dell’impossibilità di accoglimento delle istanze di cancellazione, limitazione e opposizione e della possibilità di proporre reclamo a un’autorità di controllo e di proporre ricorso giurisdizionale (cfr. provvedimento n. 365 del 10 novembre 2022, doc. web. n. 9834477; provvedimento n. 224 del 1° giugno 2023, doc. web. n. 9916670; provvedimento n. 225 del 1° giugno 2023, doc. web. n. 9917702).

Nel corso dell’istruttoria, pertanto, è stata accertato il mancato riscontro all’esercizio dei diritti di cancellazione, limitazione e opposizione, in violazione del principio di “liceità, correttezza e trasparenza” di cui all’art. 5, par. 1, lett. a) nonché art. 12 (in combinato disposto con gli artt. 17, 18 e 21) del Regolamento.

Per quanto attiene, invece, la doglianza espressa dal reclamante circa il mancato conferimento di un’idonea informativa da parte del Comune, attesi gli elementi emersi nel corso dell’istruttoria (la documentazione fotografica relativa a vari cartelli informativi collocati in aree sottoposte all'attività di videosorveglianza, copia dell'informativa rilasciata in calce ai verbali aggiornata, copia dell'informativa estesa rilasciata agli interessati direttamente allo sportello dell'Ufficio Sanzioni, ovvero su richiesta diretta all'Ente, via posta elettronica o tramite ricezione all'Ufficio protocollo e affissa all'ingresso degli sportelli per l'utenza del Corpo di Polizia locale, copia dell’informativa inserita nel sito istituzionale), si dispone l’archiviazione della contestata violazione degli artt. 12, 13 e 14.

3. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ seppure meritevoli di considerazione, non consentono di superare del tutto i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per non aver fornito all’interessato riscontro all’esercizio dei diritti dell’interessato nei termini stabiliti, in violazione degli artt. 5, 12 (in combinato disposto con gli artt. 17, 18 e 21) del Regolamento.

Ciò premesso, tenuto conto che:

la violazione ha riguardato un solo interessato;

il mancato riscontro nei termini stabiliti dal Regolamento non ha comportato alcuna conseguenza in capo all'interessato in quanto le sue richieste di cancellazione, limitazione e opposizione non avrebbero comunque potuto essere accolte;

il carattere colposo della violazione;

la piena collaborazione del Comune con l’Autorità al fine di porre rimedio della violazione e attenuarne i possibili effetti negativi;

non risultano precedenti violazioni pertinenti o precedenti provvedimenti di cui all’art. 58 del Regolamento;

le circostanze del caso concreto inducono a qualificare lo stesso come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’”Endorsement 1/2018” del 25 maggio 2018.

Alla luce di tutto quanto sopra rappresentato, e dei termini complessivi della vicenda in esame, si ritiene, pertanto, sufficiente ammonire il Comune per la violazione delle disposizioni sopraindicate, ai sensi dell’art. 58, par. 2, lett. b), del Regolamento (cfr. anche cons. 148 del Regolamento).

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento dei dati personali effettuato dal Comune di Cittadella, con sede in Via Indipendenza n. 41, 35013, Cittadella (PD) – C.F. 81000370288 - per violazione degli artt. 5, 12 (in combinato disposto con gli artt. 17, 18 e 21) del Regolamento, nei termini di cui in motivazione;

b) ai sensi dell’art. 58, par. 2, lett. b) del Regolamento, ammonisce il Comune di Cittadella, per aver violato gli artt. 5, 12 (in combinato disposto con gli artt. 17, 18 e 21) del Regolamento, come sopra descritto;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 dicembre 2023

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Mattei