Responsabilità condivisa sugli impianti.
Di Stefano Manzelli
Quando si fanno accordi politici comprensoriali sui sistemi di videosorveglianza urbana è sempre meglio valutare anche le ricadute in termini privacy per evitare sanzioni.
Con il provvedimento n. 532 del 25 settembre 2025, appena pubblicato, il Garante estende alla Provincia Autonoma di Trento gli esiti dell’istruttoria già sfociata nel provvedimento n. 531/2025 adottato a carico di Bolzano, già impugnato e sospeso dal giudice di merito. Il punto non è la replica della contestazione, ma l’assunto di metodo. Nei progetti interprovinciali di monitoraggio del traffico basati su lettura automatizzata delle targhe, la cooperazione istituzionale può integrare contitolarità ex art. 26 gdpr anche quando un ente rivendica un ruolo solo politico-finanziario e l’assenza di accesso ai dati personali.
Il Garante valorizza la convenzione che colloca entrambe le amministrazioni provinciali nella governance del sistema, il cofinanziamento e l’installazione degli apparati sul territorio trentino per conto anche di Trento, fino all’autorizzazione alla firma del contratto e all’esecuzione dei lavori sulla rete stradale in gestione all’ente aderente. In questa cornice, conta la partecipazione alla determinazione delle finalità e dei mezzi essenziali, non la disponibilità materiale delle targhe. La responsabilità congiunta può sussistere anche senza accesso ai dati, se il trattamento è reso possibile e utile per scopi istituzionali propri.
Accertata la contitolarità, Trento risponde della mancata stipula preventiva dell’accordo ex art. 26 e, per relationem, delle violazioni sostanziali già contestate nel procedimento principale come liceità e trasparenza, base giuridica, informative e cartelli, dpia, conservazione. La sanzione è pari a 8.000 euro, con attenuanti legate a pseudonimizzazione, assenza di decisioni individuali, ruolo non primario nella progettazione tecnica e cooperazione, con pubblicazione dell’ordinanza.
La lezione è significativa. Progetti chiavi in mano associati non si governano con la sola convenzione. Servono privacy by design e by default fin dall’avvio, ruoli e accordi chiari, dpia preventiva e regole di conservazione dei dati proporzionate e documentate.
