Il provvedimento del Garante nei confronti del Comune di Vasto offre indicazioni molto concrete per tutti gli enti locali che utilizzano sistemi foto/video per accertare violazioni al Codice della strada, come il passaggio con il semaforo rosso.
Il punto centrale è chiaro: anche quando il trattamento è lecito perché fondato su compiti istituzionali o obblighi di legge, il Comune deve comunque rispettare pienamente i principi del GDPR.
1. Informativa chiara e specifica
Non basta un cartello generico sulla videosorveglianza comunale. Se una telecamera è usata per accertare infrazioni stradali, l’informativa deve dirlo chiaramente.
Il Garante contesta l’uso di informative cumulative, riferite contemporaneamente a sicurezza urbana, tutela del patrimonio, polizia giudiziaria, traffico e Codice della strada. Le finalità devono essere distinte e comprensibili.
Il cittadino deve capire subito:
- chi tratta i dati;
- per quale finalità;
- per quanto tempo le immagini sono conservate;
- quali diritti può esercitare;
- dove trovare l’informativa completa.
2. Informativa di secondo livello facilmente reperibile
Il rinvio al sito istituzionale è possibile, anche tramite QR code, ma l’informativa estesa deve essere davvero facile da trovare. Non può essere nascosta in percorsi poco intuitivi o confusa tra documenti generici.
Per gli enti locali questo significa che l’informativa sulla videosorveglianza per violazioni al Codice della strada dovrebbe avere una sezione dedicata, accessibile e chiaramente denominata.
3. Minimizzazione: oscurare ciò che non serve
Nel caso esaminato, alcune targhe di veicoli estranei all’infrazione non erano state oscurate. Per il Garante questo integra una violazione del principio di minimizzazione.
Le immagini devono essere limitate a ciò che serve per accertare l’infrazione. Devono quindi essere oscurati, ove non necessari:
- passeggeri;
- conducenti non rilevanti;
- pedoni;
- targhe di altri veicoli;
- elementi estranei alla contestazione.
4. DPIA prima dell’avvio del trattamento
Altro passaggio fondamentale: la valutazione d’impatto non può essere fatta dopo. Per sistemi di videosorveglianza sistematica su aree pubbliche, la DPIA deve precedere l’attivazione del trattamento.
Inoltre, non basta una DPIA generica sull’intero sistema comunale. Occorre analizzare puntualmente i diversi trattamenti: videosorveglianza urbana, controllo ambientale, accertamento violazioni al Codice della strada, lettura targhe, rilevazione semaforica, ecc.
5. La sanzione
Il Garante ha rilevato la violazione degli artt. 5, 12, 13 e 35 GDPR e ha applicato una sanzione di 5.000 euro, ordinando anche al Comune di adeguare informative e DPIA entro 30 giorni.
Cosa devono fare i Comuni
Questo provvedimento ricorda che la videosorveglianza non è solo un tema tecnico o di sicurezza urbana. È anche un trattamento di dati personali che richiede progettazione, documentazione e controllo.
Ogni ente dovrebbe verificare:
- se i cartelli sono presenti e aggiornati;
- se le finalità sono specifiche e non generiche;
- se l’informativa estesa è facilmente accessibile;
- se i tempi di conservazione sono chiari e differenziati;
- se le immagini sono oscurate quando necessario;
- se la DPIA è stata svolta prima dell’attivazione del sistema;
- se il DPO è stato coinvolto e il suo parere è documentato.
La regola pratica è semplice: prima si progetta il trattamento, poi si installa il sistema. Non il contrario.
Lascia un commento