Multa di 4.000 Euro per Violazione del GDPR
Indice
- Multa di 4.000 Euro per Violazione del GDPR
- Premessa
- Quali sono le principali violazioni del GDPR commesse dal Comune di Levanto?
- Quali accordi di sicurezza urbana aveva stipulato Levanto?
- Quali violazioni contestava il Garante al Comune?
- Quale sanzione pecuniaria è stata inflitta al Comune?
- Quali articoli violò il Comune di Levanto?
- Per quanto tempo venivano archiviate le targhe?
- Il testo della sentenza
- Un podcast con accento straniero
Premessa
Il Garante per la Protezione dei Dati Personali ha emesso un provvedimento nei confronti del Comune di Levanto per violazioni del Regolamento (UE) 2016/679 (GDPR) e del Codice in materia di protezione dei dati personali. L’indagine è scaturita dall’installazione di telecamere con funzionalità di lettura targhe per lo studio dei flussi turistici. Il Comune è stato ritenuto responsabile per aver trattato i dati personali delle targhe in modo illecito, per aver fornito un’informativa insufficiente agli interessati e per non aver redatto una valutazione d’impatto sulla protezione dei dati prima del trattamento. Di conseguenza, il Garante ha dichiarato illecito il trattamento e ha ordinato al Comune di pagare una sanzione amministrativa pecuniaria di 4.000 euro. Il provvedimento dispone inoltre la pubblicazione dell’ordinanza sul sito web del Garante.
Quali sono le principali violazioni del GDPR commesse dal Comune di Levanto?
Le principali violazioni del GDPR commesse dal Comune di Levanto, secondo il Garante per la protezione dei dati personali, includono:
- Trattamento illecito dei dati personali relativi alle targhe dei veicoli in transito, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento e dell’art. 2-ter del Codice, a causa della mancanza di una base giuridica idonea. Il Comune ha impiegato telecamere per la lettura automatizzata delle targhe, conservando i dati per 180 giorni senza un adeguato presupposto di liceità.
- Violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento, per aver fornito agli interessati un’informativa di primo livello non idonea e per aver omesso di fornire un’informativa di secondo livello completa fino al XX. L’informativa di primo livello era generica, ometteva dettagli sulle finalità amministrative e sui tempi di conservazione dei dati relativi alle targhe. L’informativa di secondo livello non era facilmente accessibile e non specificava le finalità del trattamento per i diversi dispositivi video.
- Violazione dell’art. 35 del Regolamento, per non aver redatto una valutazione d’impatto sulla protezione dei dati (DPIA) prima di iniziare il trattamento. Il Garante ha sottolineato che la DPIA era obbligatoria, data la sorveglianza sistematica su larga scala di un’area accessibile al pubblico tramite dispositivi video, alcuni dei quali dotati di funzionalità di lettura automatizzata delle targhe.
Quali accordi di sicurezza urbana aveva stipulato Levanto?
Il Comune di Levanto aveva stipulato patti per l’attuazione della sicurezza urbana con la Prefettura della Spezia negli anni XX e XX. Tuttavia, questi accordi non prevedevano l’impiego di dispositivi dotati di funzionalità di lettura automatizzata delle targhe per il perseguimento della finalità di prevenzione e contrasto dei fenomeni di criminalità diffusa e predatoria.
Quali violazioni contestava il Garante al Comune?
Il Garante contestava al Comune di Levanto diverse violazioni del Regolamento (UE) 2016/679 e del Codice in materia di protezione dei dati personali. Le principali contestazioni riguardavano:
- Trattamento dei dati personali relativi alle targhe dei veicoli in transito in maniera non conforme ai principi di liceità, correttezza e trasparenza, e in assenza di un’idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 del Regolamento, nonché 2-ter del Codice. Il Comune utilizzava telecamere per la lettura automatizzata delle targhe senza un valido motivo legale.
- Trattamento di dati personali mediante dispositivi video, fornendo agli interessati un’informativa di primo livello non idonea e omettendo di fornire un’informativa di secondo livello fino al XX, e successivamente fornendo un’informativa di secondo livello anch’essa inadeguata. Ciò violava gli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento. L’informativa di primo livello era troppo generica e non menzionava le finalità amministrative né il periodo di conservazione dei dati delle targhe.
- Omissione della redazione di una valutazione d’impatto sulla protezione dei dati (DPIA) prima di iniziare il trattamento, in violazione dell’art. 35 del Regolamento. Il Garante riteneva che, data la natura della sorveglianza effettuata, una DPIA fosse obbligatoria.
Queste violazioni sono state riscontrate a seguito di un’attività istruttoria da parte del Garante, che ha portato alla notifica al Comune dell’avvio di un procedimento per l’adozione di provvedimenti correttivi e sanzionatori.
Quale sanzione pecuniaria è stata inflitta al Comune?
Il Garante per la protezione dei dati personali ha inflitto al Comune di Levanto una sanzione amministrativa pecuniaria di 4.000 euro per le violazioni degli artt. 5, 6, 12, par. 1, 13 e 35 del Regolamento (UE) 2016/679, nonché dell’art. 2-ter del Codice in materia di protezione dei dati personali.
Le violazioni contestate includono:
- Trattamento illecito dei dati personali relativi alle targhe dei veicoli in transito.
- Fornitura di informative non idonee agli interessati.
- Omissione della redazione della valutazione d’impatto sulla protezione dei dati.
Il Garante ha considerato diversi fattori nella determinazione dell’ammontare della sanzione, tra cui la cooperazione del Comune durante l’istruttoria e l’assenza di precedenti violazioni pertinenti. Nonostante la raccolta dei dati relativi alle targhe per un periodo prolungato, il Comune non ha trattato tali dati nell’ambito dei procedimenti amministrativi di propria competenza, ma li ha conservati per eventuali richieste da parte delle autorità competenti. È stato anche considerato che il Comune si è avvalso di un consulente esperto per la redazione della valutazione d’impatto, sebbene non sia stata comprovata la data certa della stessa.
Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito internet, in considerazione della delicatezza dei dati trattati e della durata del trattamento.
Quali articoli violò il Comune di Levanto?
Il Comune di Levanto ha violato diversi articoli del Regolamento (UE) 2016/679 (GDPR) e del Codice in materia di protezione dei dati personali:
- Art. 5, par. 1, lett. a) del GDPR: per aver trattato i dati personali in modo non conforme ai principi di liceità, correttezza e trasparenza.
- Art. 6 del GDPR: per aver trattato i dati personali in assenza di un’idonea base giuridica. Il Comune utilizzava telecamere per la lettura automatizzata delle targhe senza un valido motivo legale.
- Art. 12, par. 1, del GDPR: per non aver fornito un’informativa facilmente accessibile agli interessati.
- Art. 13 del GDPR: per aver fornito agli interessati un’informativa di primo livello non idonea e per aver omesso di fornire un’informativa di secondo livello completa. L’informativa di primo livello era troppo generica e non menzionava le finalità amministrative né il periodo di conservazione dei dati delle targhe.
- Art. 35 del GDPR: per non aver redatto una valutazione d’impatto sulla protezione dei dati (DPIA) prima di iniziare il trattamento. Il Garante riteneva che, data la natura della sorveglianza effettuata, una DPIA fosse obbligatoria.
- Art. 2-ter del Codice: per il trattamento illecito dei dati personali.
Per queste violazioni, il Garante ha inflitto al Comune una sanzione amministrativa pecuniaria di 4.000 euro.
Per quanto tempo venivano archiviate le targhe?
Le targhe dei veicoli in transito venivano archiviate dal Comune di Levanto per un periodo di 180 giorni. Questo periodo di conservazione è stato ritenuto eccessivo dal Garante per la protezione dei dati personali, soprattutto in assenza di una base giuridica adeguata che lo giustificasse.
Il Garante ha rilevato che il Comune conservava i numeri di targa per 180 giorni con la finalità dichiarata di rispondere a eventuali richieste dell’autorità giudiziaria o delle Forze dell’Ordine nell’ambito di indagini, pur senza trattare i dati per altre finalità amministrative. Questo arco temporale è stato considerato significativamente più lungo rispetto al termine di sette giorni previsto per la conservazione dei filmati di videosorveglianza.