Prescrizioni del Garante n. 422 del 17/07/2025

Azienda Trasporti Messina S.p.A. - ammonimento per la procedura online degli abbonamenti agevolati "MOVE ME"

Il Garante per la protezione dei dati personali è intervenuto sulla procedura online per la richiesta degli abbonamenti agevolati al trasporto pubblico locale di Messina nell’ambito dell’iniziativa "MOVE ME". Il procedimento è scaturito da una segnalazione relativa al modulo web utilizzato dagli utenti e alle informative/checkbox sul trattamento dei dati personali.

Origine della segnalazione e contenuto del form online

Dalla documentazione acquisita è emerso che, nel form per richiedere l’abbonamento agevolato, erano presenti due caselle di spunta relative ai dati personali. La prima riportava un richiamo non aggiornato alla normativa privacy, con riferimenti al d.lgs. 196/2003 anziché al GDPR. La seconda riguardava il consenso per finalità di "marketing diretto" attraverso strumenti tradizionali e automatizzati, ed era formulata in modo tale da risultare obbligatoria per poter proseguire nella procedura.

Nell’informativa contenuta nel bando per l’assegnazione degli incentivi "Move me" la base giuridica veniva individuata nel "consenso all’elaborazione e all’utilizzo dei dati contenuti nella domanda". Lo stesso documento indicava inoltre finalità connesse alla procedura, al servizio di trasporto pubblico locale e alla verifica degli obiettivi del progetto.

Istruttoria e posizioni delle parti

Nel corso dell’istruttoria ATM ha sostenuto di essere titolare del trattamento, ritenendo corretto il proprio ruolo in quanto gestore del servizio e soggetto deputato all’emissione degli abbonamenti agevolati. Ha inoltre affermato che il Comune di Messina avrebbe dovuto essere considerato responsabile del trattamento, anche per esigenze di rendicontazione del finanziamento pubblico.

Il Comune, viceversa, ha precisato di essere estraneo alla concreta procedura di registrazione e ha sostenuto che ATM avesse autonomamente inserito nel form la richiesta di consenso per marketing diretto, senza coinvolgimento dell’ente. Ha inoltre affermato che il Comune non aveva alcuna finalità di marketing e che la propria attività si limitava alla predisposizione del bando e alla copertura economica della differenza tariffaria.

Qualificazione dei ruoli: Comune titolare, ATM responsabile

Il Garante ha ritenuto che, limitatamente alla specifica iniziativa sugli abbonamenti agevolati, il Comune di Messina fosse titolare del trattamento e ATM responsabile del trattamento. Secondo l’Autorità, la finalità del trattamento era collegata a una funzione pubblica del Comune, che aveva predisposto il bando, definito requisiti e dati da raccogliere e promosso l’iniziativa. La circostanza che ATM gestisse operativamente la registrazione e l’emissione degli abbonamenti non era sufficiente a qualificarla come titolare autonomo.

L’Autorità ha inoltre osservato che la qualifica di responsabile richiede un atto giuridico o contratto ex art. 28 GDPR, che nel caso di specie non risultava adottato. Il rapporto tra Comune e ATM, anche se inserito in un contesto di affidamento del servizio pubblico locale, avrebbe dovuto essere formalizzato specificamente per i trattamenti di dati connessi all’iniziativa.

Base giuridica del trattamento e consenso

Il Garante ha escluso che il trattamento potesse essere fondato sul consenso. In presenza di un’autorità pubblica o di un soggetto che agisce per l’esecuzione di un compito di interesse pubblico, il consenso non costituisce normalmente un valido fondamento giuridico, anche per l’evidente squilibrio tra interessato e titolare. Inoltre, il consenso richiesto nel form era obbligatorio, elemento incompatibile con la libertà della manifestazione di volontà richiesta dagli artt. 5, 6 e 7 GDPR e dai relativi considerando.

È stato altresì ritenuto non pertinente il richiamo all’art. 6, par. 1, lett. b), GDPR, perché il trattamento non era necessario all’esecuzione del contratto di trasporto in senso stretto, ma era preliminare alla verifica dei requisiti per l’agevolazione. Il trattamento è stato quindi ricondotto, per il soggetto pubblico titolare, all’art. 6, par. 1, lett. e), GDPR, senza che tuttavia ATM potesse giovarsi di una base giuridica autonoma in assenza della corretta designazione ex art. 28.

Violazioni accertate

Il Garante ha concluso che il trattamento effettuato da ATM era illecito, in quanto non conforme al principio di liceità, correttezza e trasparenza e privo di idoneo presupposto normativo. In particolare, ha rilevato la violazione di:

• art. 5, par. 1, lett. a), GDPR;
• artt. 6 e 9 GDPR;
• artt. 2-ter e 2-sexies del Codice privacy.

L’Autorità ha richiamato anche l’orientamento espresso nelle proprie precedenti decisioni e nella giurisprudenza di legittimità, sottolineando che, in assenza di designazione ex art. 28 GDPR e di altri presupposti legittimanti, il trattamento da parte del soggetto operante per conto dell’ente deve considerarsi privo di base giuridica.

Valutazione finale e misura adottata

Pur ravvisando l’illiceità del trattamento, il Garante ha valutato il caso come "violazione minore" ai sensi del considerando 148 GDPR e delle linee guida sulle sanzioni amministrative pecuniarie. Ha considerato, in particolare, l’assenza di danni comprovati, la finalità dell’iniziativa volta a favorire la mobilità sostenibile e a garantire benefici economici ai cittadini, la collaborazione prestata da ATM e l’assenza di precedenti pertinenti.

Per tali ragioni, l’Autorità ha ritenuto sufficiente un ammonimento nei confronti di ATM, ai sensi dell’art. 58, par. 2, lett. b), GDPR, senza applicare una sanzione pecuniaria. Ha inoltre disposto la pubblicazione del provvedimento sul sito istituzionale e la sua annotazione nel registro interno del Garante.