L'installazione dei dispositivi per la lettura automatica delle targhe dei veicoli nel centro abitato impone una rigorosa valutazione della protezione dei dati personali. Prima di attivare tali strumenti, infatti, il comune deve predisporre una valutazione d’impatto, formare i propri dipendenti, formalizzare i processi di gestione, dettagliare le informative e stipulare un patto per la sicurezza con la prefettura.
È quanto evidenziato dal Garante per la protezione dei dati personali con il provvedimento sanzionatorio numero 805 del 19 dicembre 2024, adottato a carico di un piccolo comune ligure. Il caso ha avuto origine da un articolo di stampa che segnalava l' installazione di telecamere dotate di funzionalità di lettura automatizzata delle targhe , utilizzate per studiare i flussi turistici, verificare la regolarità della circolazione e supportare gli organi di polizia. L'utilizzo di tali dispositivi è stato successivamente confermato da un comunicato ufficiale pubblicato sul sito istituzionale dell'ente, nel quale si dichiarava che il sistema di videosorveglianza locale comprendeva “ 121 telecamere di ultima generazione ”, di cui sei destinate alla lettura delle targhe agli ingressi cittadini. Tali dispositivi erano impiegati non solo per il controllo della regolarità amministrativa dei veicoli, ma anche per «analizzare il flusso di provenienza dei veicoli, suddividendoli per nazione e per provincia valutare il livello di inquinamento del parco veicolare, analizzando l'omologazione euro dei veicoli identificare le caratteristiche estetiche e strutturali dei mezzi, tra cui il colore, la dimensione e la marca». Nel comunicato il comune evidenziava che tali funzionalità avrebbero avuto anche una valenza investigativa , dichiarando che il sistema consentiva di «fare ricerche sul colore, la dimensione e la marca dei veicoli vale a dire le caratteristiche che immediatamente emergono dalle prime testimonianze di chi ha assistito al transito di auto in fuga da incidenti o da rapine e furti». L'utilizzo di sistemi di videosorveglianza da parte dei comuni, specifica innanzitutto il collegio, è regolato da un quadro normativo specifico che ne consente l'impiego per finalità di prevenzione e contrasto alla criminalità diffusa e predatoria, previa stipula di un accordo con la Prefettura territorialmente competente. In particolare, a parere dell'estensore del provvedimento l'articolo 4 e 5, comma 2, lett. a , d.l. 20 febbraio 2017, numero 14 prevedono che l'installazione di telecamere da parte dei comuni avvenga nell'ambito di “ patti per l'attuazione della sicurezza urbana ” sottoscritti con la Prefettura. Mentre l' articolo 6, commi 7 e 8, d.l. 23 febbraio 2009, numero 11 stabilisce che i filmati acquisiti tramite videosorveglianza urbana possano essere conservati per un massimo di sette giorni, salvo specifiche esigenze investigative o di pubblica sicurezza. L'Autorità ha accertato che il comune aveva conservato i dati derivanti dalla lettura delle targhe per un periodo di 180 giorni , un arco temporale notevolmente superiore rispetto al limite massimo di legge. Nel provvedimento si legge infatti che «il trattamento di dati personali in questione, peraltro per un arco temporale significativamente più lungo rispetto al termine di sette giorni previsto per la conservazione dei filmati di videosorveglianza, non trova fondamento in una idonea base giuridica ». Un ulteriore profilo di criticità riguarda la mancanza di un'adeguata base giuridica per il trattamento dei dati. L'istruttoria ha infatti evidenziato che i patti per la sicurezza urbana stipulati dal comune con la prefettura non contemplavano l'impiego di telecamere con funzionalità di lettura automatizzata delle targhe per finalità di sicurezza urbana . Il Garante sottolinea che «nel caso di specie, i trattamenti di dati personali effettuati non possono essere ricondotti alla disciplina in materia di videosorveglianza per la tutela della sicurezza urbana di cui agli articolo 4 e 5, co. 2, lett. a , d.l. 20 febbraio 2017, numero 14». Ne consegue che il comune ha trattato dati personali in assenza di una idonea base giuridica e al di fuori del perimetro normativo che consente l'uso della videosorveglianza per finalità di sicurezza urbana . Attenzione anche alle informative di primo e secondo livello il classico cartello e l'informativa correlata. Nel caso di specie, prosegue il collegio, «il comune ha prodotto in atti copia di un cartello, contenente l'informativa sul trattamento dei dati personali di primo livello. Tale informativa non risulta, tuttavia, conforme ai requisiti previsti dal regolamento, in quanto le finalità di trattamento sono indicate in modo del tutto generico - sicurezza e tutela delle persone fisiche e del patrimonio del comune -, non vi è alcuna menzione delle finalità amministrative connesse alla verifica dell'assolvimento degli obblighi in materia di revisione e assicurazione previsti dal codice della strada , né è indicata la base giuridica del trattamento è indicato il periodo di conservazione delle immagini -7 giorni - ma non vi è alcuna indicazione in relazione al tempo di conservazione dei dati relativi ai numeri di targa, pari a 180 giorni i dati di contatto del responsabile della protezione dei dati RPD, indicati nel cartello, coincidono con l'indirizzo PEC istituzionale del comune, gli interessati non essendo stati, pertanto, messi in condizione di contattare direttamente il RPD è indicato un sito web sul quale gli interessati possono rinvenire il testo dell'informativa completa di secondo livello, che non corrisponde all'indirizzo sul quale, come dichiarato dal comune, tale informativa sarebbe stata effettivamente pubblicata … . Quanto alla circostanza che il testo dell' informativa di secondo livello fosse comunque a disposizione degli interessati presso la sede del comune, deve osservarsi che l'articolo 12, par. 1, del regolamento prevede che l'informativa di cui all'articolo 13 del regolamento debba essere facilmente accessibile agli interessati. A tal riguardo, il Comitato europeo per la protezione dei dati ha affermato che le informazioni di secondo livello devono essere facilmente accessibili per l'interessato, ad esempio attraverso una pagina informativa completa messa a disposizione in uno snodo centrale o affissa in un luogo di facile accesso. Ciò, tuttavia, sul presupposto che tale snodo centrale si trovi in prossimità della zona soggetta a videosorveglianza. Diversamente, allorquando i dispositivi di videosorveglianza siano distribuiti in maniera diffusa su un'ampia area geografica, ovvero, come nel caso di specie, sull'intero territorio comunale, l'informativa di primo livello deve rimandare necessariamente a un'informativa di secondo livello reperibile online , in maniera tale che gli interessati possano facilmente accedere alla stessa, senza doversi fisicamente recare presso la sede del titolare del trattamento, cosa che determinerebbe un effetto disincentivante e richiederebbe agli interessati uno sforzo che non può ritenersi proporzionato a quello minimo che, invece, sopporterebbe il titolare per la pubblicazione online del testo dell'informativa». Ma attenzione ai documenti troppo sintetici. Quanto al testo dell'informativa di secondo livello, prosegue il severo provvedimento, «deve rilevarsi che lo stesso, menzionando contestualmente più finalità di trattamento, senza specificare quali dispositivi video siano utilizzati per perseguire ciascuna distinta finalità di trattamento, non consente agli interessati di essere debitamente informati in merito alle effettive finalità di trattamento perseguite caso per caso. In particolare, occorre rilevare che la finalità di trattamento connessa al controllo dell'abbandono di rifiuti non può essere perseguita con le medesime telecamere di videosorveglianza che riprendono ad ampio raggio la pubblica via per finalità di sicurezza urbana , potendo, invece, gli Enti locali utilizzare dispositivi video collocati in specifiche e circoscritte aree, su cui insiste un effettivo rischio di illecito abbandono di rifiuti o scorretto conferimento degli stessi, a condizione che tali aree siano debitamente segnalate con cartelli informativi e solo se non risulta possibile, o si riveli non efficace, il ricorso a strumenti e sistemi di controllo alternativi ciò comunque nel rispetto del principio di minimizzazione dei dati, che impone di configurare tali dispositivi con un angolo di visuale circoscritto alle aree interessate dai predetti fenomeni, tipicamente caratterizzate da scarsa o limitata presenza umana. Pertanto, l'informativa in questione avrebbe dovuto specificare che tale finalità di trattamento si riferiva esclusivamente alle due telecamere a sorveglianza delle isole ecologiche, indicando chiaramente le specifiche aree su cui insistono le stesse, dovendosi, comunque, osservarsi che la l. 9 ottobre 2023, numero 137 , di conversione del d.l. 10 agosto 2023, numero 105 , ha modificato l' articolo 255 del d.lgs. 3 aprile 2006, numero 152 , attraendo all'area penale talune condotte rilevanti in materia di tutela ambientale, prima sanzionate in via amministrativa. L'informativa menziona, inoltre, una finalità di trattamento del tutto generica e non fa alcun riferimento alle finalità amministrative, perseguite dall'ente, connesse alla verifica dell'assolvimento degli obblighi in materia di revisione e assicurazione obbligatoria di cui al Codice della Strada, non essendo indicati i cinque dispositivi video - con i relativi siti d'installazione - utilizzati per tali finalità di trattamento».
Provvedimento del 19 dicembre 2024, numero 805