Photored, tra informativa privacy e valutazione d’impatto

Il Garante Privacy, in riferimento a un sistema Photored installato da un Comune campano, ha evidenziato la necessità di adottare informativa privacy e valutazione d’impatto.

La vicenda

Alcuni utenti della strada, presso un Comune campano, hanno lamentato la presunta violazione della disciplina in materia di protezione dei dati personali mediante l’utilizzo di un sistema di videosorveglianza ai fini dell’accertamento delle infrazioni per passaggio con semaforo rosso (Photored).

Veniva rilevata l’omissione, da parte del Comune, dell’informativa privacy e della valutazione d’impatto.

I requisiti privacy

Per l’installazione di dispositivi Photored, oltre alla necessità di un provvedimento formale di autorizzazione, quale la delibera della Giunta comunale (Cass. civ., Sez. I, 11/11/2005, n. 21847) è indispensabile che l’ente si doti anche di DPIA specifica e informativa privacy.

Cartello di avvertimento

Quando siano impiegati dispositivi video, il titolare del trattamento deve anzitutto rendere l’informativa di primo livello mediante apposizione di segnaletica di avvertimento in prossimità della zona sottoposta a videosorveglianza.

Le informazioni di primo livello (cartello di avvertimento) “dovrebbero comunicare i dati più importanti, ad esempio le finalità del trattamento, l’identità del titolare del trattamento e l’esistenza dei diritti dell’interessato, unitamente alle informazioni sugli impatti più consistenti del trattamento” (Linee guida del Comitato, par. 114).

Info “inaspettate”

La segnaletica deve contenere, inoltre, le informazioni che potrebbero risultare inaspettate per l’interessato.

Informativa privacy di secondo livello

Il titolare è tenuto a fornire agli interessati delle “informazioni di secondo livello”, che devono “contenere tutti gli elementi obbligatori a norma dell’articolo 13 del [Regolamento]” ed “essere facilmente accessibili per l’interessato, ad esempio attraverso un pagina informativa completa messa a disposizione in uno snodo centrale […] o affissa in un luogo di facile accesso”.

Privacy quando si raccolgono tanti dati

In riferimento al secondo presupposto, il Garante rammenta come essa è sempre richiesta in caso di “sorveglianza sistematica su larga scala di una zona accessibile al pubblico”, che consente la raccolta di numerosissimi dati anche inerenti all’ubicazione e alla circolazione degli interessati.

Art. 35 del Regolamento

Obbliga i titolari a svolgere la valutazione di impatto prima di dare inizio al trattamento, anche considerando che tale strumento è idoneo a comprovare la responsabilizzazione (accountability) del titolare nei confronti del trattamento effettuato (Provvedimento n. 162 del 28 aprile 2022).

Non avendo redatto una valutazione d’impatto sulla protezione dei dati in data certa anteriore a quella di avvio del trattamento, il Garante ha concluso che il Comune abbia agito in violazione dell’art. 35 del Regolamento.

LEGGI ANCHE GDPR, semaforo e Comune, chi vince?

Autovelox e telecamere al semaforo con una differenza: il cartello

Sanzione attenuata

In senso favorevole al Comune, il Garante ha considerato due aspetti.

Anzitutto, il carattere colposo della violazione, atteso l’erroneo convincimento iniziale da parte del Comune sulla non sussistenza dell’obbligo di tali adempimenti che sono stati effettuati non appena avviata l’istruttoria (art. 83, par. 2, lett. b) del Regolamento).

Inoltre, i trattamenti in parola non sono relativi a categorie particolari di dati (art. 83, par. 2, lett. g).

Alla luce di ciò, il livello di gravità della violazione commessa dal titolare del trattamento è stato considerato di grado medio.

Ai fini della quantificazione della sanzione, è stato preso in considerazione, in senso favorevole al Comune, che non risultavano precedenti violazioni pertinenti commesse dal titolare del trattamento.

Quando il Comune collabora

Pure che il grado di cooperazione manifestato dal titolare con l’autorità di controllo per porre rimedio alla violazione e attenuarne i possibili effetti negativi, è stato un aspetto che ha portato all’attenuazione della sanzione.

E ciò tenendo conto che lo stesso ha tempestivamente provveduto a fornire l’informativa di primo livello tramite affissione dei cartelli in prossimità dei sistemi video installati in cinque punti del territorio cittadino.

Ma anche a pubblicare un’informativa di secondo livello sul sito istituzionale, nonché a redigere la valutazione d’impatto (art. 83, par. 2, lett. f) del Regolamento).

Per l’effetto, l’ammontare della sanzione pecuniaria è stata determinata in euro 6.000,00, ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Emanuele Mattei