Carmela D.
Il Garante Privacy interviene con un provvedimento chiarificatore, il numero 100 del 2024, sul contenuto dei contratti che sorgono tra titolare e responsabile del trattamento specificando in merito che esso deve essere specifico e riportare precise istruzioni e non considerarsi solo un mero adempimento formale.
Il caso
Il Sig. X ha presentato un reclamo al Comune di Monterotondo riguardante la mancanza di cartelli informativi vicino a tre compattatori installati per la raccolta differenziata dei rifiuti. Questi compattatori sono dotati di telecamere di sorveglianza collegate al Comune, ma mancano di segnaletica informativa generale posta prima del raggio d’azione delle telecamere.
Il Comune di Monterotondo ha risposto a una richiesta di informazioni dell’Autorità dichiarando che il sistema di rilevamento di immagini nei compattatori non si considera come un impianto di videosorveglianza, ma piuttosto lo si deve intendere quale un sistema di “alert di sicurezza” per il rilevamento fotografico in movimento.
Il Comune ha precisato che le stazioni ecologiche sono tre e tutte attive dal mese di dicembre 2020, servendo circa un migliaio di abitanti nel Centro Storico su un totale di 41.000 del comprensorio. L’installazione di questo sistema si giustifica con la necessità di contrastare la micro-criminalità locale e proteggere gli impianti costosi.
Il Comune ha anche sottolineato di aver pubblicato sul sito internet comunale il Regolamento sulla videosorveglianza e l’informativa estesa in merito. Inoltre, è stata fornita un’autorizzazione preventiva all’APM per l’installazione delle stazioni ecologiche informatizzate.
Nota dell’Azienda Pluriservizi Monterotondo
APM ha dichiarato che nel dicembre 2020 ha reso funzionanti tre Stazioni Ecologiche nel Centro storico comunale, dotate ciascuna di dispositivi di ripresa “di sicurezza” per il rilevamento di movimenti rilevanti. Questi dispositivi sono finalizzati a prevenire danni all’ambiente urbano e alle persone, oltre a limitare rischi per gli utenti conferitori dei rifiuti.
Le immagini registrate hanno una memoria limitata e vengono sovrascritte dopo un certo periodo. In risposta a ulteriori richieste, il Comune ha comunicato l’interruzione del trattamento dei dispositivi e la rimozione imminente degli stessi.
Si notificava inoltre, al Comune, l’avvio di un procedimento per presunte violazioni del Regolamento in materia di protezione dei dati, tra cui:
- l’omissione di fornire un’informativa adeguata;
- la mancanza di un contratto sulla protezione dei dati con APM;
- l’omissione di misure di sicurezza adeguate.
Memoria difensiva del Comune
Il Comune ha presentato una memoria difensiva in cui ha dichiarato che il trattamento tramite i dispositivi video è avvenuto da marzo 2021 a giugno 2022 per proteggere le Stazioni Ecologiche. Il Comune ha sostenuto che non fosse necessario apporre cartelli informativi in quanto i cartelli relativi al sistema di videosorveglianza comunale avvertono i cittadini prima di accedere al Centro Storico.
Ha anche difeso l’APM come un’azienda speciale sottoposta a rigido controllo del Comune e ha sottolineato che nonostante la mancata sottoscrizione iniziale, l’APM ha sempre rispettato gli obblighi di protezione dei dati e le istruzioni ricevute dal Comune.
Il Comune ha anche descritto dettagliatamente le misure di sicurezza tecniche e organizzative adottate per garantire la sicurezza dei dati e ha evidenziato che non vi è mai stata la necessità di visualizzare le immagini a seguito di episodi di vandalismo durante l’esecuzione del trattamento.
Leggi anche —> Sospensione condizionale della pena: le Sezioni Unite decidono sulla revoca in executivis
Trattamento dei dati personali da parte del comune
Il Comune ha effettuato un trattamento di dati personali tramite dispositivi video installati presso tre stazioni ecologiche dal marzo 2021 al 9 giugno 2022 per prevenire atti vandalici o situazioni pericolose. Questi dispositivi, attivati da sensori di movimento, registravano immagini di breve durata su schede di memoria SD.
Tuttavia, il Comune non ha rispettato il principio di trasparenza del trattamento, poiché non ha fornito agli interessati un’informativa di primo livello (cartello di avvertimento) e di secondo livello, come richiesto dal Regolamento.
Inoltre, i cartelli informativi esistenti non erano adeguati a informare gli interessati sul trattamento specifico dei dispositivi video presso le stazioni ecologiche. La documentazione presentata dal Comune non dimostra che un’informativa completa sia stata resa disponibile agli interessati prima dell’inizio del trattamento nel marzo 2021.
In altre parole, “il trattamento dei dati personali degli interessati, ripresi mediante i dispositivi video in questione, è stato, pertanto, effettuato in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento”.
Rapporto con titolare del trattamento
Il Comune ha esternalizzato l’attività di installazione e gestione dei dispositivi video a APM senza stipulare un contratto di protezione dei dati come richiesto dal Regolamento. Solo dopo l’avvio dell’istruttoria da parte dell’Autorità, APM ha firmato un contratto di protezione dei dati, ma questo è stato fatto solo pochi giorni prima della cessazione del trattamento dei dati.
Il contratto stipulato non soddisfa i requisiti della normativa europea sulla protezione dei dati perché non specifica in modo chiaro la natura e la finalità del trattamento dei dati personali da parte di APM. Inoltre, non fornisce istruzioni specifiche al responsabile del trattamento riguardo alle misure di sicurezza da adottare. Questa mancanza di adeguata documentazione e la firma tardiva del contratto rappresentano una violazione dell’art. 28 del Regolamento.
Il Regolamento stabilisce che i dati personali devono essere trattati in modo sicuro, con misure tecniche e organizzative adeguate per prevenire trattamenti non autorizzati o illeciti, nonché la perdita o danni accidentali.
Il titolare del trattamento deve dimostrare la conformità alle norme, anche quando si avvale di un responsabile del trattamento, impartendo istruzioni specifiche. Nel caso analizzato, il Comune non ha adottato misure sufficienti per proteggere le immagini registrate dai dispositivi video, come la crittografia dei dati o altre tecniche per prevenire l’accesso non autorizzato.
Anche se esisteva un sistema di autenticazione tramite nome utente e password per l’accesso alle immagini, non era sufficiente per proteggere i dati, poiché l’accesso alla scheda di memoria rimovibile avrebbe consentito l’accesso ai filmati senza autenticazione.
Anche le precauzioni come l’installazione della memoria in un vano inaccessibile non erano completamente efficaci. Da ciò si deduce che, il Comune ha violato i principi di integrità e riservatezza dei dati personali, così come le norme sulla sicurezza del trattamento previste dal Regolamento.
Protezione dati personali, specificità del contratto tra titolare e responsabile
Il Garante Privacy chiarisce nel suo provvedimento che il contratto sulla protezione dati posto in essere tra responsabile del trattamento e titolare non si deve intendere come un mero adempimento formale contenete le disposizioni del GDPR bensì riportare concrete e specifiche informazioni su requisiti e standard di sicurezza circa il trattamento dei dati personali.
Si chiarisce a questo proposito che “il contratto tra le parti dovrebbe essere redatto tenendo conto della specifica attività di trattamento dei dati” preoccupandosi di regolare:
- l’oggetto del trattamento con specifiche sufficienti affinché l’oggetto principale del trattamento sia chiaro;
- la durata del trattamento;
- la natura del trattamento;
- la finalità del trattamento.
Si specifica inoltre che:
“tale descrizione dovrebbe essere la più completa possibile, a seconda dell’attività di trattamento specifica in modo da consentire a soggetti esterni di comprendere il contenuto e i rischi del trattamento affidato al relativo responsabile”.
Ancora, è importante che il contratto faccia riferimento anche alla “tipologia di dati personali, elemento questo che dovrebbe essere specificato nel modo più dettagliato possibile” così come “le categorie di interessati, con la precisazione che anche questo aspetto dovrebbe essere indicato in modo piuttosto specifico”.
Conclusioni
Il titolare del trattamento ha fornito dichiarazioni durante l’istruttoria che, sebbene considerate, non sono sufficienti per superare le critiche dell’Ufficio e archiviare il procedimento. Le valutazioni preliminari confermano la violazione della normativa sulla protezione dei dati da parte del Comune nel trattare dati personali tramite dispositivi video.
Poiché la violazione l’ha causata una sola azione, si applica una sanzione fino a 20.000.000 di euro secondo il Regolamento. Non sono necessarie ulteriori misure correttive grazie alla disinstallazione dei dispositivi.
Il Garante ha adottato un’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie. Considerando la violazione delle normative sulla protezione dei dati da parte del Comune, il Garante ha il potere di infliggere sanzioni pecuniarie in aggiunta ad altre misure correttive o in loro sostituzione, come specificato nel Regolamento.
Determinazione della sanzione pecuniaria e considerazioni finali
La sanzione pecuniaria si determina considerando diversi elementi, come:
- il numero degli interessati coinvolti;
- la durata della violazione;
- la natura della violazione;
- la cooperazione del Comune;
- la presenza di circostanze attenuanti.
A seguito di una valutazione che ha vagliato tutte queste considerazioni, si stabiliva una sanzione pecuniaria di 3.000 euro per le violazioni specificate, ritenuta proporzionata e dissuasiva secondo il Regolamento.
Il Garante dichiara l’illiceità del trattamento dati effettuato dal Comune di Monterotondo per violazione di varie disposizioni del Regolamento. Ordina al Comune di pagare una sanzione amministrativa pecuniaria di 3.000 euro e concede al Comune la possibilità di definire la controversia entro 30 giorni pagando la metà della sanzione.
In caso di mancata definizione della controversia, si chiede al Comune di pagare l’intera sanzione entro altri 30 giorni. Il provvedimento sarà pubblicato sul sito web del Garante, e vi è la possibilità di ricorso entro i termini indicati.
Obiettivo del provvedimento del Garante Privacy è quello di ottenere informazioni il più precise possibile per garantire elevati standard di sicurezza per il trattamento dati oggetto di contratto e non limitarsi semplicemente a riportare nel contratto stesso solo le disposizioni previste dall’articolo 28 del GDPR che non sono sufficienti. Non si tratta infatti di un mero adempimento formale, come sopra abbiamo più volte ribadito.
Leggi anche —> Revoca della costituzione di parte civile e remissione tacita della querela: esiste un rapporto di conseguenza?
Articolo 28 Garante Privacy: il responsabile del trattamento – parte I –
1. Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.
2. Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche.
Articolo 28 Garante Privacy: il responsabile del trattamento – parte II –
3. I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:
a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento, anche in caso di trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale, salvo che lo richieda il diritto dell’Unione o nazionale cui è soggetto il responsabile del trattamento; in tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico;
b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
c) adotti tutte le misure richieste ai sensi dell’articolo 32.
Ulteriori specifiche del comma 3
d) rispetti le condizioni di cui ai paragrafi 2 e 4 per ricorrere a un altro responsabile del trattamento.
e) tenendo conto della natura del trattamento, assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato di cui al capo III;
f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento;
g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione dei dati; e
h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato.
Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un’istruzione violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati.
Articolo 28 Garante Privacy: il responsabile del trattamento – parte III –
4. Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l’esecuzione di specifiche attività di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento di cui al paragrafo 3, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento.
Qualora l’altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l’intera responsabilità dell’adempimento degli obblighi dell’altro responsabile.
Articolo 28 Garante Privacy: il responsabile del trattamento – parte IV –
5. L’adesione da parte del responsabile del trattamento a un codice di condotta approvato di cui all’articolo 40 o a un meccanismo di certificazione approvato di cui all’articolo 42 può essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4 del presente articolo.
6. Fatto salvo un contratto individuale tra il titolare del trattamento e il responsabile del trattamento, il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 del presente articolo può basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8 del presente articolo, anche laddove siano parte di una certificazione concessa al titolare del trattamento o al responsabile del trattamento ai sensi degli articoli 42 e 43.
7. La Commissione può stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo e secondo la procedura d’esame di cui all’articolo 93, paragrafo 2.
8. Un’autorità di controllo può adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo in conformità del meccanismo di coerenza di cui all’articolo 63.
9. Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 è stipulato in forma scritta, anche in formato elettronico.
10. Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione.
