L’agente di polizia che viene ripreso mentre entra in servizio ha molti diritti privacy.

Non bastano cartelli standard o generiche informative sul sito web istituzionale.

Lo ha evidenziato il Garante per la protezione dei dati personali con il provvedimento n. 201 del 10 aprile 2025.

Tutto è partito dal reclamo di un agente della polizia locale che ha segnalato la presenza di una telecamera posizionata all’ingresso del comando, in grado di riprendere costantemente il personale in entrata e in uscita.

Secondo quanto accertato dall’Autorità, l’impianto era stato installato per finalità di sicurezza e tutela del patrimonio, ma di fatto permetteva un controllo indiretto dell’attività lavorativa, in violazione della disciplina vigente.

In mancanza di un accordo sindacale o, in subordine, di una formale autorizzazione dell’Ispettorato nazionale del lavoro, l’uso di dispositivi audiovisivi idonei anche solo potenzialmente a controllare a distanza l’attività dei dipendenti risulta illecito.

Particolarmente significativa è la censura formulata dal Garante sulla finalità dichiarata dell’impianto.

L’Unione aveva ricondotto la telecamera all’ambito della sicurezza urbana, richiamando anche un patto sottoscritto con la Prefettura.

Tuttavia, l’Autorità ha ritenuto del tutto inconferente tale richiamo.

La telecamera in questione non inquadrava la pubblica via, ma un ingresso riservato e parte del parcheggio interno, non potendo dunque assolvere alle finalità previste dal decreto legge n. 14/2017, che disciplina la sicurezza urbana.

La reale finalità, prosegue il provvedimento, era quella di tutelare il patrimonio e la sicurezza interna, finalità che ricade integralmente nell’ambito dell’art. 4 dello Statuto dei lavoratori.

Anche i profili informativi sono stati ritenuti carenti.

Il cartello installato in prossimità dell’ingresso menzionava finalità non coerenti, omettendo quella effettiva di tutela del patrimonio.

Né risulta efficace l’informativa estesa di secondo livello, raggiungibile tramite il sito web istituzionale, in quanto generica e priva di ogni riferimento specifico.

Infine il Garante ha rilevato l’assenza di una valutazione di impatto adeguata.

La gestione automatizzata dei varchi di accesso alle zone a traffico limitato deve oggi confrontarsi con un principio imprescindibile: il rispetto della privacy, che si traduce in obblighi di chiarezza e trasparenza verso i cittadini.

Cartelli informativi ben visibili ai varchi e informative puntuali, pubblicate in rete, non sono più un optional, ma il segno concreto di un trattamento corretto dei dati personali.

Lo ha ribadito il Garante per la protezione dei dati personali con il provvedimento n. 168 del 27 marzo 2025, infliggendo una sanzione al Nuovo Circondario Imolese per carenze proprio su questo fronte.

Il caso riguardava il sistema che registra le targhe dei veicoli diretti alla ZTL di Imola, gestito dall’Unione dei Comuni del territorio.

Per oltre un anno i cartelli ai varchi indicavano erroneamente il Comune come titolare del trattamento, mentre sul sito istituzionale mancava l’informativa completa prevista dall’articolo 13 del GDPR.

Il Garante non ha messo in discussione la liceità del sistema in sé – limitato alla mera rilevazione delle targhe – ma ha rilevato la violazione degli articoli 5, 12 e 13 del Regolamento europeo, sottolineando l’assenza di trasparenza e la scorretta individuazione del titolare.

Accanto alla sanzione, il provvedimento offre un chiarimento di grande interesse per i Comuni: non è sempre necessario redigere una valutazione d’impatto (DPIA) per i varchi ZTL.

Tale adempimento, precisa il Garante, scatta solo quando il trattamento presenta rischi elevati per i diritti e le libertà delle persone coinvolte.

Si tratta di una semplificazione significativa per molti enti locali, spesso incerti sulla necessità di avviare una DPIA per sistemi considerati “ordinari”.

La decisione arriva a pochi mesi da un precedente emblematico: il Comune di Portici, sanzionato il 12 dicembre 2024 con il provvedimento n. 766, per non aver condotto la DPIA prima di attivare un sistema automatizzato di rilevazione del passaggio con semaforo rosso, ritenuto decisamente più invasivo.

L’accostamento dei due casi evidenzia la linea del Garante: ciò che conta non è la presenza di tecnologia di controllo in sé, ma l’effettivo impatto del trattamento e la trasparenza garantita agli interessati.

Scatta una sanzione salata per i comuni che non hanno ancora provveduto a nominare il proprio responsabile per la protezione dei dati.

Sono passati sette anni dall’entrata in vigore definitiva del Gdpr ma alcuni enti risultano ancora senza dpo/rpd. E quando l’Autorità di controllo se ne accorge sono guai grossi per il primo cittadino. Lo ha evidenziato il Garante per la protezione dei dati personali con il provvedimento n. 5 del 16 gennaio 2025.

Da un controllo d’ufficio l’Autorità ha riscontrato che un comune siciliano non ha mai provveduto a notificare la nomina del proprio dpo/rpd. E di questa importante figura non risulta nessuna traccia neppure sul sito istituzionale dell’Ente.

Pertanto, specifica il collegio, “con nota del XX, l’Ufficio, sulla base degli elementi acquisiti e dalle verifiche compiute, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per non aver designato il rpd, per non aver pubblicato i dati di contatto dello stesso né effettuato la relativa comunicazione all’Autorità, in violazione dell’art. 37, parr. 1 e 7, del Regolamento.

Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità. Al riguardo, tuttavia, non sono pervenuti scritti difensivi.

L’istruttoria si è quindi conclusa con l’applicazione di una sanzione amministrativa di 6 mila euro e l’intimazione a procedere alla nomina.

Ai sensi dell’art. 37 del Regolamento, prosegue il provvedimento, “il titolare del trattamento designa sistematicamente un responsabile della protezione dei dati ogniqualvolta:

a) il trattamento è effettuato da un’autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali

e pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all’autorità di controllo”.

Anche il Documento di indirizzo su designazione, posizione e compiti del Responsabile della protezione dei dati in ambito pubblico, adottato dal Garante il 29 aprile 2021 con provvedimento n. 186, precisa che per quanto concerne la pubblicazione, questa dovrà essere effettuata sul sito web dell’amministrazione, all’interno di una sezione facilmente riconoscibile dall’utente e accessibile già dalla homepage, oltre che nella sezione dedicata all’organigramma dell’ente ed ai relativi contatti.

Per quanto concerne la comunicazione all’Autorità, si evidenzia che il Garante ha reso disponibile un’apposita procedura online non solo per la comunicazione, ma anche per la variazione e la revoca del nominativo del rpd designato.

Tale procedura rappresenta l’unico canale di contatto utilizzabile a questo specifico fine ed è reperibile alla pagina:

https://servizi.gpdp.it/comunicazionerpd/s/

ove sono riportate anche le istruzioni e le relative faq. Si richiama l’attenzione degli enti a inserire correttamente i dati richiesti, come l’individuazione del titolare del trattamento e la compilazione del codice fiscale dell’amministrazione.

Nel caso di specie, essendosi verificata la mancata pubblicazione e comunicazione dei dati di contatto del rpd all’Autorità, risulta accertata la violazione dell’art. 37, par. 7, del Regolamento.

Inoltre, non essendo stato possibile reperire i dati di contatto del rpd, non sono rinvenuti elementi in grado di comprovare l’effettiva designazione da parte del Comune, del rpd, in violazione dell’art. 37, par. 1 del Regolamento.