L'autorité italienne de protection des données (Garante) a publié une décision de sanction à l'encontre de la commune de Tuscania, comprenant le prononcé d'une amende de 12 000 €, pour des manquements liés à son système de vidéosurveillance, à la gestion des droits des personnes concernées et à un défaut de coopération. Cette affaire débute par une plainte signalant l'installation d'un vaste système de vidéosurveillance sans information adéquate, le refus d'une demande d'accès aux images et l'absence de contrats avec les sous-traitants.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité, loyauté et transparence du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : La commune justifiait le traitement par un pacte de sécurité urbaine. L'autorité a jugé ce pacte trop générique, ne précisant ni le nombre ni l'emplacement exact des caméras, le rendant ainsi insuffisant pour constituer une base juridique valable. De plus, l'utilisation de la technologie de lecture de plaques d'immatriculation n'était pas prévue par cet accord.

* Obligation de transparence (article 5, paragraphe 1, point a) du RGPD, article 12 et article 13 du RGPD) : L'information fournie aux personnes concernées était inadéquate. Les panneaux d'information de premier niveau n'étaient pas systématiquement installés et leur contenu n'était pas conforme : finalités génériques, absence de base juridique, mention erronée du responsable du traitement au lieu du délégué à la protection des données, et un lien hypertexte renvoyant vers le site de l'autorité de contrôle au lieu de celui de la commune. L'information de second niveau était également incomplète et difficilement accessible.

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : La commune n'a pas réalisé d'analyse d'impact avant de commencer le traitement. L'autorité a rappelé que cette analyse était obligatoire s'agissant d'une surveillance systématique à grande échelle d'une zone accessible au public, ce qui était le cas en l'espèce.

* Obligation d'encadrer la relation avec les sous-traitants (article 28 du RGPD) : Les relations avec les sociétés chargées de l'installation et de la maintenance du système de vidéosurveillance n'étaient pas correctement encadrées. La commune n'a pas pu prouver que les contrats de sous-traitance avaient été signés avant le début des traitements, et les documents fournis étaient incomplets au regard des exigences de l'article 28.

* Obligation de respecter le droit d'accès (article 12 et article 15 du RGPD) : La commune a illégalement refusé une demande d'accès aux données personnelles au motif qu'elle n'était pas motivée, en se fondant sur un règlement municipal. L'autorité a rappelé que l'exercice du droit d'accès n'exige aucune justification de la part de la personne concernée et que le règlement local, qui confondait en outre l'accès aux données personnelles et l'accès aux documents administratifs, était contraire au RGPD.

* Obligation de coopérer avec l'autorité de contrôle (article 58, paragraphe 1 du RGPD) : La commune n'a pas pleinement respecté une injonction de l'autorité lui ordonnant de fournir des informations complètes. Malgré une sanction antérieure pour le même motif, les réponses sont restées partielles et inadéquates, entravant le déroulement de l'enquête.

En conséquence, l’autorité a imposé une amende de 12 000 € à la commune de Tuscania.

En outre, l’autorité a ordonné à la commune de cesser tout traitement des données de plaques d'immatriculation et de supprimer celles déjà collectées, de réaliser un audit de l'ensemble de son système de vidéosurveillance pour en assurer la conformité, et de clarifier l'usage de dispositifs de type "pièges photographiques".