Anche i tradizionali sistemi di controllo automatico dell’accesso abusivo alle zone a traffico limitato devono rispettare i principi fondamentali in materia di protezione dei dati, a partire dall’obbligo di cartelli stradali, informative e massima trasparenza. Ma, a differenza degli altri sistemi sanzionatori stradali, in questo caso non è sempre necessario redigere anche una valutazione di impatto sulla privacy.
Lo ha evidenziato il Garante per la protezione dei dati personali con il provvedimento n. 168 del 27 marzo 2025, che ha sanzionato il Nuovo Circondario Imolese per aver gestito il sistema ZTL di Imola senza un’adeguata informativa di primo e secondo livello. Il nodo contestato non era tanto l’uso del sistema di controllo automatico degli accessi abusivi - ritenuto lecito e tecnicamente isolato dalla videosorveglianza tradizionale - quanto la mancata trasparenza nella comunicazione agli interessati. Per oltre un anno, infatti, i cartelli alle porte della ZTL riportavano ancora il Comune di Imola come titolare del trattamento, nonostante la gestione fosse passata all’Unione dei comuni, denominata Nuovo Circondario Imolese, e mancava sul sito istituzionale un’informativa estesa conforme all’articolo 13 GDPR. Il Garante ha ritenuto che il trattamento fosse illecito per violazione degli articolo 5, 12 e 13 del GDPR e ha inflitto all’Ente locale una modesta sanzione amministrativa. Tuttavia, ha archiviato la contestazione relativa alla valutazione d’impatto, accogliendo l’argomentazione secondo cui il sistema ZTL non comporta un rischio elevato per i diritti e le libertà degli interessati, poiché limitato alla rilevazione delle targhe e senza innovazioni tecnologiche invasive che attiverebbero la DPIA. Il provvedimento conferma così che anche i sistemi tradizionali, seppur legittimi, non possono derogare ai doveri di chiarezza, trasparenza e corretta attribuzione della titolarità del trattamento. Ma fissa anche un importante precedente: per i varchi ZTL non è automaticamente obbligatoria una valutazione d’impatto, a condizione che il trattamento non sia sistematico, invasivo o particolarmente innovativo. Una linea interpretativa utile per moltissimi enti locali ancora alle prese con la regolarizzazione dei propri sistemi automatici. In particolare, dopo che con il procedente provvedimento n. 766 del 12 dicembre 2024 il comune di Portici era stato sanzionato dal Garante per non aver effettuato la DPIA prima di attivare il controllo sanzionatorio automatico del passaggio semaforico.
Provvedimento del 27 marzo 2025, n. 168