Sanzione di 45.000 euro ad un comune

Il Garante della Privacy, con un provvedimento del 18 luglio 2023 (n. 9920578), ha comminato una sanzione di 45000 euro ad un comune siciliano su segnalazione di un cittadino per aver installato alcune telecamere per il controllo della raccolta differenziata dei rifiuti in violazione della disciplina che tutela i dati personali.

Inoltre sono state sanzionate due ditte (per 10.000 e 5.000 euro) incaricate dal Comune dell’acquisto, installazione e manutenzione di telecamere fisse, e della raccolta e analisi dei filmati relativi alle violazioni.

La segnalazione

La segnalazione è stata conseguente alla trasmissione di un verbale di contestazione di violazione di una ordinanza di divieto di abbandono di rifiuti in una determinata area.

Il segnalante ha lamentato che gli accertamenti della violazione, attraverso la visione dei filmati, sarebbero avvenuti più di un mese dopo la data in cui gli stessi filmati sono stati registrati. Ed ha contestato l’assenza di un’idonea informativa sul trattamento dei dati personali, essendo stato apposto un cartello informativo direttamente sul cassonetto, non facilmente visibile e privo dell’indicazione del titolare del trattamento e delle finalità perseguite.

Le contestazioni

Il Garante, nel caso di specie, ha contestato al Comune e alle due società incaricate di non avere designato le società stesse come Responsabili del trattamento dei dati e, per quanto riguarda il Comune, di non avere predisposto un cartello di informazione della videosorveglianza posizionato in modo da permettere all’interessato di riconoscere facilmente le circostanze della sorveglianza, prima di entrare nella zona sorvegliata.

Inoltre, non sono stati adeguati i tempi di conservazione delle immagini (sono state viste dopo 30 giorni). Il Garante sottolinea che spetta al titolare del trattamento individuare i tempi di conservazione delle immagini, tenuto conto del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche; ciò salvo che specifiche norme di legge non prevedano espressamente determinati tempi di conservazione dei dati. Nella maggior parte dei casi “tenendo conto dei principi di cui all’articolo 5, paragrafo 1, lettere c) ed e), del RGPD, vale a dire la minimizzazione dei dati e la limitazione della loro conservazione, i dati personali dovrebbero essere […] cancellati dopo pochi giorni, preferibilmente tramite meccanismi automatici. Quanto più prolungato è il periodo di conservazione previsto (soprattutto se superiore a 72 ore), tanto più argomentata deve essere l’analisi riferita alla legittimità dello scopo e alla necessità della conservazione”.

Resta la possibilità di estendere la conservazione a 7 giorni quando la finalità della videosorveglianza è quella della sicurezza urbana (per esempio se le riprese sono realizzate non al solo scopo di prevenire ed accertare illeciti c.d. amministrativi da parte dei cittadini, ma anche per ragioni di prevenzione e di dissuasione di illeciti (atti vandalici, furti etc.).

Le indicazioni pratiche

Alla luce del provvedimento del Garante, si ricordano le misure che devono essere adottate per il lecito trattamento dei dati con telecamere in relazione all’abbandono di rifiuti, affidando l’incarico a soggetti terzi appaltatori del servizio, sono i seguenti:

a) Deve essere adottato a monte un regolamento per la videosorveglianza che preveda, tra le finalità per la videosorveglianza, anche quella di accertamento delle violazioni alla disciplina ambientale in relazione all’abbandono di rifiuti

b) Deve essere posizionato un cartello informativo della presenza della telecamera in prossimità dell’area videosorvegliata. Il cartello deve essere conforme a quello approvato dal Garante della privacy e visibile sul sito del garante alla sezione videosorveglianza.

c) Deve altresì essere pubblicata una informativa completa ai sensi dell’art. 14 del Reg. UE 2016/679 (informativa di secondo livello) che deve essere pubblicata sul sito istituzionale dell’Ente

d) Se, come nel caso trattato dal Garante, l’Ente affida all’appaltatore l’acquisto e l’utilizzo delle telecamere di videosorveglianza per l’abbandono di rifiuti (spesso diviene una delle obbligazioni del contratto di raccolta rifiuti) il soggetto terzo deve essere designato Responsabile del Trattamento dei dati ai sensi dell’art. 28 del Regolamento UE 2016/679. Nel contratto di designazione deve essere specificata la finalità della videosorveglianza, il tempo di conservazione delle immagini e le modalità di trattamento dei dati in modo dettagliato. I dipendenti dell’appaltatore che eseguiranno l’accesso alle immagini devono essere espressamente autorizzate a tale trattamento da parte dell’appaltatore designato Responsabile del trattamento dei dati.

e) Infine si ricorda che anche tale impianto di videosorveglianza deve essere sottoposto a DPIA in quanto trattasi di in un impianto fisso che registra immagini sicché è sottoposto alla valutazione di impatto di cui all’art. 35 del GDPR.