Garante Privacy: illecito il trattamento dei dati con le telecamere per le sanzioni stradali.
- Altvelox
- 3 minuti fa
- Tempo di lettura: 4 min
Informative inadeguate, immagini non correttamente oscurate e valutazione d’impatto tardiva: Il Garante con provvedimento n. 457 del 18 giugno 2026, ha sanzionato il Comune di Vasto e imposto l’adeguamento del sistema di videosorveglianza utilizzato per accertare le violazioni al Codice della strada.
Il provvedimento n. 457 del 18 giugno 2026 del Garante per la protezione dei dati personali riguarda il Comune di Vasto e l’utilizzo di un sistema foto-video destinato all’accertamento delle violazioni semaforiche, nel caso specifico un passaggio con il semaforo rosso contestato ai sensi dell’art. 146, comma 3, del Codice della strada.
La decisione affronta una questione che interessa direttamente tutti gli enti che utilizzano telecamere e dispositivi elettronici per l’accertamento delle infrazioni. Il Garante non mette in discussione, in linea generale, la possibilità per un Comune di ricorrere a questi strumenti quando ne ricorrono i presupposti previsti dalla normativa, ma chiarisce che la finalità pubblica perseguita non consente di mettere da parte le regole sulla protezione dei dati personali. Anche quando le immagini vengono raccolte per accertare una violazione stradale, il trattamento deve quindi rispettare integralmente il GDPR.
Nel caso esaminato sono emerse diverse criticità. La prima riguarda l’informativa privacy. Il Comune non è riuscito a dimostrare che, al momento dell’infrazione contestata, nei pressi del dispositivo fosse effettivamente presente un’adeguata informativa di primo livello. Non solo. La cartellonistica successivamente prodotta nel procedimento è stata comunque ritenuta insufficiente perché riportava una pluralità di finalità in modo generico, senza distinguere chiaramente il trattamento effettuato dallo specifico sistema utilizzato per l’accertamento delle violazioni al Codice della strada.
Anche le indicazioni relative ai tempi di conservazione delle immagini erano formulate in maniera troppo generica e le informazioni sui diritti riconosciuti agli interessati risultavano incomplete. Problemi analoghi sono stati riscontrati nell’informativa di secondo livello, quella più dettagliata, che non risultava facilmente reperibile e non descriveva in maniera sufficientemente precisa lo specifico trattamento collegato all’accertamento delle infrazioni stradali. Su questi aspetti il Garante ha accertato la violazione degli artt. 5, paragrafo 1, lettera a), 12 e 13 del GDPR.
Un secondo profilo riguarda le immagini raccolte dal sistema. Nella documentazione relativa al caso concreto risultavano visibili targhe riferibili ad altri veicoli estranei all’infrazione. Il principio richiamato dal Garante è semplice: devono essere trattati soltanto i dati realmente necessari allo scopo perseguito. Quando nelle immagini compaiono persone, veicoli o informazioni che non hanno alcuna relazione con l’accertamento, questi elementi devono essere oscurati o comunque resi non riconoscibili. Il mancato rispetto di tale regola ha determinato anche la violazione del principio di minimizzazione previsto dall’art. 5, paragrafo 1, lettera c), del GDPR.
Particolarmente significativa è poi la questione della valutazione d’impatto sulla protezione dei dati, la cosiddetta DPIA. Il Garante ricorda che, nei casi previsti dall’art. 35 del GDPR, questa valutazione non può essere predisposta dopo che il sistema è già entrato in funzione, ma deve precedere l’avvio del trattamento proprio perché serve a individuare preventivamente i rischi e le misure necessarie per contenerli.
Nel caso del Comune di Vasto, invece, la valutazione d’impatto era stata predisposta successivamente all’attivazione del sistema e presentava anche ulteriori carenze, perché non analizzava in maniera sufficientemente puntuale le caratteristiche dei diversi trattamenti effettuati. Anche sotto questo profilo il Garante ha quindi accertato una violazione del GDPR.
La conclusione del provvedimento è chiara: il trattamento dei dati personali effettuato dal Comune è stato dichiarato illecito per violazione degli artt. 5, 12, 13 e 35 del Regolamento europeo. Al Comune è stata applicata una sanzione amministrativa di 5.000 euro, determinata tenendo conto sia degli elementi favorevoli, come le dimensioni dell’ente e l’assenza di precedenti pertinenti, sia dello scarso grado di cooperazione riscontrato durante il procedimento.
La decisione non si limita però alla sanzione economica. Il Comune deve adeguare concretamente il sistema, predisponendo un’informativa di primo livello idonea e riferita agli effettivi trattamenti svolti, rendendo facilmente accessibile sul proprio sito l’informativa completa relativa all’utilizzo delle telecamere per l’accertamento delle violazioni stradali e aggiornando la valutazione d’impatto con un’analisi più precisa dei singoli trattamenti. Le misure adottate devono inoltre essere comunicate e documentate al Garante entro trenta giorni dalla notifica del provvedimento.
Va chiarito un aspetto per evitare conclusioni che il provvedimento non contiene. Il Garante non afferma che una sanzione stradale diventi automaticamente nulla per la mancanza dell’informativa privacy o per una DPIA irregolare. La decisione riguarda la liceità del trattamento dei dati personali e le responsabilità del Comune quale titolare del trattamento. Dal provvedimento non può quindi essere ricavata, senza ulteriori valutazioni, una regola generale di automatica invalidità dei verbali.
La portata della decisione resta comunque rilevante anche oltre il caso di Vasto. Un’amministrazione che utilizza telecamere o sistemi foto-video per accertare violazioni del Codice della strada deve essere in grado di dimostrare non soltanto la legittimità dell’utilizzo del dispositivo sotto il profilo della normativa stradale, ma anche la correttezza del trattamento dei dati personali. Significa poter documentare un’informativa preventiva adeguata, un’informativa completa realmente accessibile, modalità di raccolta delle immagini rispettose del principio di minimizzazione e, quando richiesta, una valutazione d’impatto effettuata prima dell’attivazione del trattamento.
In altre parole, non basta collocare una telecamera, richiamare genericamente la sicurezza stradale e aggiungere un cartello sulla privacy. Quando si utilizzano strumenti elettronici per sanzionare i cittadini, anche gli obblighi previsti dal GDPR devono essere rispettati e soprattutto documentati.
Commenti