L'autorité italienne de protection des données (Garante) a publié une décision de sanction à l'encontre de la commune d'Orte, comprenant le prononcé d'une amende de 6 000 €, pour des manquements liés à l'installation et à l'utilisation d'un système de vidéosurveillance ainsi qu'à un défaut de coopération.

Cette affaire débute par un signalement, indiquant que la commune aurait installé des caméras de vidéosurveillance sur son territoire sans assurer la transparence requise envers les personnes concernées.

L’enquête menée par l’autorité a permis de constater :

* Obligation de licéité, loyauté et transparence du traitement (articles 5 et 6 du RGPD) : La commune a justifié l'installation de 43 caméras par un "pacte de sécurité urbaine", mais l'autorité a jugé cet accord trop générique, car il ne précisait ni le nombre ni les emplacements spécifiques des caméras, et ne démontrait pas la nécessité et la proportionnalité du dispositif. De plus, l'activation du système suite à une directive de la préfecture de police a été jugée infondée, car celle-ci demandait une simple vérification de fonctionnement pour un événement ponctuel et non une activation continue pendant près de trois mois. Le traitement était donc dépourvu de base juridique valable.

* Obligation de transparence et d'information (articles 12 et 13 du RGPD) : L'information de premier niveau (panneaux) était insuffisante en nombre et en contenu, indiquant des finalités erronées ou trop vagues, omettant la base juridique et les droits complets des personnes concernées. De manière critique, le code QR et le lien web renvoyaient vers le site général de l'autorité de protection des données et non vers l'information spécifique de la commune. L'information de second niveau, publiée tardivement, présentait également de multiples lacunes, notamment sur les coordonnées du délégué à la protection des données, les finalités, la base juridique, les durées de conservation et les droits des personnes.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : La commune a reconnu ne pas avoir effectué d'analyse d'impact avant de commencer le traitement de données via son système de vidéosurveillance. Une première version de ce document n'a été fournie qu'à la date de cessation du traitement, en violation de l'obligation de procéder à cette évaluation en amont.

* Obligation de coopération avec l'autorité de contrôle : La commune n'a pas répondu de manière complète et dans les délais impartis aux demandes d'information de l'autorité. Un premier retour était partiel, et le second a été fourni après l'échéance initiale, ce qui constitue une violation de l'article 157 du Code italien de protection des données.

En conséquence, l'autorité a imposé une amende de 6 000 € à la commune d'Orte.

En outre, l’autorité a ordonné la publication de sa décision sur son site internet.