Ordinanza ingiunzione o revoca n. 468 del 04/08/2025

Comune di Venezia: trattamento illecito nel portale per il contributo d’accesso

Il provvedimento riguarda il Comune di Venezia, titolare del trattamento, con riferimento al sistema informatico predisposto per la gestione del contributo d’accesso alla città antica e alle isole minori della laguna, nonché per la raccolta delle richieste di esclusione ed esenzione. L’istruttoria è stata avviata d’ufficio a seguito di segnalazioni e notizie di stampa, poi integrata da verifiche documentali, richieste di informazioni, ispezione della Guardia di Finanza e audizioni del Comune.

Contesto normativo e oggetto del trattamento

Il trattamento si colloca nell’ambito della disciplina del contributo di accesso introdotto dal Comune in attuazione dell’art. 1, comma 1129, della legge n. 145/2018 e dell’art. 4, comma 3-bis, del d.lgs. n. 23/2011. Il regolamento comunale prevedeva categorie di esclusi ed esenti e stabiliva che tali soggetti dovessero dimostrare i presupposti mediante autocertificazione, certificazione o dichiarazione, secondo modalità operative definite dalla Giunta. Per la gestione di molte fattispecie il Comune aveva previsto l’uso del portale e della pre-registrazione.

Sviluppo dell’istruttoria e modifiche introdotte dal Comune

Nel corso dell’istruttoria il Comune ha progressivamente modificato il modello iniziale, anche a seguito dei rilievi dell’Autorità. Sono state introdotte o ampliate categorie residuali come "Altre esenzioni", sono state parzialmente ridotte le ipotesi di pre-registrazione e, per alcune categorie, è stata prevista la possibilità di dimostrare il titolo di esclusione/esenzione mediante esibizione di documenti in sede di controllo. Il Comune ha inoltre illustrato la distinzione fra controlli preventivi, contestuali e successivi, e la durata della conservazione dei dati, che per i soggetti controllati poteva arrivare fino al quinto anno successivo.

Profili di illegittimità della pre-registrazione

Il Garante ha ritenuto che la pre-registrazione di un ampio numero di categorie di soggetti esclusi o esenti non fosse giustificata in rapporto alle finalità tributarie perseguite. In particolare, non è stata considerata necessaria per categorie la cui condizione avrebbe potuto essere verificata in sede di controllo contestuale o tramite documentazione successiva, come lavoratori, studenti, residenti nel Veneto, dimoranti temporanei, locatari, familiari di residenti o di proprietari IMU, soggetti in visita per ragioni di salute, giustizia, studio, lavoro o eventi specifici.

Il Garante ha osservato che la raccolta preventiva sul portale comportava l’acquisizione di informazioni molto dettagliate su:

• tempi e spostamenti;
• motivi di accesso alla città;
• rapporti familiari e personali;
• condizioni o esigenze sensibili, in alcuni casi solo indirettamente desumibili.

Secondo l’Autorità, il trattamento era eccedente rispetto alle finalità e non rispettava i principi di minimizzazione e proporzionalità.

Residente, invitato e codice amico

Particolare attenzione è stata dedicata ai residenti che invitavano ospiti. Il Comune aveva inizialmente prospettato un sistema di disaccoppiamento tra residente e invitato, ma dall’istruttoria è emerso che la procedura continuava a prevedere la raccolta di dati dei soggetti invitati. Il Garante ha ritenuto non giustificata tale acquisizione, evidenziando che, ai fini del controllo, sarebbe stato sufficiente un meccanismo anonimo di vidimazione del codice amico, senza registrare dati personali degli ospiti né la correlazione con il residente.

Base giuridica e principi GDPR ritenuti violati

L’Autorità ha affermato che il trattamento, pur riferito a un compito di interesse pubblico, non risultava complessivamente proporzionato né adeguatamente sorretto, con riferimento agli artt. 6, par. 1, lett. e), e 6, par. 3, GDPR. Sono stati ritenuti violati anche i principi di cui all’art. 5, par. 1, lett. a), b), c), e) e f), in particolare:

• liceità, correttezza e trasparenza;
• limitazione della finalità;
• minimizzazione dei dati;
• limitazione della conservazione;
• integrità e riservatezza.

L’Autorità ha inoltre richiamato gli artt. 25 e 32 GDPR, rilevando la mancanza di adeguate misure di privacy by design e by default e di sicurezza del trattamento.

Aspetti relativi a dati particolari e dati penali

Il Garante ha sottolineato che alcune categorie trattate potevano implicare, almeno potenzialmente in sede di controllo successivo, dati particolari ex art. 9 GDPR o dati relativi a condanne penali e reati ex art. 10 GDPR. Ha quindi osservato che tali trattamenti avrebbero richiesto un livello di garanzia più elevato e una disciplina più puntuale, in quel momento non adeguatamente individuata o regolata.

Criticità dei totem e sicurezza del trattamento

L’istruttoria ispettiva ha riguardato anche i totem utilizzati per accedere al portale. Il Garante ha accertato che le impostazioni del browser potevano essere modificate dagli utenti e che, in caso di download del modulo con QR-code, il file poteva restare in memoria volatile fino al successivo riavvio del dispositivo. Pur contenendo solo iniziali e data di validità, il documento è stato considerato idoneo a non escludere del tutto l’identificazione, neppure indiretta, dell’interessato.

Per tali ragioni, l’Autorità ha ravvisato una violazione dell’art. 5, par. 1, lett. f), nonché degli artt. 25 e 32 GDPR, ritenendo necessarie misure tecniche e organizzative più robuste, in particolare per impedire modifiche delle impostazioni di default e usi impropri da parte di terzi.

Misure correttive ordinate

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto al Comune di Venezia di adottare ulteriori misure, in particolare:

• individuare ulteriori categorie di interessati che non debbano pre-registrarsi sul portale, specie quando il titolo possa essere verificato in controllo contestuale o successivo;
• ampliare la categoria residuale delle "Altre esenzioni" per ridurre la raccolta del motivo di accesso;
• sospendere l’acquisizione, tramite registrazione, dei dati personali degli ospiti invitati dai residenti, sostituendola con un meccanismo di sola verifica del codice amico;
• disciplinare in modo analitico la procedura dei controlli successivi, indicando modalità, dati trattati e garanzie specifiche.

Il Comune è stato inoltre tenuto a dare riscontro al Garante entro trenta giorni dalla notifica del provvedimento.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 83, par. 5, GDPR, ritenendo che tutte le violazioni derivassero da un’unica condotta o da trattamenti collegati. L’importo massimo astrattamente applicabile era pari a 20.000.000 euro, ma la sanzione è stata concretamente determinata in euro 10.000,00.

Nella quantificazione sono stati considerati:

• l’elevato numero di interessati coinvolti;
• la natura colposa della condotta;
• la delicatezza dei dati trattati, relativi agli spostamenti e alle abitudini personali;
• il grado di gravità medio della violazione.

Come attenuanti sono state valutate l’assenza di precedenti rilevanti e la collaborazione del titolare, unitamente ai correttivi adottati nel corso dell’istruttoria, ritenuti però non risolutivi.

Esito finale e pubblicazione

Il Garante ha dichiarato illecita la condotta del Comune di Venezia per violazione degli artt. 5, 6, 25 e 32 GDPR e ha ordinato il pagamento della sanzione di 10.000 euro. Ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito e la pubblicazione del provvedimento, oltre all’annotazione nel registro interno dell’Autorità.

Il provvedimento richiama infine i rimedi giurisdizionali previsti dagli artt. 78 GDPR, 152 del Codice e 10 del d.lgs. n. 150/2011.