Immaginate di essere ripresi da una telecamera comunale installata per la sicurezza urbana. Poi scoprite che quelle stesse immagini sono state usate per notificarvi una multa per un sorpasso azzardato. È quanto accaduto in un Comune italiano, recentemente sanzionato dal Garante per la protezione dei dati personali. Un caso che riaccende i riflettori sul principio di limitazione della finalità, pilastro del GDPR, e sull’importanza di una corretta valutazione d’impatto (DPIA).
La sanzione del Garante: cosa è successo
L’intervento dell’autorità arriva dopo un ricorso: un automobilista si era visto recapitare un verbale basato sulle riprese di una telecamera di sicurezza urbana. Secondo il Comune, il filmato aiutava a ricostruire la dinamica di un incidente e a contestare una violazione del Codice della strada. Ma per il Garante, quella telecamera era stata installata con una finalità ben diversa: la tutela della sicurezza pubblica e la prevenzione dei reati. Utilizzarla per accertare infrazioni stradali costituisce un trattamento di dati personali ulteriore, privo di base giuridica e non compatibile con lo scopo originario. Da qui la sanzione e l’ordine di cancellare i dati raccolti in modo non conforme.
Il principio di limitazione della finalità nel GDPR
Il Regolamento europeo è chiaro: i dati personali devono essere raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità (art. 5, par. 1, lett. b). La sicurezza urbana mira a prevenire crimini e garantire l’ordine pubblico; la repressione delle infrazioni al Codice della strada ha una logica amministrativa diversa, rivolta alla circolazione e all’incolumità stradale. Non sono scopi equivalenti, né facilmente intercambiabili: manca un collegamento oggettivo e la possibilità di reimpiegare le immagini senza una nuova informativa e una base giuridica adeguata.
L’importanza di una DPIA ben fatta
La vicenda dimostra quanto sia cruciale una valutazione d’impatto sulla protezione dati (DPIA) prima di attivare sistemi di videosorveglianza. Una DPIA condotta con attenzione avrebbe dovuto mappare le possibili destinazioni dei filmati, identificando il rischio di un uso secondario illegittimo. Avrebbe inoltre imposto al Comune di definire limiti precisi, informare chiaramente i cittadini con cartelli adeguati e istruire il personale sul corretto perimetro di utilizzo. Molte amministrazioni sottovalutano questo passaggio, esponendosi a sanzioni e a contenziosi.
Lezioni per le pubbliche amministrazioni
Il caso offre spunti operativi concreti. Ogni telecamera deve avere uno scopo dichiarato e registrato; ogni variazione richiede una nuova base giuridica e una notifica agli interessati. L’uso promiscuo, anche se apparentemente efficiente, viola il principio di trasparenza e rischia di minare la fiducia dei cittadini. Inoltre, le immagini vanno conservate per tempi proporzionati allo scopo e mai utilizzate a fini esplorativi.
Cosa significa per chi legge
Per il cittadino, questa pronuncia ribadisce il diritto a non essere sottoposto a usi surrettizi delle proprie immagini. Se si riceve una sanzione frutto di un controllo indebito, è possibile opporsi e segnalare al Garante. Per le aziende e gli enti che gestiscono telecamere, è un campanello d’allarme: occorre verificare le informative, rifare le DPIA quando le finalità cambiano e formare gli addetti. Il GDPR non ammette scorciatoie: la finalità una volta scelta non può essere estesa a piacimento, nemmeno in nome di un generic interesse pubblico.