Den italienska dataskyddsmyndigheten Garante per la protezione dei dati personali (Garante) har bötfällt Orte kommun med 20 000 euro för överträdelse av artiklarna 5.1 (a) och (e), 5.2, 12.1, 13, 25 och 37.7 i dataskyddsförordningen (GDPR).
Av beslutet framgår att den italienska kommunen Orte placerat ut flera bevakningskameror för att bekämpa olaglig avfallshantering. En person, som misstänkt att han hade fångats av kamerorna, anmälde kamerabevakningen till Garante.
Garante upptäckte under sin utredning att Orte kommun tagit kamerorna i bruk på prov utan att först utfärda riktlinjer för användningen av kamerorna och hur en korrekt behandling av de registrerades personuppgifter skulle säkerställas. Orte kommun kunde därför inte bevisa att kommunen respekterat principerna för behandling av personuppgifter vid användning av kamerorna enligt principen om personuppgiftsansvarigas ansvarsskyldighet enligt artikel 5.2 GDPR. Orte kommun hade till exempel underlåtit att fastställa och dokumentera lagringstiderna för de inspelningar som gjordes av kamerorna.
Enligt Garante har Orte kommun inte heller informerat de registrerade om behandlingen av deras personuppgifter i samband med övervakningen, genom att sätta upp informationsskyltar i det område som täcktes av kamerorna eller genom att ge fullständig information till de registrerade på något annat sätt, till exempel via kommunens webbplats. Därutöver har Orte kommun inte lämnat direkta kontaktuppgifter till sitt dataskyddsombud, utan istället angett två allmänna e-postadresser i kommunen som kontaktuppgifter.
Mot denna bakgrund konstaterade Garante att Orte kommun olagligt hade behandlat de registrerades uppgifter och brutit mot principen om laglighet, korrekthet och öppenhet enligt artikel 5.1 (a) GDPR och principen om lagringsminimering enligt artikel 5.1 (e) GDPR. Garante konstaterade vidare att Orte kommun inte informerat de registrerade om behandlingen av deras personuppgifter enligt artiklarna 12.1 och 13 GDPR, eller vidtagit åtgärder för att uppfylla kraven på inbyggt dataskydd och dataskydd som standard enligt artikel 25 GDPR. Slutligen konstaterade Garante att Orte kommun inte offentliggjort dataskyddsombudets kontaktuppgifter och meddelat dessa till tillsynsmyndigheten enligt artikel 37.7 GDPR.