Ordinanza ingiunzione o revoca n. 74 del 12/02/2026

Anconambiente S.p.A. – trattamento dei dati nell’app Aldilapp per i servizi cimiteriali

Il provvedimento riguarda Anconambiente S.p.A. e i trattamenti di dati personali connessi alla gestione dell’applicazione "Aldilapp" e della relativa piattaforma software per i servizi cimiteriali del Comune di Ancona. Il procedimento è stato avviato a seguito di una segnalazione e di una complessa istruttoria con richieste di informazioni, ispezioni e audizioni.

Contesto fattuale e servizi offerti

L’app consente la ricerca dell’ubicazione dei defunti nei cimiteri dei Comuni aderenti, previa registrazione dell’utente, e offre anche funzionalità ulteriori di tipo "social" e commerciale. In particolare, l’utente può:

• cercare un defunto per Comune o per nome/cognome;
• consultare il profilo digitale del defunto, con dati anagrafici, ubicazione della sepoltura e mappa GPS;
• rivendicare il profilo come amministratore, inserendo biografia, foto e gestendo interazioni;
• inviare messaggi, dediche e accendere ceri virtuali;
• seguire il defunto, condividere il profilo e segnalare abusi;
• acquistare fiori e servizi di manutenzione o decoro della tomba.

Il trattamento riguarda non solo i dati dei defunti, ma anche quelli degli utenti registrati, dei soggetti che rivendicano il profilo e dei concessionari, eredi o familiari coinvolti nelle richieste e nelle verifiche.

Ruoli soggettivi e assetto contrattuale

Il Garante ricostruisce che la gestione dei servizi cimiteriali rientra nelle funzioni istituzionali del Comune, che resta titolare del trattamento. Il gestore dei servizi cimiteriali, nel caso di specie Anconambiente, opera come responsabile del trattamento per conto del Comune.

STUP e ISSAM risultano coinvolte nella catena del trattamento come ulteriori responsabili/sub-responsabili, ma la documentazione contrattuale e gli atti di nomina sono stati ritenuti non completi e non sufficientemente chiari rispetto all’intero perimetro dei trattamenti svolti tramite app e dashboard.

Violazioni accertate

L’Autorità ha rilevato che Anconambiente ha violato:

• l’art. 28, par. 3, GDPR, per la mancata predisposizione di un accordo adeguato con il Comune di Ancona, completo su oggetto, natura, finalità, categorie di dati, categorie di interessati, obblighi e diritti;
• l’art. 28, par. 4, GDPR, per la regolamentazione inadeguata dei rapporti con i sub-responsabili STUP e ISSAM e per la mancata vigilanza sui loro trattamenti.

Secondo il Garante, la parziale disciplina contrattuale ha generato incertezza sul corretto inquadramento dei ruoli e sui flussi di dati, favorendo trattamenti ulteriori rispetto a quelli strettamente istituzionali e non adeguatamente ricompresi negli atti ex art. 28 GDPR.

Valutazioni del Garante

L’Autorità osserva che l’app non separa in modo netto il servizio pubblico di consultazione delle sepolture dalle funzioni ulteriori di natura privata, sociale o commerciale. La registrazione dell’utente è necessaria persino per fruire della sola ricerca del defunto, e il risultato di ricerca restituisce un "profilo digitale" arricchito da funzionalità e interazioni, non la sola informazione sulla tomba.

Il Garante sottolinea inoltre che:

• i profili digitali dei defunti sono creati di default sulla base dei dati comunali;
• i contenuti e le interazioni risultano visibili a tutti gli utenti;
• il sistema non consente una selezione del livello di visibilità;
• la rivendicazione del profilo e l’esercizio dei diritti ex art. 2-terdecies Codice richiedono ulteriori dati personali dell’utente.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto ad Anconambiente, limitatamente al perimetro territoriale di competenza e in collaborazione con il Comune di Ancona, di verificare l’avvenuta cancellazione:

• dei profili digitali dei defunti aperti di default sulla base del database comunale;
• delle relative interazioni pubblicate in app;
• delle rivendicazioni effettuate dagli utenti.

Anconambiente deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate e le eventuali ulteriori misure di conformità.

Sanzione amministrativa pecuniaria

Il Garante ha applicato la sanzione amministrativa pecuniaria di euro 2.500,00, ritenendo la violazione dell’art. 28 GDPR soggetta all’art. 83, par. 4, GDPR. Nel determinare l’importo sono stati considerati:

• la natura e la gravità della violazione, qualificata come media;
• il carattere colposo della condotta;
• l’assenza di precedenti pertinenti;
• la mancanza di reclami da parte di interessati;
• le circostanze organizzative legate anche al cambio di gestore dei servizi cimiteriali;
• il fatto che i trattamenti non riguardano categorie particolari di dati o dati giudiziari.

È stata anche richiamata la facoltà di definizione agevolata prevista dall’art. 166, comma 8, Codice.

Pubblicazione e impugnazione

Il provvedimento dispone la pubblicazione dell’ordinanza-ingiunzione sul sito del Garante e l’annotazione nel registro interno. È previsto il ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione del provvedimento, o entro 60 giorni se il ricorrente risiede all’estero.