Videosorveglianza non corretta:il comune paga 4 mila euro con l'obbligo di conformazione alle regole stabilite dal garante
Contesto del caso
Una cittadina ha presentato reclamo contro il Comune di Arvier (Valle d'Aosta) sostenendo che una telecamera comunale di videosorveglianza riprendesse anche la propria abitazione privata. Il Garante ha avviato un'istruttoria per verificare la conformità dell'impianto alle norme del GDPR e del Codice Privacy.
Cosa ha dichiarato il Comune
Il Comune ha sostenuto che:
- il sistema di videosorveglianza era stato installato tra il 2011 e il 2012 e successivamente ampliato;
- le finalità erano sicurezza urbana, controllo del territorio, tutela del patrimonio comunale, monitoraggio della viabilità, controllo dei parcheggi e protezione civile;
- la telecamera contestata era destinata a controllare un parcheggio pubblico, un'area di raccolta rifiuti e la viabilità vicino alla scuola;
- la ripresa della facciata dell'abitazione derivava da esigenze tecniche di posizionamento;
- dopo il reclamo è stato applicato un sistema di privacy masking che oscura permanentemente la parte dell'immobile privato ripresa dalla telecamera.
Le violazioni contestate dal Garante
1. Assenza di una valida base giuridica
La contestazione principale riguarda il fatto che il Comune non ha individuato una base giuridica sufficientemente chiara e specifica per molte delle finalità perseguite mediante le telecamere.
Secondo il Garante:
- le norme del TUEL richiamate dal Comune attribuiscono competenze amministrative agli enti locali ma non disciplinano l'uso della videosorveglianza;
- le norme regionali della Valle d'Aosta citate riguardano principalmente il finanziamento degli impianti e non costituiscono base giuridica per il trattamento dei dati personali;
- un regolamento comunale non può introdurre trattamenti di dati personali che non trovino fondamento in una norma di rango superiore.
Conclusione: il trattamento è stato effettuato in violazione dei principi di liceità, correttezza e trasparenza previsti dal GDPR.
2. Ripresa indebita dell'abitazione privata
L'istruttoria ha accertato che la telecamera:
- riprendeva la facciata dell'abitazione della reclamante;
- rendeva visibili balconi, finestre e portefinestre.
Per il Garante:
- tali riprese non erano necessarie per le finalità dichiarate;
- costituivano un'ingerenza sproporzionata nella vita privata;
- violavano il principio di minimizzazione dei dati.
Il Garante evidenzia che il sistema di oscuramento digitale adottato successivamente avrebbe dovuto essere implementato fin dall'inizio.
3. Informative inadeguate ai cittadini
Il Comune non ha garantito una corretta informazione agli interessati. In particolare:
Cartelli informativi
I cartelli inizialmente installati:
- erano pochi rispetto all'estensione dell'area videosorvegliata;
- facevano riferimento a generiche esigenze di sicurezza;
- richiamavano norme ormai superate. [
Successivamente sono stati sostituiti da cartelli provvisori, ma anche questi presentavano criticità.
Informativa estesa
L'informativa pubblicata sul sito:
- non è sempre risultata accessibile;
- conteneva indicazioni imprecise o errate;
- descriveva finalità troppo generiche;
- indicava alcuni diritti non applicabili alla videosorveglianza;
- non chiariva adeguatamente le basi giuridiche del trattamento.
Il Garante ha quindi accertato la violazione degli obblighi di trasparenza previsti dagli articoli 12 e 13 del GDPR.
4. Valutazione d'impatto (DPIA) insufficiente
Il Comune sosteneva di avere effettuato una valutazione d'impatto sulla protezione dei dati nel luglio 2018.
Tuttavia il Garante ha ritenuto il documento:
- troppo generico;
- privo di una descrizione dettagliata del sistema;
- carente nell'analisi delle finalità di trattamento;
- insufficiente nella valutazione dei rischi e delle misure di mitigazione.
Per questo è stata accertata la violazione dell'articolo 35 del GDPR.
Decisione del Garante
Il Garante ha dichiarato illecito il trattamento effettuato dal Comune di Arvier per violazione degli articoli:
- 5 GDPR (liceità, correttezza, trasparenza e minimizzazione);
- 6 GDPR (base giuridica del trattamento);
- 12 e 13 GDPR (informativa);
- 25 GDPR (privacy by design e by default);
- 35 GDPR (valutazione d'impatto);
- articolo 2-ter del Codice Privacy.
Misure correttive imposte
Il Comune è stato obbligato a:
- censire tutte le telecamere presenti sul territorio;
- individuare con precisione le finalità perseguite da ciascuna telecamera;
- individuare una base giuridica valida per ciascun trattamento;
- evitare riprese di abitazioni private o aree non necessarie;
- adottare eventuali sistemi di mascheramento delle immagini;
- svolgere una nuova e completa DPIA;
- riscrivere le informative di primo e secondo livello.
Il Comune dovrà inoltre comunicare entro 30 giorni le azioni adottate per conformarsi al provvedimento.
Sanzione
Il Garante ha ritenuto che:
- le violazioni fossero di gravità media;
- non vi fossero precedenti specifici;
- il Comune avesse collaborato durante l'istruttoria.
Tenendo conto delle dimensioni ridotte dell'ente (circa 800 abitanti), è stata applicata una sanzione amministrativa di 4.000 euro. Inoltre il provvedimento è stato disposto per la pubblicazione sul sito del Garante.
In sintesi
Il Garante non ha contestato l'esistenza in sé del sistema di videosorveglianza, ma ha rilevato che il Comune:
- non aveva una base giuridica adeguata per diverse finalità di trattamento;
- riprendeva inutilmente parte di un'abitazione privata;
- non informava correttamente i cittadini;
- non aveva eseguito una valida valutazione d'impatto privacy.
Per questi motivi ha dichiarato illecito il trattamento, imposto misure correttive e irrogato una sanzione di 4.000 euro.