Prescrizioni del Garante n. 199 del 26/03/2026

Comune di Messina e Messina Social City: diffusione online di immagini di minori e soggetti vulnerabili

Il provvedimento riguarda la pubblicazione su Facebook, da parte dell’Azienda Speciale Messina Social City, di immagini e video di minori e di altri soggetti vulnerabili beneficiari di servizi socio-assistenziali comunali. Il Garante ha esaminato anche il rapporto tra Comune e Azienda, rilevando l’assenza di un accordo ex art. 28 GDPR e l’illiceità della diffusione dei dati.

Origine del procedimento e attività istruttoria

L’istruttoria è scaturita da una segnalazione sulla pubblicazione di un post con circa 24 foto di minori intenti a mangiare e divertirsi nell’ambito di una manifestazione denominata "Street Food". Secondo la segnalazione, i minori erano assistiti dal servizio comunale di Educativa Domiciliare e le immagini non risultavano schermate.

Nel corso degli accertamenti, l’Autorità ha richiesto informazioni all’Azienda Speciale e al Comune di Messina ai sensi dell’art. 157 del Codice. Dalle risposte è emerso che:

• l’Azienda rivendicava la legittimità della pubblicazione sulla base del consenso dei genitori e della propria autonomia gestionale;
• il Comune sosteneva di essere estraneo alle attività comunicative e che l’Azienda agisse autonomamente;
• erano presenti ulteriori post analoghi con immagini e video di minori e persone con disabilità, alcuni ancora consultabili al momento degli accertamenti.

Inquadramento dei ruoli: titolare e responsabile del trattamento

Il Garante ha ricostruito il quadro organizzativo dei servizi socio-assistenziali, distinguendo tra:

• servizi "standard", affidati dal Comune alla propria Azienda Speciale con contratti di servizio;
• servizi "non standard", connessi a specifici progetti e iniziative affidati dal Comune all’Azienda.

Sulla base di tale assetto, l’Autorità ha concluso che il Comune di Messina fosse il titolare del trattamento, in quanto soggetto cui la legge attribuisce le funzioni istituzionali in materia socio-assistenziale e che determina finalità e mezzi essenziali del trattamento. L’Azienda Speciale è stata qualificata come responsabile del trattamento, operando per conto del Comune.

Il Garante ha escluso che potesse valere la tesi dell’autonomia piena dell’Azienda o dell’estraneità del Comune: anche in assenza di accesso diretto ai dati, il Comune restava titolare se influiva sulle finalità e sui mezzi essenziali del trattamento. È stato inoltre rilevato che la pubblicizzazione sul sito istituzionale del Comune dei servizi erogati dall’Azienda rafforzava la percezione, negli interessati, che i servizi fossero riconducibili al Comune.

Diffusione online di immagini e assenza di base giuridica adeguata

Il fulcro della contestazione riguarda la diffusione di immagini e video su una pagina Facebook accessibile a soggetti indeterminati. Il Garante ha ricordato che la diffusione, ai sensi dell’art. 2-ter, comma 4, lett. b), del Codice, richiede una specifica base giuridica e che, per i soggetti pubblici, il trattamento deve essere necessario per l’adempimento di un obbligo legale o per l’esecuzione di un compito di interesse pubblico.

Nel caso di specie, la legge n. 150/2000 non è stata ritenuta sufficiente, perché le norme sulla comunicazione istituzionale devono comunque rispettare la riservatezza e non individuano in modo puntuale i presupposti del trattamento richiesti dall’art. 6, par. 3, GDPR. Inoltre, il Garante ha sottolineato che la finalità di promozione e comunicazione delle attività dell’Azienda poteva essere raggiunta senza pubblicare immagini identificative dei beneficiari.

Ne è derivata la violazione del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR, nonché degli artt. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), e 2-ter del Codice.

Minori, persone con disabilità e dati sulla salute

Il provvedimento dedica particolare attenzione ai profili di vulnerabilità degli interessati. Per i minori, l’Autorità richiama i considerando 38 e 75 GDPR e ribadisce che la loro immagine, una volta pubblicata online, può essere riutilizzata da terzi e permanere in rete per un tempo indefinito. La promozione di attività istituzionali non è stata ritenuta idonea a prevalere sul superiore interesse del minore.

Per le persone con disabilità, il Garante osserva che, quando le immagini rivelano informazioni sullo stato di salute o sulla fruizione di servizi assistenziali, si è in presenza di dati particolari, non diffusibili ai sensi dell’art. 9 GDPR e dell’art. 2-septies, comma 8, del Codice.

Consenso: inidoneità nel contesto pubblico e difetti di granularità

L’Azienda aveva sostenuto che i trattamenti fossero legittimati dal consenso degli interessati o dei genitori. Il Garante ha respinto tale impostazione per più ragioni:

• in presenza di un soggetto pubblico o di un trattamento svolto per pubblico interesse, il consenso non costituisce di regola una base giuridica valida, per lo squilibrio tra interessato e titolare;
• il modulo utilizzato non consentiva una scelta realmente specifica e granulare tra diverse finalità e modalità di trattamento;
• la pubblicazione di immagini di minori su social network non è compatibile con il superiore interesse del minore, anche ove vi fosse l’assenso dei genitori.

Violazione dell’art. 28 GDPR: mancanza di accordo tra Comune e Azienda

Un ulteriore profilo di illiceità riguarda l’omessa formalizzazione del rapporto tra titolare e responsabile del trattamento. Il Garante ha rilevato che Comune e Azienda non avevano stipulato alcun accordo ex art. 28, par. 3, GDPR, né un altro atto giuridico equivalente.

I contratti di servizio contenevano soltanto clausole generali di rispetto della normativa privacy e di nomina del responsabile della protezione dati, ma non le clausole richieste dall’art. 28, tra cui:

• oggetto del trattamento;
• durata;
• natura e finalità;
• tipo di dati personali;
• categorie di interessati;
• obblighi e diritti del titolare.

L’Autorità richiama anche le Linee guida EDPB 07/2020, evidenziando che la mancanza dell’accordo può comportare non solo una violazione formale, ma anche la carenza di una base giuridica per la comunicazione dei dati tra titolare e responsabile.

Esito del procedimento e misure ordinate

Concludendo, il Garante ha rilevato l’illiceità del trattamento effettuato dal Comune di Messina per violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), 9 e 28, par. 3, GDPR, nonché degli artt. 2-ter, 2-sexies e 2-septies, comma 8, del Codice.

In applicazione dell’art. 58, par. 2, lett. d), GDPR, ha ingiunto al Comune di:

• verificare la cancellazione, da parte dell’Azienda Speciale, dei post indicati nel provvedimento e di eventuali contenuti analoghi pubblicati successivamente;
• comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative assunte e le misure adottate per conformare i trattamenti alla normativa.

Il provvedimento dispone inoltre la pubblicazione sul sito del Garante ed è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.