Il Garante per la protezione dei dati personali sanziona Roma Capitale e Atac: stangata da un milione

Stangata da un milione inflitta dal Garante per la protezione dei dati personali a Roma Capitale, la società di servizi Atac Spa e un subfornitore, per non avere tutelato i dati degli automobilisti che parcheggiano nel territorio del Comune. La decisione è stata assunta all’esito di un’istruttoria avviata in seguito alla segnalazione di un utente che si lamentava dei nuovi parcometri installati nel territorio comunale nel 2018.

Atac, incaricata dal Comune anche per la gestione dei parcheggi, aveva avviato un aggiornamento tecnologico dei parcometri per offrire nuovi servizi e per introdurre nuove modalità di pagamento, inserendo anche il numero di targa del veicolo. Parte della strumentazione era stata fornita da un’altra società, la Flowbird Italia srl (ex Parkeon srl). Tutte le informazioni relative alla sosta venivano poi gestite mediante un sistema centralizzato al quale poteva accedere, con una specifica app, anche il personale incaricato di controllare il pagamento dei parcheggi.

Nel corso dell’ispezione, eseguita in collaborazione con il Nucleo speciale Privacy della Guardia di Finanza, sono emerse varie irregolarità. In primo luogo il Comune di Roma, in quanto titolare del trattamento, non aveva fornito alcuna informazione sul trattamento dei dati degli automobilisti, non aveva nominato la società Atac spa responsabile del trattamento, nè fornito a quest’ultima le necessarie istruzioni su come trattare i dati raccolti. Neppure la società subfornitrice era stata incaricata formalmente o istruita su come procedere in merito al trattamento dei dati.

E’ poi emerso – si legge nella nota del Garante – che le società non avevano predisposto il registro dei trattamenti dei dati e che il progetto era stato ideato senza rispettare i principi di protezione dei dati fin dalla progettazione, e per impostazione predefinita, come richiesto dal Regolamento europeo Gdpr. Non erano stati neppure definiti i tempi di conservazione dei dati raccolti nè erano state adottate idonee misure di sicurezza. E’ stato ad esempio accertato che, all’epoca delle verifiche, alcuni flussi di dati da e verso il sistema implementato da Atac spa viaggiavano in canali non sicuri. Il personale addetto, inoltre, avrebbe potuto controllare in maniera massiva e ripetuta nel tempo qualunque targa, magari per conoscere le abitudini di una persona e i luoghi di sosta, senza lasciare alcuna traccia nel sistema informativo.

Alla luce delle violazioni riscontrate e dell’illecito trattamento dei dati, il Garante per la privacy ha comminato una sanzione di 800 mila a Roma Capitale, di 400 mila ad Atac spa e di 30 mila a Flowbird Italia srl. Nel calcolare la sanzione per l’illecito trattamento dei dati, l’Autorità ha tenuto conto della grande quantità di dati personali trattati (da giugno 2018 a novembre 2019 il sistema di Atac spa aveva già registrato i dati di 8 milioni e 600 mila soste e ancora oggi interessa potenzialmente tutti i soggetti che usufruiscono del servizio di sosta a pagamento sul territorio comunale) e delle sanzioni già ricevute per la violazione della privacy, ma anche della positiva collaborazione offerta da Roma Capitale e dalle società per risolvere alcune violazioni riscontrate durante l’ispezione. Nonostante le modifiche apportate in corso d’opera al sistema di gestione dei parcheggi, il Garante ha rilevato il permanere di criticità relative alle misure di sicurezza e ha quindi prescritto anche l’adozione di misure correttive e di idonee misure di sicurezza a protezione delle informazioni raccolte.