Ordinanza ingiunzione o revoca n. 73 del 12/02/2026

Comune di Ancona e app "Aldilàpp": trattamento illecito di dati cimiteriali e profili digitali dei defunti

Il Garante per la protezione dei dati personali ha accertato diverse violazioni commesse nel contesto dell'applicazione "Aldilàpp", utilizzata per la consultazione dei cimiteri cittadini e per ulteriori funzionalità di tipo commemorativo, social e commerciale. Il procedimento trae origine da una segnalazione e da una complessa istruttoria svolta nei confronti del Comune di Ancona, del gestore dei servizi cimiteriali e della società STUP, distributrice della piattaforma in Italia.

Contesto e svolgimento dell'istruttoria

L'Autorità ha acquisito informazioni dal Comune, da Anconambiente e da STUP, ha svolto ispezioni presso la società e ha sentito i soggetti coinvolti. L'app consente, previa registrazione, di cercare l'ubicazione dei defunti nei cimiteri dei Comuni aderenti, di visualizzare un "profilo digitale" del defunto e di interagire con esso tramite dediche, messaggi, ceri virtuali, follow, condivisione e acquisto di servizi presso operatori locali.

L'istruttoria ha evidenziato che i dati dei defunti vengono acquisiti dai registri cimiteriali o da censimenti in loco e caricati nella piattaforma; il profilo digitale viene creato di default e reso immediatamente consultabile e interattivo. I Comuni, tramite una dashboard, possono gestire i dati cimiteriali, i contratti di concessione, le rivendicazioni dei profili e le richieste di esercizio dei diritti riferiti alle persone decedute.

Configurazione dei servizi e trattamento dei dati

Il Garante ha ricostruito un sistema in cui il servizio istituzionale di consultazione dell'ubicazione delle sepolture è strettamente intrecciato con funzionalità ulteriori non strettamente pubbliche. Per accedere anche alla sola ricerca del defunto, l'utente deve registrarsi, creare un account e fornire dati personali, tra cui numero di cellulare, email e nome utente. L'informativa privacy è resa solo dopo la validazione dell'account.

Nel profilo digitale del defunto sono visibili, oltre ai dati anagrafici e all'ubicazione della sepoltura, eventuali foto, biografie, dediche, messaggi, ceri virtuali, attività recenti e altri profili correlati. È prevista anche una funzione di esportazione e condivisione del profilo, accessibile perfino a non registrati. La funzione di rivendicazione del profilo richiede ulteriori dati personali dell'utente, tra cui autocertificazione del grado di parentela e copia del documento di identità.

Qualificazione dei ruoli e inadeguatezza dell'art. 28 GDPR

Il Garante ha ritenuto che i Comuni siano titolari del trattamento per i servizi cimiteriali istituzionali, mentre il gestore locale opera come responsabile del trattamento. In tale quadro, STUP e ISSAM non sono state considerate titolari autonomi per i trattamenti che si innestano sui dati comunali, ma soggetti che operano per conto del titolare o del responsabile, a seconda della catena contrattuale.

L'Autorità ha osservato che gli accordi ex art. 28 GDPR erano incompleti: non descrivevano in modo adeguato l'oggetto e la natura del trattamento, né disciplinavano compiutamente gli obblighi e i diritti del titolare e del responsabile. Tale carenza ha generato incertezza sul perimetro dei dati trattati e sul ruolo dei soggetti coinvolti, anche con riferimento alle successive evoluzioni della piattaforma e alla gestione delle richieste degli interessati e dei legittimati ex art. 2-terdecies del Codice privacy.

Violazioni accertate

Il Garante ha ravvisato la violazione:

• del principio di liceità, correttezza e trasparenza di cui all'art. 5, par. 1, lett. a), GDPR;
• dell'art. 6 GDPR e dell'art. 2-ter del Codice privacy, per assenza di una base giuridica idonea per i trattamenti ulteriori rispetto alle finalità istituzionali;
• degli artt. 12 e 13 GDPR, per informativa non adeguata e non coerente con l'effettivo assetto dei trattamenti;
• dell'art. 28, parr. 1 e 3, GDPR, per mancata adeguata regolazione e insufficiente vigilanza sui responsabili del trattamento.

Secondo l'Autorità, il sistema realizzato impone agli utenti una registrazione non necessaria per il solo servizio pubblico di ricerca delle sepolture, e trasforma i dati comunali in una bacheca digitale commemorativa, con esposizione e diffusione di informazioni non coerenti con le sole finalità istituzionali. Il Garante ha evidenziato anche che il profilo digitale del defunto, creato di default, finisce per comprimere la possibilità di scelta dei soggetti legittimati, costringendoli a registrarsi e a rivendicare il profilo per chiederne l'oscuramento o per esercitare i diritti sulle persone decedute.

Base giuridica e principio di trasparenza

L'Autorità ha escluso che la mera pubblicità delle informazioni sulle lapidi o l'accessibilità fisica dei cimiteri possano giustificare la trasformazione digitale dei dati in profili interattivi e condivisibili. Ha ritenuto che, per i trattamenti eccedenti la consultazione dell'ubicazione della sepoltura, non vi fosse una base giuridica adeguata, poiché essi risultano estranei ai compiti istituzionali degli enti locali e incompatibili con le finalità pubbliche dei dati cimiteriali.

Inoltre, la pubblicazione istituzionale dell'app e la presentazione del servizio come iniziativa comunale rafforzavano nell'utente la legittima aspettativa che il trattamento fosse riconducibile al Comune, aggravando l'inadeguatezza dell'informativa e la confusione sui ruoli soggettivi.

Misure correttive ordinate

In considerazione della situazione accertata e del precedente provvedimento adottato nei confronti di STUP, il Garante ha ingiunto al Comune di Ancona di:

• verificare, anche tramite il gestore, il completamento della separazione tra servizi istituzionali e servizi social/commerciali;
• verificare che gli utenti possano consultare in app i dati di ubicazione dei defunti senza registrazione di account;
• verificare la cancellazione dei profili digitali dei defunti creati di default e delle relative interazioni e rivendicazioni;
• revisionare gli accordi sul trattamento dei dati personali con STUP e ISSAM ai sensi dell'art. 28 GDPR;
• rivedere le informative ex art. 13 GDPR per utenti, concessionari, familiari ed eredi.

Il Comune deve trasmettere al Garante, entro trenta giorni dalla notifica, un riscontro documentato sulle iniziative adottate.

Sanzione amministrativa e criteri di quantificazione

L'Autorità ha distinto due condotte ai fini sanzionatori. Per le violazioni sostanziali di liceità, trasparenza, base giuridica, informativa e vigilanza, ha applicato una sanzione di euro 2.400, considerandone la gravità media, il carattere colposo, l'assenza di precedenti, il fatto che non risultano reclami e la dimensione media del Comune. Per la violazione dell'art. 28, par. 3, GDPR, dovuta all'incompletezza della disciplina contrattuale con il gestore, ha applicato una sanzione di euro 600, con gravità ritenuta bassa.

La sanzione complessiva è quindi pari a euro 3.000. Il Garante ha disposto la pubblicazione dell'ordinanza ingiunzione sul proprio sito internet, oltre alla pubblicazione del provvedimento e alla sua annotazione nel registro interno dell'Autorità.

Esito finale

Il Garante ha dichiarato l'illiceità del trattamento effettuato dal Comune di Ancona per violazione degli artt. 5, par. 1, lett. a), 6, 12, 13, 28, parr. 1 e 3, GDPR e dell'art. 2-ter del Codice privacy. Ha ordinato il pagamento della sanzione, l'adozione delle misure correttive e la comunicazione degli adempimenti entro trenta giorni. Contro il provvedimento è ammesso ricorso all'autorità giudiziaria ordinaria nei termini di legge.