Telecamere ai semafori, il Garante sanziona il Comune di Vasto.

Cartelli, oscuramento e DPIA da verificare subito nei Comuni

 

Tutto parte da un verbale per passaggio col rosso. L’automobilista, anziché limitarsi a pagare, presenta reclamo al Garante privacy lamentando che nei pressi dell’incrocio non c’era alcun cartello a segnalare le telecamere e che nei fotogrammi allegati al verbale comparivano, senza alcun oscuramento, anche i veicoli estranei all’infrazione. Con l’ordinanza ingiunzione n. 457 del 18 giugno 2026 il Garante gli ha dato ragione e ha sanzionato il Comune di Vasto per 5.000 euro, disponendo inoltre, come sanzione accessoria, la pubblicazione del provvedimento sul proprio sito.

Non è la prima volta che ce ne occupiamo. Già a inizio 2025 avevamo commentato una sanzione analoga sul rosso semaforico (Link all’articolo: Comune sanzionato dal garante: non aveva fornito informativa), e a febbraio di quest’anno avevamo osservato che il Garante sta alzando l’asticella sulla videosorveglianza comunale. Questo nuovo provvedimento conferma la tendenza e aggiunge indicazioni operative molto concrete, che meritano l’attenzione di ogni comando di polizia locale e di ogni ufficio tecnico comunale.

Il punto di partenza del ragionamento del Garante merita attenzione, perché il Comune aveva pieno titolo a usare quei dispositivi. L’accertamento delle violazioni al Codice della strada rientra infatti nei compiti di interesse pubblico e negli obblighi legali dell’ente (artt. 6, par. 1, lett. c) ed e) del GDPR). La liceità della finalità, però, non esonera dal rispetto dei principi, e quindi trasparenza, minimizzazione e valutazione preventiva dei rischi restano dovute. Ed è proprio su questi tre fronti che il Comune è caduto.

Il primo fronte è quello dell’informazione agli interessati. Il Garante ha ritenuto violati gli articoli 5, par. 1, lett. a), 12, par. 1 e 13 del GDPR perché la cartellonistica di primo livello non era dimostrabile nel punto dell’infrazione, visto che dai fotogrammi non si vedeva alcun cartello e il Comune non ha saputo provare da quando fosse installata, e perché l’unico cartello esistente cumulava finalità diverse, mentre sicurezza urbana e sanzioni stradali richiedono informative differenziate. L’informativa estesa, poi, era raggiungibile solo passando da una cartella Google Drive o cercando su Google, un percorso che per il Garante non è affatto intuitivo, e per giunta citava ancora l’art. 13 del d.lgs. 196/2003 anziché il GDPR e indicava un titolare sbagliato.

Il secondo fronte riguarda la minimizzazione, perché le targhe dei veicoli estranei all’infrazione non erano state oscurate. Il Comune ha parlato di errore tecnico occasionale, ma per il Garante anche un singolo episodio integra la violazione dell’art. 5, par. 1, lett. c). L’oscuramento automatico di persone e targhe dei terzi è del resto previsto dal D.M. 11 aprile 2024 per i rilevatori di velocità ed è raccomandato per tutti i dispositivi video di accertamento, in linea con il provvedimento generale sulla videosorveglianza del 2010 e con le Linee guida EDPB 3/2019.

Il terzo fronte è la DPIA. La valutazione d’impatto è stata approvata solo dopo l’avvio del trattamento, senza data certa e senza il parere del Responsabile della protezione dei dati, e questo ha integrato la violazione dell’art. 35 del GDPR. Il Garante ammette una DPIA unica per l’intero sistema cittadino, purché non sia generica, vale a dire con elementi puntuali per ciascun trattamento, a partire dai tempi di conservazione differenziati per finalità.

 

Il caso in sintesi

Provvedimento	Garante privacy, ordinanza ingiunzione n. 457 del 18 giugno 2026 (doc. web 10267254)
Ente sanzionato	Comune di Vasto (CH)
Origine	Reclamo di un automobilista multato per passaggio col rosso (art. 146, comma 3, Codice della strada), accertato con sistema video omologato
Violazioni accertate	Artt. 5, par. 1, lett. a) e c), 12, par. 1, 13 e 35 GDPR
Sanzione	5.000 euro (definizione agevolata: metà entro 30 giorni, art. 166, comma 8, Codice privacy) + pubblicazione del provvedimento sul sito del Garante
Misure correttive	Idonea informativa di primo livello, informativa di secondo livello facilmente reperibile sul sito istituzionale, adeguamento della DPIA; riscontro documentato al Garante entro 30 giorni
Fonte	Garante privacy, provvedimento n. 457 del 18 giugno 2026, doc. web 10267254

 

Due aspetti meritano una sottolineatura finale. Da un lato la sanzione è contenuta anche perché Vasto è un Comune di modeste dimensioni e senza precedenti, ma il Garante ha considerato aggravante lo scarso grado di cooperazione durante l’istruttoria, a conferma che collaborare con l’Autorità conviene sempre. Dall’altro, al di là dei 5.000 euro, la vera sanzione è la pubblicazione del provvedimento con il nome dell’ente in chiaro, insieme al rischio che i verbali elevati con impianti non conformi vengano contestati. Per un Comune la partita non si gioca quindi sull’importo, ma sulla tenuta del proprio sistema sanzionatorio e sulla fiducia dei cittadini.

 

La checklist per i Comuni: dalle contestazioni alle azioni

Contestazione del Garante	Azione da mettere in campo subito
Cartellonistica assente o non dimostrabile nel punto di rilevamento	Censire tutti i varchi e gli incroci videosorvegliati, installare cartelli di primo livello con finalità, titolare e diritti degli interessati, e conservare prova documentale (foto datate, verbali di installazione)
Un unico cartello per finalità diverse (sicurezza urbana + sanzioni stradali)	Differenziare le informative: cartelli e informative distinti per ciascuna finalità, con chiaro rinvio all’informativa estesa
Informativa estesa irreperibile (Google Drive) e non aggiornata (citava il d.lgs. 196/2003)	Pubblicare l’informativa estesa in una sezione intuitiva del sito istituzionale, aggiornata al GDPR, con titolare corretto, tempi di conservazione distinti per finalità e modalità di esercizio dei diritti (artt. 15 e ss.)
Mancato oscuramento dei veicoli terzi nei fotogrammi	Attivare e verificare periodicamente l’oscuramento automatico di persone e targhe estranee all’infrazione (D.M. 11 aprile 2024, allegato B, punto 1.5.4; raccomandato per tutti i dispositivi video di accertamento)
DPIA tardiva, senza data certa e senza parere del DPO	Effettuare la DPIA prima dell’attivazione di ogni nuovo impianto, con data certa, parere del DPO e analisi puntuale dei singoli trattamenti (tempi di conservazione differenziati inclusi)
Fonte	Elaborazione iSimply su Garante privacy, provvedimento n. 457 del 18 giugno 2026 (doc. web 10267254)

 

Enrico Capirone – Presidente iSimply srl, DPO

Fonte ufficiale: Garante privacy, provvedimento del 18 giugno 2026, n. 457 (doc. web 10267254)