[doc. web n. 10256825]

Provvedimento del 17 aprile 2026

Registro dei provvedimenti
n. 271 del 17 aprile 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE” (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Introduzione.

L’Autorità ha appreso da una segnalazione, presentata ai sensi dell’art. 144 del Codice, che il Comune di Cogoleto (di seguito, il “Comune”) avrebbe dotato gli agenti di Polizia Locale di c.d. bodycam, senza aver assicurato il pieno rispetto della normativa in materia di protezione dei dati personali.

2. L’attività istruttoria.

In riscontro a una richiesta d’informazioni formulata ai sensi dell’art. 157 del Codice (v. nota prot. n. 0010823 del 28 gennaio 2025), il Comune, con nota del 28 gennaio 2025 (prot. n. 0002866), ha dichiarato, in particolare, che:

“[…] il Comando di Polizia Locale […] ha acquistato a titolo sperimentale […] quattro dispositivi portatili audio/video (due dei quali in uso al personale e due di riserva) che vengono indossati con funzioni di deterrenza e per documentare situazioni di rischio per l’incolumità individuale degli stessi agenti come nelle situazioni di aggressione fisica o frasi gravemente oltraggiose o minacciose”;

il Comune ha stipulato un “accordo quadro di videosorveglianza […] con le rappresentanze sindacali il 26.4.2017”;

“le videocamere indossabili sono prive di sistemi di tracciamento o geolocalizzazione anche quando sono spente e non consentono alcun tipo di controllo a distanza”;

“i lavoratori hanno ripetutamente richiesto l’acquisto dei dispositivi […] ed […] hanno prestato il consenso […] all’eventuale utilizzo […] dei dispositivi”;

“nella home page del sito del Comune […] (https://privacy.nelcomune.it/comune.cogoleto.it) è contenuta in modo ben visibile l’informativa sul trattamento dei dati personali la cui ultima modificare risale al 16/06/2023”;

“le videocamere portatili sono dotate di spia luminosa che si accende quando l’operatore portando il braccio al petto attiva la registrazione”;

“quando vi sono le condizioni di sicurezza l’operatore intima […] all’interlocutore di cessare la propria condotta antigiuridica e che, in caso contrario, attiverà il dispositivo di audioregistrazione”;

“[…] non è stato rilevato, nell’immediato, un rischio elevato per i diritti e le libertà delle persone fisiche” e, pertanto, il Comune non ha svolto una valutazione di impatto sulla protezione dei dati prima di iniziare il trattamento.

Con nota del 10 giugno 2025 (prot. n. 0083036), l’Ufficio, sulla base degli elementi acquisiti, dalle verifiche compiute e dei fatti emersi a seguito dell’attività istruttoria, ha notificato al Comune, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, per aver posto in essere un trattamento dei dati personali dei lavoratori dotati delle bodycam e dei soggetti interessati dalle riprese in maniera non conforme al principio di “liceità, correttezza e trasparenza”, nonché in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento, e 2-ter e 114 del Codice (in riferimento all’art. 4 della l. n. 300/1970); senza assicurare la necessaria trasparenza del trattamento nei confronti degli interessati, agendo in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento; omettendo di svolgere una preliminare valutazione di impatto sulla protezione dei dati, in violazione dell’art. 35 del Regolamento. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con nota del 9 luglio 2025 (prot. n. 0012839), il Comune ha presentato una memoria difensiva, dichiarando, in particolare, che:

“a seguito della richiesta di informazioni datata 28.1.2025 […] i due dispositivi bodycam in uso non sono stati più indossati dagli agenti in servizio esterno”;

“le bodycam sono state attivate in due sole occasioni; le videoriprese di brevissima durata sono state scaricate su supporto informatico e sono state immediatamente trasmesse alla Procura della Repubblica di Genova unitamente alla notizia di reato per reati commessi in danno di un operatore di polizia locale”;

l’utilizzo delle bodycam si è reso necessario in ragione dei “numerosi fatti di aggressioni verbali e fisiche consumati in danno di Agenti di Polizia Locale (diciassette sono stati gli episodi significativi e documentabili dal 2020 ad oggi) e la insistente richiesta da parte di tutti gli appartenenti al Corpo” di potersi dotare di tali dispositivi;

“[le] bodycam sono attivati manualmente dall’operatore nei casi in cui quest’ultimo versi in situazioni in cui è messa a repentaglio la sua incolumità personale nell’esercizio e nell’adempimento delle funzioni o del servizio; riprendono riproducono frontalmente e lateralmente immagini di diretta percezione visiva e uditiva dell’operatore […]; non sono mai stati utilizzati in via continuativa durante il servizio”.

3. Esito dell’attività istruttoria.

3.1 La liceità del trattamento.

Al fine di garantire un elevato livello di protezione delle libertà e dei diritti fondamentali delle persone fisiche, in particolare del loro diritto al rispetto della vita privata e alla protezione dei dati di carattere personale, sancito dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (cfr. art. 1 del Regolamento), qualsiasi trattamento di dati personali deve essere conforme ai principi enunciati all’art. 5 del Regolamento e soddisfare le condizioni di liceità di cui all’art. 6 dello stesso (v., tra le tante decisioni, Corte di giustizia dell’Unione europea, sentenza C-710/23, Ministerstvo zdravotnictví, del 3 aprile 2025, par. 33).

In tale quadro, l’impiego di c.d. bodycam può determinare un’ingerenza sul diritto alla protezione dei dati sia dei lavoratori che le hanno in dotazione sia dei soggetti eventualmente ripresi.

Qualora le bodycam, come nel caso oggetto di istruttoria, siano impiegate al fine di prevenire e documentare eventuali situazioni di pericolo coloro che le indossano, specialmente nei casi di aggressione fisica o verbale, trovano applicazione le norme che disciplinano l’impiego degli strumenti tecnologici negli ambiti in cui si svolge anche l’attività lavorativa, essendo i trattamenti, in tal caso, finalizzati alla tutela e sicurezza delle persone e stante l’idoneità di siffatti strumenti tecnologici a tracciare, seppur in via indiretta e preterintenzionale, l’attività dei lavoratori (cfr. provv. 22 maggio 2018, n. 362, doc. web n. 8995107).

Il datore di lavoro deve, infatti. rispettare le norme nazionali che “includono misure appropriate e specifiche a salvaguardia della dignità umana […] degli interessati in particolare per quanto riguarda la trasparenza del trattamento […] e i sistemi di monitoraggio sul posto di lavoro” (88, par. 2, del Regolamento, a cui fa rinvio l’art. 6, par. 2, del Regolamento). Come costantemente ribadito nei provvedimenti del Garante, i trattamenti conseguenti all’impiego degli strumenti tecnologici nei luoghi ove si svolge anche l’attività lavorativa, trovano la propria base giuridica nella disciplina di settore di cui all’art. 4 della l. n. 300/1970 (Statuto dei Lavoratori), il cui comma 1 prevede che “gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere impiegati esclusivamente per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali […]. In mancanza di accordo, gli impianti e gli strumenti di cui al primo periodo possono essere installati previa autorizzazione della sede territoriale dell'Ispettorato nazionale del lavoro o, in alternativa, […] della sede centrale dell'Ispettorato nazionale del lavoro”.

Tale disposizione perimetra in modo uniforme a livello nazionale l’ambito del trattamento consentito in ogni contesto lavorativo (pubblico e privato) e costituisce nell’ordinamento interno una disposizione più specifica e di maggiore garanzia di cui all’art. 88 del Regolamento, la cui osservanza - per effetto del rinvio contenuto nel Codice alle preesistenti disposizioni nazionali di settore che tutelano la dignità delle persone sul luogo di lavoro, con particolare riferimento ai possibili controlli da parte del datore di lavoro (art. 114 “Garanzie in materia di controllo a distanza”) - è condizione di liceità del trattamento effettuato con strumenti, anche ulteriori rispetto agli “impianti audiovisivi”, che, per proprie caratteristiche, come nel caso delle bodycam, possono comportare un controllo indiretto e preterintenzionale dell’attività del lavoratore (v. art. 5, par.1, lett. a) e 6, par. 1, lett. c) del Regolamento; v., a livello europeo, le indicazioni contenute nelle “Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video”, adottate dal Comitato europeo per la protezione dei dati il 29 gennaio 2020, par. 11, nonché le precedenti indicazioni del Gruppo di Lavoro Articolo 29 nel “Parere 2/2017 sul trattamento dei dati sul posto di lavoro”, WP 249; cfr., ancorché in relazione al diverso ambito della videosorveglianza, par. 4.1 del “Provvedimento in materia di videosorveglianza” dell’8 aprile 2010, doc. web n. 1712680, e, da ultimo, la FAQ n. 9 del Garante in materia di videosorveglianza, del dicembre 2020, doc. web 9496574, nonché le numerose decisioni del Garante riferite a casi concreti, tra cui i provv.ti 12 febbraio 2026, n. 70, doc. web n. 10226611; 29 gennaio 2026, n. 43, doc. web n. 10226639; 29 gennaio 2026, n. 42, doc. web n. 10222864; 23 ottobre 2025, n. 628, doc. web n. 10196164; 10 luglio 2025, n. 410, doc. web n. 10162731; 10 aprile 2025, n. 201, doc. web n. 10139433; 11 aprile 2024, n. 234, doc. web n. 10013356; 16 novembre 2023, n. 578, doc. web n. 9963486; 16 settembre 2021, n. 331, doc. web n. 9719768; 11 marzo 2021, n. 90, doc. web n. 9582791; 5 marzo 2020, n. 53, doc. web n. 9433080; 19 settembre 2019, n. 167, doc. web n. 9147290).

Ciò in conformità alla giurisprudenza della Corte europea dei diritti dell’uomo, nel caso Antovic e Mirković v. Montenegro (Application n. 70838/13 del 28.11.2017), che ha stabilito che il rispetto della vita privata deve essere esteso anche ai luoghi di lavoro pubblici, evidenziando che l’impiego di dispositivi video sul posto di lavoro può essere giustificato solo nel rispetto delle garanzie previste dalla legge nazionale applicabile, in mancanza delle quali costituisce un'interferenza illecita nella vita privata del dipendente, ai sensi dell'art. 8, par. 2, della CEDU.

Tali garanzie dello Statuto dei Lavoratori trovano, peraltro, applicazione in qualunque contesto lavorativo pubblico e privato, fatto salvo quanto disposto altrimenti dalle specifiche disposizioni di settore (combinato disposto art. 37 della l. 300/1970 e artt. 3, 42 e 51, comma 2, del d.lgs. 165/2001; v. anche C.d.S., sent. n. 708 del 12 luglio 1990 e C.d.S, sez. V, sent. n. 95 del 23 gennaio 1995, in base alle quali le norme della l. n. 300/1970 si applicano ai dipendenti pubblici nel caso in cui manchi del tutto la disciplina relativa al caso di specie nell’ambito dell’ordinamento interno dell’ente; cfr. provv.ti 10 aprile 2025, n. 201, doc. web n. 10139433; 16 novembre 2023, n. 578, doc. web n. 9963486).

Nel caso di specie, risulta accertato che il Comune, ancorché in via sperimentale, ha dotato gli agenti di Polizia locale di due bodycam, senza aver, tuttavia, esperito le procedure di garanzie previste dall’art. 4, comma 1, della l. n. 300/1970.

Il Comune ha, infatti, prodotto in atti copia di un “Accordo quadro [sull’] utilizzo [degli] impianti di videosorveglianza”, stipulato in data 26 aprile 2017 con le organizzazioni sindacali, che si riferisce, tuttavia, all’“installazione delle apparecchiature di videosorveglianza, all’esterno della sede Municipale […] e in altre postazioni del territorio comunale”, non riguardando, pertanto, l’impiego delle bodycam.

Né rileva che, come rappresentato nel corso dell’istruttoria, gli agenti della Polizia locale avessero chiesto in prima persona e acconsentito all’impiego di detti strumenti. Stante la asimmetria contrattuale connaturata dal rapporto di lavoro, il consenso dei lavoratori non costituisce, infatti, di regola, un’idonea base giuridica per i trattamenti di dati personali in ambito lavorativo (cfr., tra i tanti precedenti e proprio con riferimento all’impiego di dispositivi video da parte di un Comando di Polizia Locale di un Comune, provv. 16 novembre 2023, n. 578, doc. web n. 9963486; v. anche Comitato per la protezione dei dati, “Linee Guida sul consenso ai sensi del Regolamento UE 2016/679”, WP 259, del 4 maggio 2020, par.3.1.1, nonché “Parere 2/2017 sul trattamento dei dati sul posto di lavoro”, adottato dal Gruppo di lavoro art. 29 in data 8 giugno 2017, WP 249). Tale considerazione è valida anche con riguardo ai trattamenti posti in essere da soggetti pubblici, circostanza che, pure, ricorre nel caso di specie (cfr. cons. 43 del Regolamento, ove si evidenzia che lo squilibrio tra titolare e interessato sussiste “specie quando il titolare […] è un'autorità pubblica e ciò rende pertanto improbabile che il consenso sia stato espresso liberamente in tutte le circostanze di tale situazione specifica”).

Deve, altresì, considerarsi che il consenso dei lavoratori, anche se espresso in forma scritta, non è idoneo a esonerare il datore di lavoro dell’obbligo di esperire le procedure di garanzia previste dall’art. 4 della l. 300/1970 (v. Ispettorato Nazionale del Lavoro, indicazioni operative del 14 aprile 2023, prot. n. 0002572, ove si evidenzia che “tenuto conto che il bene giuridico tutelato dalla disposizione de qua [, ovvero l’art. 4 della l. 300/1970,] ha natura collettiva e non individuale, la carenza di codeterminazione (accordo) tra il datore di lavoro e le rappresentanze sindacali aziendali o del successivo provvedimento autorizzativo (se l’accordo non è raggiunto o in assenza della RSA/RSU) non possono essere supplite dall’eventuale consenso, seppur informato, dei singoli lavoratori, restando in quest’ultimo caso l’istallazione illegittima e penalmente sanzionata, in quanto la tutela penale è apprestata per la salvaguardia di interessi collettivi di cui le rappresentanze sindacali sono portatrici, in luogo dei lavoratori (Cass. Pen, Sez. III, 08/05/2017 n. 22148; Cass. Pen., Sez. III, 17/12/2019 n. 50919; Cass. Pen., Sez. III, 17/01/2020, n. 1733)”); cfr. provv.ti 16 novembre 2023, n. 578, doc. web n. 9963486; analogamente, nel contesto privato, cfr. provv. 16 settembre 2021, n. 331, doc. web n. 9719768).

Alla luce delle considerazioni che precedono, deve concludersi che il Comune ha posto in essere un trattamento di dati personali dei lavoratori e dei soggetti ripresi mediante le bodycam in questione, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, nonché in assenza di un idoneo presupposto di liceità, in violazione degli artt. 5, par. 1, lett. a), 6 e 88 del Regolamento, nonché 2-ter e 114 del Codice (in riferimento all’art. 4 della l. n. 300/1970).

3.2. La trasparenza nei confronti degli interessati.

Nel rispetto del principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a), del Regolamento), il titolare del trattamento deve adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (v. art. 12, par. 1, del Regolamento).

Nel caso di specie, il Comune non ha comprovato di aver fornito agli agenti della Polizia Locale, a cui sono state fornite in dotazione le bodycam in questione, un’informativa sul trattamento dei dati personali redatta ai sensi degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

Anche per quanto attiene al trattamento dei dati dei soggetti, diversi dai lavoratori, eventualmente ripresi con le medesime bodycam, il Comune non ha comprovato di aver messo a disposizione degli stessi un’informativa sul trattamento dei dati personali, essendosi l’Ente limitato a far riferimento a un collegamento ipertestuale a un sito web (https://privacy.nelcomune.it/comune.cogoleto.it), il cui contenuto può evidentemente mutare nel tempo, senza aver depositato in atti copia di tale informativa e senza aver dichiarato in quale data la stessa sarebbe stata pubblicata online.

Tale pagina web - che, peraltro, sembra essere esterna al sito web istituzionale del Comune (www.comune.cogoleto.ge.it), con conseguente impossibilità per gli interessati di reperire agevolmente la stessa - non conteneva, in ogni caso, un’informativa sul trattamento dei dati specificamente riferibile all’impiego delle bodycam da parte degli agenti di Polizia Locale.

Alla luce delle considerazioni che precedono, deve concludersi che il Comune ha effettuato un trattamento di dati personali, mediante i dispositivi video in questione, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 del Regolamento.

3.3 La valutazione di impatto sulla protezione dei dati.

Ai sensi dell’art. 35, par. 1, del Regolamento, quando un tipo di trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche o al ricorrere delle ipotesi previste dal par. 3 del medesimo articolo, il titolare del trattamento deve svolgere una valutazione di impatto sulla protezione dei dati, al fine di adottare, in particolare, le misure adeguate ad affrontare tali rischi, consultando preventivamente il Garante, ove ne ricorrano i presupposti (v. artt. 35 e 36, par. 1, del Regolamento).

Tenuto conto delle indicazioni fornite anche a livello europeo sul punto, si ritiene che, nel caso specie, l’Ente avrebbe dovuto svolgere una valutazione di impatto sulla protezione dei dati prima di avviare il trattamento, atteso che lo stesso comporta rischi specifici per i diritti e le libertà dei lavoratori. Ciò, tanto in considerazione della particolare “vulnerabilità” degli interessati nel contesto lavorativo (cfr. cons. 75 e art. 88 del Regolamento e le “Linee guida concernenti la valutazione di impatto sulla protezione dei dati nonché i criteri per stabilire se un trattamento "possa presentare un rischio elevato" ai sensi del Regolamento 2016/679”, WP 248 del 4 aprile 2017, che, tra le categorie di interessati vulnerabili, menzionano espressamente “i dipendenti”) quanto del fatto che sono impiegati sistemi che comportano il “monitoraggio sistematico” in ambito lavorativo, inteso come “trattamento utilizzato per osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti” (cfr. criterio n. 3 indicato nelle Linee guida, cit., ma vedi anche criteri 4 e 7; v. artt. 35 e 88, par. 2, del Regolamento; v. anche provv. 11 ottobre 2018, n. 467, doc. web n. 9058979, all. n. 1, che espressamente menziona i “trattamenti effettuati nell’ambito del rapporto di lavoro mediante sistemi tecnologici […] dai quali derivi la possibilità di effettuare un controllo a distanza dell’attività dei dipendenti”; v., tra gli altri, provv. 1° dicembre 2022, n. 409, doc. web n. 9833530; 13 maggio 2021, n. 190, cit.). La mancata esecuzione di una valutazione di impatto sulla protezione dei dati, ancorché in relazione al diverso contesto dell’impiego di sistemi di videosorveglianza in ambito lavorativo, è stata, per tali motivi, oggetto di recenti provvedimenti anche correttivi e sanzionatori del Garante (v. in particolare, provv.ti 12 febbraio 2026, n. 70, doc. web n. 10226611; 29 gennaio 2026, n. 43, doc. web n. 10226639; 29 gennaio 2026, n. 42, doc. web n. 10222864; 23 ottobre 2025, n. 628, cit.; 10 luglio 2025, n. 410, doc. web n. 10162731; 10 aprile 2025, doc. web n. 10139433; 13 marzo 2025, n.135, doc. web n. 10128005; 16 novembre 2023, n. 578, doc. web n. 9963486).

Non avendo il Comune comprovato di aver svolto una valutazione di impatto sulla protezione dei dati prima di dare le bodycam in dotazione agli agenti di Polizia Locale, risulta violato l’art. 35 del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento, non ricorrendo, peraltro, alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver posto in essere un trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a), 6, 12, par. 1, 13, 35 e 88 del Regolamento, nonché 2-ter e 114 del Codice (in riferimento all’art. 4 della l. n. 300/1970).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi, relative agli artt. 5, par. 1, lett. a), 6, 12, par. 1, 13, e 88 del Regolamento, nonché 2-ter e 114 del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

In tale quadro, considerando, in ogni caso, che la condotta ha esaurito i suoi effetti - atteso che il Comune ha dichiarato di aver sospeso l’impiego delle bodycam - non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

il Comune si è dotato, in via sperimentale, soltanto di due bodycam e le stesse sono state impiegate in due sole occasioni, al fine di documentare episodi di reato a danno di agenti della Polizia Locale, mettendo le immagini a disposizione dell’Autorità giudiziaria (art. 83, par. 2, lett. a), del Regolamento);

la violazione ha carattere colposo (art. 83, par. 2, lett. b), del Regolamento);

 il trattamento non ha riguardato dati particolari appartenenti alle categorie particolari di cui all’art. 9 del Regolamento (cfr. art. 83, par. 2, lett. g), del Regolamento),

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, nel considerare che il titolare del trattamento è un Comune di modeste dimensioni (circa 8.000 abitanti), dotato, pertanto, di limitate risorse organizzative ed economiche, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze:

il Comune ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, peraltro, spontaneamente interrotto il trattamento non appena è stata avviata l’istruttoria (art. 83, par. 2, lett. f), del Regolamento);

non risultano precedenti violazioni pertinenti commesse dal Comune (art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000 (quattromila) per la violazione degli artt. 5, par. 1, lett. a), 6, 12, par. 1, 13, 35 e 88 del Regolamento, nonché 2-ter e 114 del Codice (in riferimento all’art. 4 della l. n. 300/1970), quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che il trattamento posto in essere ha avuto ad oggetto dati personali relativi anche a interessati vulnerabili nel contesto lavorativo (cfr. cons. 75 e art. 88 del Regolamento).

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

dichiara, ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, l’illiceità del trattamento effettuato dal Comune di Cogoleto per violazione degli artt. 5, par. 1, lett. a), 6, 12, par. 1, 13, 35 e 88 del Regolamento, nonché 2-ter e 114 del Codice (in riferimento all’art. 4 della l. n. 300/1970), nei termini di cui in motivazione;

ORDINA

al Comune di Cogoleto, in persona del legale rappresentante pro-tempore, con sede legale in Via Rati, 66 - 16016 Cogoleto (GE), C.F. 80007570106, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione. Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto Comune, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 aprile 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori