Italian Data Protection Authority: data protection impact assessment for video surveillance in penitentiary institutions

Provvedimento del 13 novembre 2025 [10219555]

g-docweb-display Portlet

Home Provvedimenti Consultazione preventiva per adozione della DPIA Provvedimento del 13 novembre 2025 [10219555]

Provvedimento del 13 novembre 2025 [10219555]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10219555]

Provvedimento del 13 novembre 2025

Registro dei provvedimenti

n. 664 del 13 novembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del professor Pasquale Stanzione, presidente, della professoressa Ginevra Cerrina Feroni, vicepresidente, del dottor Agostino Ghiglia, componente, e del consigliere Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati, di seguito anche “Regolamento”);

VISTO il decreto legislativo 30 giugno 2003, n.196, recante il Codice in materia di protezione dei dati personali, integrato con le modifiche introdotte dal decreto legislativo 10 agosto 2018, n. 101 (di seguito anche: “Codice”);

VISTA la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio;

VISTO il decreto legislativo 18 maggio 2018, n. 51, recante l’Attuazione della direttiva (UE) 2016/680 (di seguito anche “Decreto”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali (di seguito: “Regolamento 1/2019”);

ESAMINATA la valutazione di impatto sulla protezione dei dati personali (Data Protection Impact Assessment, di seguito: “DPIA”) del sistema di collegamento telematico tra [OMISSIS] Ministero e [OMISSIS] Istituti penitenziari, per la visione [OMISSIS] delle immagini riprese dai sistemi di videosorveglianza presenti presso questi ultimi;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale, ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali;

Relatore il professor Pasquale Stanzione;

PREMESSO

1. Il Ministero della Giustizia - Dipartimento dell'Amministrazione Penitenziaria, ha inviato a questa Autorità, in data 3 aprile 2025, una valutazione di impatto (breviter: DPIA) relativa ad un sistema di collegamento telematico [OMISSIS] Ministero e [OMISSIS] Istituti penitenziari, per la [OMISSIS] visione [OMISSIS] delle immagini riprese dai sistemi di videosorveglianza presenti presso questi ultimi, chiedendo a questa Autorità di effettuarne una valutazione preventiva.

2. Scopo, finalità del trattamento e scenari di utilizzo.

Lo scopo del collegamento telematico [OMISSIS] è quello di consentire, [OMISSIS], la visione [OMISSIS] delle immagini riprese dai sistemi di videosorveglianza presenti negli Istituti penitenziari, [OMISSIS]; ciò per la finalità primaria del mantenimento dell'ordine e della sicurezza nelle strutture penitenziarie.

[OMISSIS]

L’utilizzo del sistema, [OMISSIS], non prevede un controllo indiscriminato e/o a campione e la sua attivazione [OMISSIS], in ottica di supporto all’articolazione centrale, investita – a sua volta – di generali compiti di coordinamento e supervisione sulle attività dipartimentali; [OMISSIS]; in sede centrale non vi sarà alcuna archiviazione dei dati, delle immagini VDS ed in generale dei flussi informatici e non vi sarà registrazione delle riprese audio/video.

Peraltro, qualora si rendesse necessario per i vertici dipartimentali acquisire le immagini VDS, le stesse verranno richieste alla sede periferica, che provvederà tempestivamente alla loro trasmissione,[OMISSIS]. La riservatezza dei dati memorizzati sul supporto verrà affidata ad una combinazione di misure tecniche ed organizzative. [OMISSIS]

3. Il parere non favorevole del Garante del 10 luglio 2025 n. 409.

Il Collegio del Garante ha esaminato la valutazione di impatto, esprimendo parere non favorevole a seguito delle carenze in essa riscontrate, di seguito indicate:

3.1 mancata indicazione della corretta base giuridica del trattamento, in quanto il fondamento giuridico del trattamento a fini di polizia non può essere il pubblico interesse in sé, dovendo invece essere esplicitato in un espresso riferimento normativo; ciò, tenuto conto che nella DPIA si fa riferimento al legittimo interesse quale base giuridica che non è applicabile al caso di specie;

3.2 mancata effettuazione di una corretta valutazione dell’impatto sulla protezione dei dati personali, con individuazione puntuale dei rischi specifici ai quali ciascuna categoria di interessati è esposto e, per ogni specifico rischio, le appropriate misure adottate per la sua mitigazione ed il corrispondente rischio residuo;

3.3 mancata indicazione corretta delle figure organizzative previste nella DPIA, che non sono state ricondotte a quelle, previste nel Decreto, di titolare del trattamento, responsabile del trattamento e autorizzati al trattamento;

3.4 mancato completamento dell’attività di definizione delle modalità dell’informativa degli interessati, in attuazione degli articoli 10 e segg. del Decreto;

3.5 mancata attuazione di sistemi di registrazione delle operazioni di trattamento tramite appositi file di log, in conformità all’articolo 21 del Decreto;

3.6 mancata attuazione delle misure di tutela dei lavoratori coinvolti nel trattamento, sulla base delle disposizioni previste dalla legge n. 300/1970 o delle specifiche disposizioni di settore;

3.7 mancata adozione di misure tecniche volte ad assicurare che la visione [OMISSIS] delle immagini riprese dal sistema di videosorveglianza presente in ciascun istituto penitenziario sia consentita solo da parte [OMISSIS] del Dipartimento dell’amministrazione penitenziaria;

3.8 mancata effettuazione della valutazione del rischio relativo all’utilizzo della piattaforma [OMISSIS] con riferimento all’eventuale trasferimento di dati all’estero e, in caso affermativo, valutata l’esistenza delle condizioni di legittimità di tale trasferimento.

4. Nuova valutazione di impatto presentata dal Ministero della giustizia.

In data 20 ottobre 2025 il Ministero della Giustizia ha trasmesso a questa Autorità una versione aggiornata della valutazione di impatto sulla protezione dei dati “ri-elaborata ed integrata, da questa Amministrazione, sulla scorta delle indicazioni fornite nel parere” del 10 luglio 2025 n. 409, per il parere dell’Autorità.

RITENUTO

5. Esito dell’esame della nuova valutazione di impatto.

Rispetto alla versione aggiornata di DPIA l’Autorità osserva quanto segue:

5.1. in ordine al punto 3.1 che precede, la base giuridica risulta individuata correttamente, con ampio riferimento alla normativa di settore (pagg. 2-4); è stato, altresì, espunto il riferimento al legittimo interesse, base giuridica non applicabile al caso di specie;

5.2. in ordine al punto 3.2 che precede, la nuova DPIA contiene una corretta valutazione dell’impatto sulla protezione dei dati personali, con individuazione dei rischi ai quali sono esposti gli interessati e le misure adottate per mitigare i rischi (pagg. 6-11);

5.3. in ordine al punto 3.3 che precede, sono individuate correttamente le figure organizzative coinvolte, nei termini seguenti: il Ministero della Giustizia quale titolare del trattamento; i soggetti interni dell’Amministrazione, partitamente indicati, quali soggetti che operano sotto l’autorità del titolare; Microsoft Ireland Operations Limited, con sede in Dublino, responsabile per la gestione dei servizi Office 365 (Microsoft Teams), quale responsabile del trattamento;

5.4. in ordine al punto 3.4 che precede, è stata portata a compimento l’attività di definizione del contenuto dell’informativa agli interessati, in attuazione degli articoli 10 e seguenti del Decreto, che sarà pubblicata sul sito ministeriale (pag. 11).

A tale proposito, si suggerisce al Ministero di prevedere anche una informativa di primo livello, contenente i dati essenziali, tramite affissione di apposita cartellonistica visibile all’intera platea di interessati, che potrà contenere il rinvio alla informativa estesa presente sul sito ministeriale, anche mediante un QR Code;

5.5 In ordine al punto 3.5 che precede, la nuova DPIA descrive nel dettaglio le soluzioni tecnologiche che consentiranno il tracciamento del tipo di operazioni effettuate e di riscontrare le utenze che hanno seguito l’accesso [OMISSIS], specificando analiticamente il contenuto della registrazione dei log audit [OMISSIS] e la disposizione organizzativa che imporrà a chi condivide la sessione di registrare la motivazione su apposita nota o nella descrizione dell’evento con salvataggio in associazione all’evento stesso. Tale modifica appare in linea con le indicazioni fornite con il citato provvedimento n. 409 del 2025;

5.6 in ordine al punto 3.6 che precede, nella nuova DPIA si precisa che al fine di garantire la comunicazione tra l’Amministrazione penitenziaria e le Organizzazioni Sindacali e in un’ottica anche di implementazione del livello di trasparenza, le OO.SS. saranno rese edotte del sistema di cui alla DPIA in esame nel momento in cui l’iter di definizione della stessa sarà completato. In questo modo, l’Amministrazione intende garantire la massima tutela dei lavoratori, in conformità alla normativa di settore di cui al d.P.R. 164/2002 e a quella dello Statuto dei Lavoratori. Pertanto, anche considerando che è responsabilità del Ministero, in qualità di titolare del trattamento, verificare se il trattamento oggetto della DPIA, ovvero il predetto collegamento telematico, richieda l’attivazione di specifiche procedure a tutela dei lavoratori, si valuta positivamente la modifica della DPIA relativa alla questione in argomento;

5.7 in ordine al punto 3.7 che precede, nella nuova versione di valutazione di impatto è indicato [OMISSIS] che [OMISSIS] sarà messa in atto specifica disposizione organizzativa in tal senso, secondo le indicazioni fornite dal DIT” (pag. 10, punto 5). Tale modifica appare in linea con le indicazioni fornite con il citato provvedimento n. 409 del 2025;

5.8. In ordine al punto 3.8 che precede, nella nuova versione di valutazione di impatto è indicato che il Ministero della Giustizia ha acquistato la “Advanced Data Residency” e i dati di Teams sono stati già migrati nel datacenter italiano” (pag. 11, punto 6).

TUTTO CIÒ PREMESSO IL GARANTE ai sensi dell’articolo 24 del decreto legislativo 18 maggio 2018, esprime parere favorevole in ordine alla valutazione di impatto sulla protezione dei dati personali, presentata dal Ministero della Giustizia - Dipartimento dell'Amministrazione Penitenziaria, relativa al sistema di collegamento telematico tra [OMISSIS] Ministero e [OMISSIS] Istituti penitenziari.

Roma, 13 novembre 2025

IL PRESIDENTE

Stanzione

IL RELATORE

Stanzione

IL SEGRETARIO GENERALE

Fanizza

Scheda

Doc-Web

10219555

Data

13/11/25

Argomenti

Pubblica Sicurezza

Videosorveglianza

Tipologie

Consultazione preventiva per adozione della DPIA