Il Codacons contesta il Comune di Villa: «Il trattamento dati della videosorveglianza “Cerbero” è illegittimo»

«Come anticipato dal Codacons sin dal mese di agosto, la Valutazione d’Impatto (DPIA) è condizione legittimante e preliminare per qualunque trattamento di dati attraverso sistemi di videosorveglianza. Senza il documento, previsto dall’art. 35 del Regolamento UE 2016/679 ogni rilevazione automatica di targhe, immagini e metadati è illegittima e priva di base giuridica.

Il Comune di Villa San Giovanni  – si legge in una nota diffusa – ha approvato la propria DPIA solo con Delibera di Giunta n. 258 del 10 ottobre 2025, pubblicata all’Albo Pretorio il 10 novembre 2025, riconoscendo così, di fatto, che per oltre quattro mesi il sistema “CERBERO” ha operato in assenza del presupposto legale indispensabile per trattare i dati personali dei cittadini.

Già dal 10 agosto 2025, con il reclamo al Garante per la Protezione dei Dati Personali, il procedimento aveva interrotto la presunzione di liceità del trattamento: da quel momento l’Amministrazione era formalmente a conoscenza della violazione e avrebbe dovuto sospendere ogni attività sino alla conclusione dell’istruttoria. Invece, con inaccettabile arroganza istituzionale, il Sindaco ha proseguito l’attività di rilevazione e verbalizzazione mediante il sistema “CERBERO”, continuando a trattare dati personali in violazione del GDPR, del Codice della privacy e delle direttive del Garante.

Il nuovo Responsabile della Protezione dei Dati (DPO), designato poche settimane dopo il reclamo, non ha risposto a nessuna delle richieste formali del CODACONS, né ha comunicato l’avvio del riesame o l’esistenza del registro dei trattamenti. Un fatto singolare ove si pensi che il DPO è il garante dei cittadini e che dimostra la mancata indipendenza e totale inerzia, in violazione degli articoli 38 e 39 del GDPR.

Grave anche il silenzio della Prefettura di Reggio Calabria, destinataria per competenza del reclamo e delle segnalazioni dell’associazione: nessuna comunicazione, nessuna informazione, nessun provvedimento. Un comportamento che lascia intendere una preoccupante inerzia istituzionale su un tema che coinvolge la sicurezza, la privacy e la legalità dell’azione amministrativa e che la dice lunga sulla capacità di intervenire a presidio delle regole.

La pubblicazione della DPIA l’11 novembre 2025 non può sanare retroattivamente mesi di trattamenti illeciti. Come stabilito da vari giudici e dal Garante Privacy, la valutazione d’impatto deve precedere l’attivazione del sistema; se successiva, non legittima i dati già acquisiti.

Pertanto tutti gli atti e i verbali prodotti fino al 10 novembre 2025 sono nulli, ai sensi dell’art. 21- septies L. 241/1990; il trattamento effettuato in quel periodo è illecito ai sensi degli artt. 5, 6 e 35 GDPR e i dati raccolti devono essere immediatamente cancellati e non più utilizzati.

Il CODACONS annuncia che chiederà l’immediata restituzione di tutte le somme già pagate dai cittadini per verbali elevati tramite il sistema “CERBERO” prima dell’11 novembre 2025.

Tali somme costituiscono pagamenti indebiti ai sensi dell’art. 2033 del codice civile, poiché basati su atti nulli e privi di potere».

«Il Comune dovrà avviare – dichiara l’avv. Antonia Condemi, presidente provinciale CODACONS – un procedimento di ripristino dello status quo ante, restituendo le somme incassate e cancellando ogni effetto sanzionatorio o accessorio (decurtazioni punti, fermi, iscrizioni a ruolo).

È un obbligo di legge, non una facoltà: quando un atto è nullo, l’Amministrazione deve rimuoverne gli effetti senza attendere ricorsi».

E’ indispensabile l’avvio di un procedimento di responsabilità amministrativa e disciplinare nei confronti di chi ha consentito la prosecuzione del trattamento illecito.

«Non è tollerabile – conclude l’avv. Condemi – che un sistema dichiaratamente illegittimo continui a produrre effetti contro i cittadini. Il Comune deve chiedere scusa e ristabilire la legalità restituendo ciò che non gli spettava».