Le Garant pour la protection des donn\u00e9es personnelles (\u00ab le Garant \u00bb), par une ordonnance d\u2019injonction
du 28 avril 2022 a inflig\u00e9 \u00e0 une soci\u00e9t\u00e9 charg\u00e9e de g\u00e9rer le service de collecte des d\u00e9chets
urbains pour la Commune de Taranto (\u00ab la Commune \u00bb) une sanction de 200 000 euros, pour avoir confi\u00e9 \u00e0 un de ses
sous-traitants certains traitements de donn\u00e9es personnelles sans avoir demand\u00e9 ni obtenu
pr\u00e9alablement une autorisation \u00e9crite, sp\u00e9cifique ou g\u00e9n\u00e9rale, de la part de la Commune, responsable du
traitement.
En l\u2019esp\u00e8ce, la Commune, suite \u00e0 l\u2019abandon diffus des d\u00e9chets sur le territoire
relevant de sa comp\u00e9tence, avait conf\u00e9r\u00e9 \u00e0 une soci\u00e9t\u00e9 \u2013 enti\u00e8rement d\u00e9tenue par la Commune \u2013 des fonctions
de contr\u00f4le et de contestation imm\u00e9diate d\u2019\u00e9ventuelles infractions d\u00e9rivant de la violation des
r\u00e8gles municipales en mati\u00e8re d\u2019\u00e9limination des d\u00e9chets. La Commune et la soci\u00e9t\u00e9 avaient d\u00e9cid\u00e9 d\u2019un commun accord
d\u2019installer des syst\u00e8mes de vid\u00e9osurveillance sur les sites consid\u00e9r\u00e9s
comme particuli\u00e8rement sensibles, s\u2019agissant de lieux o\u00f9 l\u2019abandon ill\u00e9gal des d\u00e9chets survenait
le plus fr\u00e9quemment.
D\u2019apr\u00e8s un signalement parvenu au Garant, il ressortait que la soci\u00e9t\u00e9 avait diffus\u00e9, par
publication sur sa page Facebook, certaines vid\u00e9os et images, obtenues au moyen des
syst\u00e8mes de vid\u00e9osurveillance, sur lesquelles \u00e9taient identifi\u00e9s, ou pour le moins identifiables, les citoyens
transgresseurs.<\/p>\n\n\n\n
Suite au signalement re\u00e7u, le Garant avait ouvert une instruction, de laquelle il ressortait que la soci\u00e9t\u00e9
charg\u00e9e avait commenc\u00e9 ses activit\u00e9s de traitement en mars 2012, conform\u00e9ment \u00e0 une ordonnance
municipale sans que, \u00e0 la lumi\u00e8re de la l\u00e9gislation en vigueur, le rapport avec la Commune soit
r\u00e9glement\u00e9. \u00c0 partir du mois de novembre 2020, elle avait utilis\u00e9, pour la collecte des images de vid\u00e9osurveillance, les services d\u2019un fournisseur (r\u00e9guli\u00e8rement d\u00e9sign\u00e9 comme sous-traitant pour le traitement des donn\u00e9es) sans \u00ab l\u2019autorisation \u00e9crite, sp\u00e9cifique ou g\u00e9n\u00e9rale, du responsable du traitement (ndr : la Commune) \u00bb, telle qu\u2019elle est
pr\u00e9vue par l\u2019article 28 du RGPD. C\u2019est seulement en janvier 2022 qu\u2019elle avait sign\u00e9 avec la Commune, conform\u00e9ment \u00e0 l\u2019art. 28 du RGPD, un \u00ab accord pour la protection des donn\u00e9es personnelles et la d\u00e9signation d\u2019un sous-traitant externe pour le traitement \u00bb. Et c\u2019est seulement dans cet accord que la Commune avait pr\u00e9cis\u00e9 que \u00ab la soci\u00e9t\u00e9, sur autorisation \u00e9crite de la Commune, pourrait devoir communiquer ou rendre disponibles les donn\u00e9es personnelles dont cette derni\u00e8re est responsable du traitement \u00e0 une ou plusieurs tierces parties (sous-traitants) afin de leur confier une partie des activit\u00e9s de traitement \u00bb.<\/p>\n\n\n\n