Ordinanza ingiunzione o revoca n. 524 del 11/09/2025

Università degli Studi di Verona - trattamento illecito di dati dei contribuenti TARI in un progetto di ricerca sui rifiuti

Il Garante ha sanzionato l’Università degli Studi di Verona per il trattamento di dati personali svolto nell’ambito di un progetto di ricerca sull’impatto dei messaggi e delle informazioni sui comportamenti di famiglie e attività commerciali in materia di rifiuti e riciclaggio. Il procedimento è stato avviato a seguito di notizie di stampa e di una successiva istruttoria che ha coinvolto anche il Comune di Verona, AMIA e So.Lo.Ri.

Origine del procedimento e ricostruzione dei fatti

L’iniziativa riguardava la somministrazione di questionari via e-mail o tramite link a cittadini e contribuenti TARI, inizialmente su un campione di 2.488 destinatari e poi, in un secondo invio, a 43.191 utenti. Dalla documentazione acquisita è emerso che il Comune, tramite So.Lo.Ri., ha trasmesso all’Università dati di contatto e identificativi dei contribuenti TARI, affinché l’Ateneo realizzasse il progetto di ricerca e gestisse l’invio e la raccolta dei questionari.

Il Comune e l’Università hanno fornito ricostruzioni divergenti sui ruoli: il Comune ha sostenuto che l’Università fosse titolare del trattamento e soggetto promotore e gestore della ricerca; l’Università, invece, ha più volte rappresentato di agire come responsabile del trattamento nell’ambito di un accordo di collaborazione scientifica. Nel corso dell’istruttoria è emerso, tuttavia, che non risultava stipulato un contratto o altro atto giuridico ai sensi dell’art. 28 GDPR per la nomina a responsabile.

Qualificazione dell’Università come titolare autonomo

L’Autorità ha qualificato l’Università come autonomo titolare del trattamento ai sensi degli artt. 4, par. 1, n. 7, e 24 GDPR. La valutazione è stata condotta in senso sostanziale, valorizzando il fatto che l’Ateneo aveva determinato finalità e mezzi del progetto, aveva predisposto il questionario e aveva concretamente realizzato la ricerca.

Il Garante ha escluso che l’Università potesse essere considerata responsabile del trattamento per conto del Comune, sia per l’assenza del necessario atto ex art. 28 GDPR, sia perché il progetto non risultava riconducibile alle competenze istituzionali del Comune né a un’attività di ricerca scientifica in capo a quest’ultimo. La presenza di un accordo di collaborazione, secondo l’Autorità, non è di per sé sufficiente a modificare la qualificazione dei ruoli privacy, che va effettuata caso per caso sulla base delle attività effettivamente svolte.

Illiceità del trattamento: assenza di base giuridica

Il Garante ha ritenuto che la comunicazione dei dati personali dei contribuenti TARI dal Comune, tramite So.Lo.Ri., all’Università fosse avvenuta in assenza di idonea base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6 GDPR e dell’art. 2-ter del Codice. I dati comunicati includevano il codice utente tariffa rifiuti e l’indirizzo e-mail dei contribuenti che avevano volontariamente indicato un contatto, per un numero complessivo molto elevato di interessati.

Di conseguenza, anche la successiva raccolta e il trattamento dei dati da parte dell’Università per l’invio dei questionari sono stati considerati illeciti. Il Garante ha escluso che la mera adesione volontaria allo studio potesse legittimare il trattamento, osservando che il consenso, per essere valido, deve essere libero, specifico, informato e inequivocabile ai sensi degli artt. 6, par. 1, lett. a), e 7 GDPR.

Informativa e trasparenza del trattamento

L’informativa resa agli interessati è stata giudicata incompleta e non conforme agli artt. 12, 13 e 14 GDPR. Pur essendo presente una schermata iniziale che richiamava la natura volontaria dello studio e la possibile analisi anonima e aggregata delle risposte, mancavano diversi elementi essenziali: in particolare, i dati di contatto del responsabile della protezione dei dati, la base giuridica del trattamento, il periodo di conservazione o i criteri per determinarlo, la fonte dei dati, i diritti degli interessati e il diritto di proporre reclamo al Garante.

L’Autorità ha inoltre rilevato che le informazioni fornite erano tra loro contraddittorie: da un lato si parlava di trattamento anonimo e aggregato, dall’altro si prospettava la possibilità che l’unità abitativa fosse ricontattata successivamente; inoltre, l’intestazione dell’invito lasciava intendere un coinvolgimento di più soggetti, mentre l’informativa individuava come unico titolare l’Università.

Accountability e protezione dei dati fin dalla progettazione

Il provvedimento evidenzia anche la violazione dei principi di responsabilizzazione e di protezione dei dati fin dalla progettazione, di cui agli artt. 5, par. 2, 24 e 25, par. 1, GDPR. Il Garante ha osservato che l’Università non aveva predisposto in modo adeguato il quadro di garanzie necessario a garantire il rispetto del Regolamento, in particolare nella definizione preventiva dei ruoli e nella selezione delle misure organizzative e informative coerenti con la natura del trattamento.

Secondo l’Autorità, il titolare deve assicurare che l’intero ciclo di vita del trattamento sia conforme alla base giuridica individuata, e deve essere in grado di dimostrarlo. Nel caso di specie, tale dimostrazione non è stata fornita in modo convincente.

Valutazioni finali e sanzione

Le difese dell’Università non sono state ritenute idonee a superare i rilievi contestati. Il Garante ha quindi confermato l’illiceità del trattamento per violazione degli artt. 5, 6, 12, 13, 14, 24 e 25 GDPR e dell’art. 2-ter del Codice. Ha inoltre preso atto che l’Università aveva interrotto il trattamento e cancellato i dati raccolti, ritenendo perciò non necessarie ulteriori misure correttive oltre alla sanzione pecuniaria.

Ai fini della quantificazione della sanzione, il Garante ha applicato l’art. 83, par. 3, GDPR, trattandosi di un’unica condotta, e ha valutato la numerosità degli interessati, il carattere colposo della violazione, l’assenza di categorie particolari di dati, l’assenza di precedenti pertinenti e la cooperazione prestata dall’Università. La sanzione è stata determinata in euro 9.000.

Dispositivo

Il Garante ha ordinato all’Università degli Studi di Verona il pagamento della sanzione amministrativa pecuniaria di euro 9.000 entro trenta giorni dalla notifica del provvedimento, con facoltà di definire la controversia mediante pagamento in misura ridotta ai sensi dell’art. 166, comma 8, del Codice. È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, la pubblicazione del provvedimento e l’annotazione nel registro interno dell’Autorità.