L’Autorità per la protezione dei dati personali ha confermato e chiarito nel provvedimento n. 202 del 10 aprile 2025, i ruoli operativi e giuridici di questo importante adempimento previsto ai sensi dell’art. 35 del GDPR.
Il caso riguarda un innovativo sistema di videosorveglianza stradale nel Comune di Milano, capace di riconoscere e classificare in tempo reale tutti gli utenti della strada, dalle automobili ai monopattini, generando statistiche utili per la pianificazione urbana. Un progetto gestito dall’Agenzia Mobilità Ambiente e Territorio S.r.l. (AMAT), che ha implementato un sistema basato su intelligenza artificiale per il monitoraggio del traffico.
Le criticità emerse
Le criticità emerse sono legate alla valutazione d’impatto sulla protezione dei dati (DPIA), strumento obbligatorio previsto dall’art. 35 del GDPR per trattamenti ad alto rischio. Nel caso in esame, la DPIA è risultata:
- Carente nella sostanza e priva di data certa;
- Redatta direttamente dal Responsabile della protezione dei dati (DPO) interno all’Agenzia.
Questo ultimo aspetto ha configurato un palese conflitto di interessi, poiché il Regolamento (UE) 2016/679 impone al DPO di esprimere un parere autonomo e indipendente, non di essere autore del documento che dovrebbe invece valutare.
Il Garante ha sottolineato che chi deve controllare non può essere anche autore del documento da valutare, pena la compromissione dell’indipendenza e della trasparenza del processo di compliance.
Ricordiamo, infatti che la DPIA è una attività di analisi richiesta al Titolare dei dati, che ha come obiettivo quello di valutare le minacce e le vulnerabilità afferenti gli asset aziendali quali appunto il sistema di videosorveglianza che, essendo connessi ai dati personali, costituiscono un valore da proteggere.
Ai sensi dell’art. 35 del Regolamento UE n. 679/2016 spetta al titolare garantire l’effettuazione della DPIA ma la conduzione materiale della DPIA può essere affidata dal Titolare o dal suo designato, opportunamente delegato, a un altro soggetto, interno o esterno all’ organismo e quindi un Dirigente ovvero una Società specializzata.
Ai sensi dell’art. 39 il Responsabile per la Protezione dei Dati (DPO), in quanto soggetto coinvolto come garante e verificatore dell’adeguamento alla disciplina in materia di valutazione dei rischi, è infatti chiamato solo a monitorare l’adozione della DPIA e precisamente, e “sorvegliarne lo svolgimento ai sensi dell’articolo 35” nonché’ “a fornire un parere in merito alla valutazione d’impatto sulla protezione dei dati”.
Che impatto ha per gli enti e le Organizzazioni?
- La compliance non è solo un adempimento formale, ma una garanzia di ruoli ben distinti e autonomi;
- Il DPO deve mantenere un ruolo di controllo e consulenza indipendente, senza assumere funzioni operative che generano conflitti di interesse;
- La DPIA deve essere redatta con rigore, completezza e con data certa, per assicurare la conformità al GDPR.
Il provvedimento del Garante n. 202/2025 rappresenta un monito chiaro: la protezione dei dati personali richiede non solo tecnologie all’avanguardia, ma anche una rigorosa organizzazione interna che salvaguardi l’autonomia e la responsabilità di ciascun attore coinvolto.
È fondamentale, sia per gli enti che per le organizzazioni, acquisire piena consapevolezza dell’importanza e della corretta gestione dei sistemi di videosorveglianza, ambito sul quale il Garante, negli ultimi mesi, ha avviato numerose attività istruttorie. Tra queste, merita particolare attenzione il recente caso del Comune di Portici (rif. Provv. n. 766 del 12 dicembre 2024), relativo all’utilizzo dei sistemi di videosorveglianza per l’accertamento delle infrazioni al Codice della Strada. In tale occasione, l’Autorità ha rilevato, oltre alla mancata redazione della DPIA ex art. 35 del GDPR – nonostante il trattamento, pur limitato, riguardasse dati personali raccolti tramite dispositivi automatizzati – anche ulteriori irregolarità, tra cui:
- L’assenza di un’adeguata informativa, in violazione dei principi di liceità, correttezza e trasparenza (artt. 5, 12 e 13 GDPR).
In conclusione, trasparenza, correttezza e indipendenza restano i pilastri imprescindibili per costruire fiducia e garantire il rispetto dei diritti fondamentali dei cittadini.
Per approfondimenti e aggiornamenti sulla normativa privacy, resta connesso con la nostra newsletter.
A cura di Dott.ssa Cristina Pieretti
