Prescrizioni del Garante n. 421 del 17/07/2025

Comune di Messina - trattamento dei dati nella procedura "Move Me" per abbonamenti agevolati TPL

Il Garante ha esaminato il trattamento di dati personali connesso alla procedura online per richiedere l’abbonamento annuale agevolato al trasporto pubblico locale di Messina, nell’ambito dell’iniziativa "Move Me". Il procedimento è nato da una segnalazione e ha riguardato la corretta individuazione dei ruoli privacy, la base giuridica del trattamento, l’informativa resa agli interessati e la presenza di un accordo conforme all’art. 28 GDPR tra Comune e ATM.

Origine dell’istruttoria e oggetto del controllo

L’Autorità ha acquisito la segnalazione relativa al form online utilizzato per la domanda di abbonamento agevolato, accessibile tramite il sito di ATM durante le finestre di presentazione delle domande. Dagli atti è emerso che il modulo conteneva:

• una prima checkbox con riferimenti normativi non aggiornati, richiamando il Codice privacy in modo non allineato al GDPR;
• una seconda checkbox relativa al consenso per finalità di "marketing diretto", resa obbligatoria per poter procedere con la richiesta dell’abbonamento scontato.

La verifica ha riguardato anche l’informativa presente nel bando comunale relativo al progetto "Move Me", che costituiva la cornice amministrativa dell’iniziativa.

Posizioni delle parti e ricostruzione dei ruoli

Nel corso dell’istruttoria, Comune di Messina e ATM hanno fornito versioni tra loro non coincidenti sulla ripartizione delle responsabilità. Il Comune ha sostenuto di essere estraneo alla gestione concreta della procedura online, affermando che ATM avesse operato autonomamente sia nella raccolta dei dati sia nella progettazione del sito e nel rilascio degli abbonamenti. ATM, a sua volta, ha affermato di essere titolare del trattamento e di aver nominato un responsabile del trattamento nell’ambito comunale, ritenendo il proprio operato giustificato anche dal consenso degli utenti e dall’esecuzione di un contratto di trasporto.

Il Garante, tuttavia, ha ricondotto il trattamento alla sfera di competenza del Comune, osservando che l’iniziativa era promossa dal Comune stesso, finanziata nell’ambito di un programma pubblico e finalizzata a incentivare la mobilità sostenibile tramite contributi economici comunali. Per tali ragioni, il Comune è stato qualificato come titolare del trattamento e ATM come responsabile del trattamento.

Violazione dell’art. 28 GDPR: assenza di contratto o altro atto giuridico

Un punto centrale del provvedimento è la mancata formalizzazione, tra Comune e ATM, di un contratto o altro atto giuridico idoneo a disciplinare il trattamento ai sensi dell’art. 28, par. 3, GDPR. Il Garante ha chiarito che il bando non poteva surrogare tale atto, poiché era rivolto agli utenti e non regolava direttamente i rapporti tra titolare e responsabile.

L’Autorità ha richiamato la necessità che l’atto scritto contenga gli elementi essenziali previsti dal GDPR, tra cui:

• oggetto del trattamento;
• durata;
• natura e finalità;
• tipologia di dati personali;
• categorie di interessati;
• obblighi e diritti del titolare.

In assenza di un simile atto, il trattamento è risultato privo di una corretta definizione delle istruzioni da impartire al responsabile e quindi in violazione dell’art. 28, par. 3, GDPR.

Informativa non conforme e base giuridica errata

Il Garante ha rilevato che l’informativa resa agli interessati non era conforme agli artt. 12 e 13 GDPR. In particolare, nel bando e nella schermata online comparivano elementi non coerenti con il quadro normativo:

• il richiamo all’art. 13 del d.lgs. 196/2003 anziché alle disposizioni del GDPR;
• l’indicazione del consenso come base giuridica, addirittura come consenso obbligatorio;
• l’indicazione di ATM come soggetto sia titolare sia responsabile;
• l’assenza di alcune informazioni obbligatorie, come i contatti del DPO e le modalità di esercizio completo dei diritti degli interessati.

L’Autorità ha ribadito che, per soggetti pubblici o gestori di pubblici servizi, il trattamento deve trovare fondamento nell’art. 6, par. 1, lett. c) o e), GDPR e, per quanto qui rileva, nella disciplina nazionale dell’art. 2-ter del Codice. Il consenso non è stato ritenuto base giuridica idonea nel contesto in esame, anche alla luce dell’evidente squilibrio tra interessato e titolare richiamato dal considerando 43 GDPR.

Responsabilizzazione e protezione dei dati fin dalla progettazione

La mancata definizione preventiva e chiara dei ruoli e delle istruzioni operative ha determinato, secondo il Garante, anche la violazione dei principi di responsabilizzazione e di protezione dei dati fin dalla progettazione. Il provvedimento sottolinea che il titolare deve essere in grado di dimostrare la conformità del trattamento e di integrare sin dall’origine misure tecniche e organizzative adeguate.

Nel caso concreto, la progettazione del flusso di raccolta dei dati, dell’informativa e delle attribuzioni di ruolo non è stata ritenuta conforme alle esigenze di trasparenza e di accountability imposte dagli artt. 5, par. 2, 24 e 25 GDPR.

Valutazione finale del Garante

All’esito dell’istruttoria, il Garante ha accertato l’illiceità del trattamento effettuato dal Comune di Messina per violazione degli artt. 5, par. 1, lett. a), e par. 2, 12, 13, 24, 25, par. 1, e 28 GDPR. Nonostante ciò, ha considerato il caso come "violazione minore", valorizzando:

• l’assenza di danni comprovati per gli interessati;
• la finalità pubblica e di vantaggio per i cittadini dell’iniziativa;
• la piena collaborazione del titolare nel corso dell’istruttoria;
• l’assenza di precedenti violazioni pertinenti;
• la situazione di riequilibrio economico-finanziario dichiarata dal Comune.

Alla luce di tali elementi, l’Autorità ha ritenuto sufficiente l’ammonimento e non ha applicato una sanzione pecuniaria.

Dispositivo

Il Garante ha quindi:

• rilevato l’illiceità del trattamento;
• ammonito il Comune di Messina, quale titolare del trattamento;
• disposto la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• ordinato l’annotazione nel registro interno.

Il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.