Multa per il semaforo rosso: anche se valida il Comune non deve violare il GDPR

lentepubblica.it

Multa per il semaforo rosso valida, ma il Comune viola il GDPR: il Garante Privacy infligge una sanzione da 5.000 euro.

Una violazione del Codice della strada può essere accertata correttamente, ma ciò non esonera la Pubblica Amministrazione dal rispettare le regole sulla protezione dei dati personali. È questo il principio che emerge da un recente provvedimento del Garante per la protezione dei dati personali, che ha sanzionato il Comune di Vasto con una multa di 5.000 euro a seguito delle modalità con cui è stato gestito il trattamento dei dati raccolti da un sistema di rilevazione automatica delle infrazioni semaforiche.

La vicenda nasce da un automobilista che aveva ricevuto un verbale per essere transitato con il semaforo rosso. La contestazione dell’infrazione, però, ha aperto un fronte completamente diverso: quello del rispetto del Regolamento europeo sulla protezione dei dati (GDPR). Il Garante ha infatti accertato una serie di irregolarità che nulla avevano a che vedere con la legittimità della sanzione stradale, ma riguardavano esclusivamente il modo in cui il Comune aveva raccolto, conservato e comunicato i dati personali degli interessati.

La multa per il passaggio con il rosso non era il vero problema

Il procedimento prende avvio dal reclamo presentato da un cittadino, destinatario di una contravvenzione per violazione dell’articolo 146 del Codice della strada, rilevata attraverso un impianto fotografico installato presso un incrocio regolato da semaforo.

Il ricorrente non contestava soltanto l’accertamento dell’infrazione, ma soprattutto il fatto che, nel punto in cui erano installate le telecamere, mancasse un’informativa adeguata sul trattamento dei dati personali. Inoltre evidenziava come le immagini ricevute insieme al verbale mostrassero elementi che avrebbero dovuto essere automaticamente oscurati, rendendo riconoscibili dati riferiti ad altri soggetti estranei all’infrazione.

Da qui è partita l’istruttoria del Garante, che ha chiesto al Comune una lunga serie di chiarimenti sulla gestione dell’intero sistema di videosorveglianza utilizzato per accertare le violazioni del Codice della strada.

Le verifiche del Garante: non basta installare un sistema omologato

Nel corso dell’istruttoria il Comune ha sostenuto che il dispositivo fosse regolarmente omologato dal Ministero delle Infrastrutture e dei Trasporti e destinato esclusivamente all’accertamento delle infrazioni semaforiche.

L’Autorità, tuttavia, ha ricordato un principio fondamentale: la conformità tecnica dell’apparecchiatura non esaurisce gli obblighi previsti dal GDPR. Ogni trattamento di dati personali effettuato mediante sistemi di ripresa video deve rispettare anche i principi di liceità, trasparenza, minimizzazione dei dati e accountability.

In altre parole, un impianto perfettamente autorizzato per rilevare le violazioni stradali deve comunque essere gestito secondo le regole europee sulla privacy, indipendentemente dalla correttezza dell’accertamento amministrativo.

Informative privacy ritenute inadeguate

Uno degli aspetti maggiormente censurati riguarda l’informativa rivolta agli automobilisti.

Secondo il Garante, il Comune non ha dimostrato che al momento dell’accertamento fosse effettivamente presente un’informativa di primo livello conforme ai requisiti previsti dal GDPR. Inoltre, quella successivamente prodotta nel corso dell’istruttoria presentava numerose criticità.

Tra le contestazioni figurano una descrizione troppo generica delle finalità del trattamento, l’indicazione indistinta di diversi utilizzi delle telecamere, l’assenza di informazioni realmente comprensibili sul periodo di conservazione dei dati e riferimenti incompleti ai diritti degli interessati.

Neppure l’informativa estesa pubblicata sul sito istituzionale è stata ritenuta soddisfacente. Il documento risultava difficilmente reperibile, conteneva finalità molto eterogenee riferite a differenti sistemi di videosorveglianza e non distingueva in modo chiaro il trattamento effettuato per l’accertamento delle violazioni del Codice della strada da quello destinato ad altre finalità di sicurezza urbana.

Il principio di minimizzazione dei dati non è stato rispettato

Un altro profilo ritenuto particolarmente rilevante riguarda il cosiddetto principio di minimizzazione, previsto dall’articolo 5 del GDPR.

Le immagini acquisite dai sistemi automatici devono contenere esclusivamente le informazioni strettamente necessarie per dimostrare la violazione contestata. Tutto ciò che riguarda soggetti estranei deve essere oscurato o reso non identificabile.

Nel caso esaminato, invece, il Comune ha riconosciuto che, nella documentazione trasmessa al destinatario del verbale, si era verificato un malfunzionamento tecnico che aveva impedito il corretto oscuramento di altre targhe presenti nei fotogrammi.

L’ente ha sostenuto che si trattasse di un episodio occasionale e dovuto esclusivamente a un errore tecnico, precisando di utilizzare normalmente un sistema automatico di anonimizzazione delle immagini. Tuttavia, il Garante ha osservato che il risultato concreto era comunque incompatibile con il principio di minimizzazione previsto dal Regolamento europeo, poiché dati personali riferiti ad altri utenti della strada erano rimasti visibili senza alcuna necessità.

La valutazione d’impatto è arrivata troppo tardi

Ulteriore elemento decisivo riguarda la Data Protection Impact Assessment (DPIA), cioè la valutazione d’impatto sulla protezione dei dati.

Il GDPR impone che questo documento venga predisposto prima dell’avvio di trattamenti particolarmente invasivi, come quelli effettuati attraverso sistemi di videosorveglianza su larga scala.

Nel caso del Comune di Vasto, invece, il Garante ha accertato che la valutazione era stata approvata soltanto dopo che il sistema risultava già operativo e dopo che era stata contestata l’infrazione oggetto del reclamo.

Non solo. Il documento è stato giudicato anche incompleto, poiché privo di alcuni elementi ritenuti essenziali per una corretta analisi dei rischi e delle misure di mitigazione previste dalla normativa europea.

Perché il Garante ha inflitto una sanzione di 5.000 euro

Al termine dell’istruttoria l’Autorità ha concluso che il Comune aveva violato diverse disposizioni del GDPR, tra cui gli articoli 5, 12, 13 e 35.

La sanzione amministrativa è stata fissata in 5.000 euro, importo determinato tenendo conto sia delle violazioni accertate sia delle dimensioni dell’ente locale. Il Garante ha inoltre evidenziato che il Comune non aveva mostrato un livello di cooperazione particolarmente elevato durante il procedimento, circostanza valutata negativamente ai fini della determinazione della sanzione.

Oltre al pagamento della somma, il provvedimento impone anche una serie di interventi correttivi: l’ente dovrà aggiornare le informative privacy, renderle facilmente accessibili agli interessati, predisporre una valutazione d’impatto adeguata alle caratteristiche del trattamento e trasmettere al Garante la documentazione che dimostri l’avvenuto adeguamento entro il termine stabilito.

Un precedente che interessa tutti i Comuni

Il provvedimento rappresenta un richiamo importante per tutte le amministrazioni locali che utilizzano sistemi automatici di rilevazione delle infrazioni stradali.

La decisione chiarisce infatti che il rispetto delle regole del Codice della strada non è sufficiente a garantire la piena legittimità dell’attività amministrativa. Gli enti devono dimostrare di aver costruito un sistema conforme anche alla disciplina europea sulla protezione dei dati personali, curando ogni aspetto organizzativo, documentale e informativo.

Cartelli informativi, informative complete, corretta anonimizzazione delle immagini, tempi di conservazione chiaramente definiti e valutazioni d’impatto tempestive non costituiscono semplici adempimenti burocratici, ma rappresentano elementi essenziali del principio di accountability, sul quale si fonda l’intero impianto del GDPR.

La vicenda dimostra, infine, come anche una violazione apparentemente marginale nella gestione dei dati possa tradursi in conseguenze economiche e reputazionali per un’amministrazione pubblica. Il messaggio che arriva dal Garante è chiaro: gli strumenti tecnologici impiegati per garantire la sicurezza stradale devono sempre essere accompagnati da un sistema di tutela dei dati personali altrettanto rigoroso, trasparente e conforme alla normativa europea.

The post Multa per il semaforo rosso: anche se valida il Comune non deve violare il GDPR appeared first on lentepubblica.it.