L'autorité de protection des données italienne a aujourd'hui publié une décision de sanction à l'encontre de la commune de Nave (comprenant le prononcé d'une amende de 6 000 €) pour des manquements en lien avec l'utilisation d'un système de vidéosurveillance et de lecture automatisée des plaques d'immatriculation. Cette affaire débute par une plainte d'une personne ayant reçu un procès-verbal pour une infraction au code de la route, détectée par un dispositif de lecture de plaques, et dont la demande de suppression des données est restée sans réponse.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : La commune a mis en place un système de lecture automatisée des plaques d'immatriculation fonctionnant en continu pour vérifier la couverture d'assurance et la révision des véhicules. L'autorité a jugé ce traitement illicite, car il entraînait une collecte systématique et une conservation des données de tous les véhicules en transit pendant sept jours, sans base juridique adéquate. La finalité de sécurité urbaine a été écartée en l'absence du pacte requis avec la préfecture compétente.

* Obligation de transparence et d'information des personnes concernées (article 12, paragraphe 1 du RGPD et article 13 du RGPD) : L'information de premier niveau (panneaux de signalisation) était incomplète et non conforme. De plus, aucune information détaillée de second niveau n'était disponible pour les personnes concernées au moment des faits, la commune n'ayant publié une notice spécifique que tardivement, laquelle s'est également révélée non conforme.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : La commune n'a pas effectué d'analyse d'impact avant de mettre en œuvre le traitement, bien que celle-ci soit requise pour une surveillance systématique à grande échelle d'une zone accessible au public.

* Obligation de répondre aux demandes d'exercice de droits (article 12, paragraphes 3 et 4 du RGPD) : La commune n'a pas fourni de réponse à la demande de suppression des données formulée par la plaignante dans les délais impartis, manquant ainsi à son obligation d'informer la personne concernée des suites données à sa demande, y compris en cas de refus.

En conséquence, l’autorité a imposé une amende de 6 000 € à la commune de Nave.
En outre, l’autorité a ordonné à la commune de procéder à un recensement de toutes ses caméras, de conclure les pactes de sécurité nécessaires, de définir des bases juridiques appropriées pour chaque finalité, de réaliser ou mettre à jour son analyse d'impact et de réviser ses mentions d'information.