Non basta essere un ente pubblico per installare telecamere sulle strade e conservare per un lungo periodo i dati personali degli automobilisti. Prima di realizzare questi progetti è meglio effettuare valutazioni preliminari rigorose sulla data governance, e redigere documenti pertinenti, informative e cartelli, con tanto di un'approfondita valutazione di impatto privacy.
Lo ha evidenziato il Garante per la protezione dei dati personali con il provvedimento n. 531 del 25 settembre 2025 che ha sanzionato la Provincia Autonoma di Bolzano con una severa misura punitiva ordinando anche il blocco del complesso sistema informativo costituito da 124 telecamere di lettura targhe installate sui principali passi dolomitici. L' impianto, formalmente finalizzato al monitoraggio dei flussi di traffico e all’adozione di eventuali misure ambientali, è stato ritenuto non conforme alla disciplina in materia di protezione dei dati personali e al titolare del trattamento è stata applicata una sanzione amministrativa pecuniaria di 32.000 euro. L’istruttoria, avviata a seguito di notizie di stampa, ha evidenziato una serie di violazioni strutturali. Innanzitutto l’assenza di una base giuridica adeguata, poiché la normativa provinciale invocata non specificava in modo chiaro né le finalità né le condizioni per l’uso dei sistemi di lettura targhe. Inoltre, il trattamento è risultato sproporzionato rispetto alle finalità dichiarate, poiché i dati pseudonimizzati venivano conservati fino a due anni – un periodo ritenuto eccessivo e privo di una giustificazione documentata. Il Garante ha censurato anche il contenuto delle informative stradali rivolte agli interessati che risultavano carenti dei dati fondamentali come l'esatta finalità del trattamento, i diritti degli interessati e i tempi di conservazione dei tracciati. Secondo la Provincia poi i dati raccolti sulle strade venivano impropriamente considerati come “anonimi”, nonostante la targa fosse solo mascherata e dunque facilmente riconducibile al veicolo e al relativo proprietario. Si è trattato, quindi, di una pseudonimizzazione e non di un’anonimizzazione, con tutte le conseguenze in termini di applicazione integrale del GDPR. Un ulteriore profilo critico ha riguardato la contitolarità del trattamento tra la Provincia di Bolzano e quella di Trento, che avevano collaborato nella gestione del progetto senza tuttavia formalizzare un accordo scritto ai sensi dell’articolo 26 del Regolamento. Mancava inoltre una valutazione d’impatto sulla protezione dei dati (DPIA), nonostante la tipologia di trattamento – su larga scala e tramite dispositivi automatizzati di identificazione veicolare – ne imponesse l’obbligatorietà. Alla luce di tali elementi, l’Autorità ha disposto non solo la sanzione pecuniaria , ma anche l’ ordine di cancellazione integrale dei dati raccolti e il divieto di ogni ulteriore trattamento . Il provvedimento rappresenta un precedente di rilievo per tutte le amministrazioni pubbliche che intendano utilizzare sistemi di analisi del traffico basati su numeri di targa o altri identificativi veicolari. Anche se inseriti in progetti di mobilità sostenibile o di controllo ambientale, tali dati restano a pieno titolo “personali” e richiedono il rispetto rigoroso e la valutazione preliminare dei principi di liceità, minimizzazione e trasparenza. La vicenda conferma, in conclusione, che la frontiera tra mobilità intelligente e videosorveglianza pubblica è sempre più sottile . La pseudonimizzazione non basta a sottrarre i dati alla tutela del GDPR , e la tecnologia dei varchi elettronici impone un’attenzione costante alla conformità documentale, in particolare per quanto riguarda base giuridica, DPIA, accordi di contitolarità e tempi di conservazione. Ma anche informative chiare, a partire dai cartelli stradali. E infine attenzione all'imminente impatto sulla complessa materia anche del Regolamento Europeo sull'Ai act. Di seguito, la richiesta di replica, ai sensi dell’articolo 8 L. 47/1948, da parte degli avvocati incaricati dalla Provincia per l'opposizione giudiziale al provvedimento del Garante: “ Si informa che l’ordinanza-ingiunzione n. 531 del 25.9.2025 del Garante per la protezione dei dati personali emessa nei confronti della Provincia di Bolzano è stata opposta, avanti al Tribunale competente in data 6.11.2025, dunque la correttezza giuridica del provvedimento è sub iudice. Inoltre, il Tribunale ne ha deciso, per il momento, la sospensione inaudita altera parte. Appare pertanto oggettivamente prematuro trarre conclusioni in diritto di qualsiasi tipo in merito ad asserite violazioni dell’Ente. Tanto premesso, si contesta recisamente la correttezza dell’assunto giuridico, ripetuto nell’articolo di codesta Rivista, secondo il quale “La pseudonimizzazione non basta a sottrarre i dati alla tutela del GDPR”. In effetti, il formante giuridico della Corte di giustizia dell’Unione europea ha ampiamente chiarito che i dati pseudonimizzati possono ben essere “impersonali” e come tali sottratti al GDPR, cfr. da ultimo la ben nota sentenza CGUE del 4.9.2025, appello Deloitte, C-413/23 P. Nella specie, è altresì utile precisare, ai fini di una corretta intelligenza della vicenda commentata, che gli pseudonimi sono stati costruiti in modo da non essere più reversibili matematicamente negli input originari, impossibilità che vale anche per la Provincia stessa (a cui non sono peraltro mai comunicati) e per il suo fornitore, a conferma di una virtuosa struttura di tutela dei diritti. In proposito, è decisivo evidenziare che nella vicenda che ci occupa non sono trattati dati personali, poiché le targhe sono cancellate – by design – decorsi al massimo 60 secondi dalla loro acquisizione e non sono mai raccolte le informazioni ulteriori (visure PRA) necessarie all’individuazione dei titolari dei veicoli. Risulta perciò fattualmente inesatta, e idonea a ingenerare confusione nel lettore, l’asserzione secondo la quale “la targa fosse solo mascherata e dunque facilmente riconducibile al veicolo e al relativo proprietario”. Ulteriore inesattezza reca l’affermazione secondo cui “mancava inoltre una valutazione d’impatto sulla protezione dei dati (DPIA)”. Infatti, a una lettura appena attenta dell’ordinanza-ingiunzione, risultano effettuate ben due valutazioni d’impatto: “Deve comunque osservarsi che la documentazione prodotta in atti […] consiste in due documenti, entrambi denominati ‘Valutazione di impatto sulla protezione dei dati relativi al sistema di rilevazione dei flussi di traffico veicolare sui passi dolomitici’, ecc.”. Preme, in conclusione, sottolineare che la Provincia ha operato nel pieno rispetto della normativa, adottando soluzioni di minimizzazione, dirette unicamente alla comprensione dei flussi di traffico, senza impatti individuali. Il monitoraggio del traffico, infatti, non è monitoraggio di persone, non persegue finalità identificative o sanzionatorie di condotte stradali (lo conferma lo stesso Garante), è anzi espressamente disegnato per non trattare informazioni collegabili a persone, tanto da eliminare prontamente anche i precursori di un ipotetico trattamento ”.