Ordinanza ingiunzione o revoca n. 75 del 12/02/2026

Comune di Velletri e app Aldilapp: trattamento illecito dei dati nei servizi cimiteriali

Il provvedimento riguarda il Comune di Velletri, nell’ambito dell’utilizzo dell’applicazione "Aldilapp" e della relativa piattaforma software per la gestione e consultazione dei cimiteri. L’istruttoria prende avvio da una segnalazione e si sviluppa tramite richieste di informazioni, audizioni e accertamenti ispettivi presso i soggetti coinvolti.

Fatto e contesto applicativo

L’app Aldilapp consente la ricerca dei defunti nei cimiteri dei Comuni aderenti, la consultazione del profilo digitale del defunto e varie funzionalità ulteriori: rivendicazione del profilo, messaggi e dediche, accensione di ceri virtuali, follow del defunto, condivisione del profilo e acquisto di servizi commerciali come fiori e pulizia della tomba. Per l’accesso al servizio di ricerca l’utente deve registrarsi con account, numero di cellulare validato via OTP, username ed email; l’informativa privacy viene resa solo dopo la validazione e la creazione dell’account.

Trattamenti esaminati e architettura del servizio

Il Garante descrive una struttura unitaria del servizio: i dati dei defunti provenienti dai registri cimiteriali o dal censimento in loco vengono caricati in applicazione e resi disponibili come profili digitali aperti di default, consultabili dagli utenti registrati e arricchibili con contenuti e interazioni. La piattaforma software, accessibile ai Comuni o ai gestori, consente anche la consultazione delle schede dei defunti, dei contratti di concessione, dei dati di contatto e documenti dei soggetti che rivendicano il profilo. In alcuni casi sono state acquisite anche autocertificazioni e copie del documento di identità dei richiedenti.

Ruoli dei soggetti coinvolti

Il provvedimento ricostruisce il rapporto tra Comune di Velletri, Velletri Servizi e STUP. Il Comune è titolare del trattamento per le attività istituzionali cimiteriali; Velletri Servizi è responsabile del trattamento del Comune; STUP è sub-responsabile. Il Garante chiarisce che le qualificazioni contrattuali non sono decisive se non corrispondono alle circostanze di fatto e che il gestore non può essere considerato titolare autonomo per i servizi svolti per conto del Comune.

Violazioni contestate e valutazione del Garante

L’Autorità accerta la violazione:

• del principio di liceità, correttezza e trasparenza di cui all’art. 5, par. 1, lett. a), GDPR;
• della base giuridica del trattamento, in violazione dell’art. 6 GDPR e dell’art. 2-ter del Codice;
• degli obblighi informativi di cui agli artt. 12 e 13 GDPR;
• del dovere di vigilanza sul responsabile del trattamento ex art. 28, par. 1, GDPR.

Secondo il Garante, il servizio pubblico di consultazione delle sepolture è stato progettato in modo inscindibile rispetto alle funzionalità social e commerciali, che vanno oltre i compiti istituzionali del Comune. La mera consultazione dell’ubicazione della sepoltura non richiederebbe, in sé, la registrazione dell’utente; invece la piattaforma impone la creazione dell’account e associa alla ricerca il profilo digitale del defunto, con conseguente trattamento di dati ulteriori del defunto e degli utenti. Il profilo è inoltre esportabile e condivisibile, con aumento dei rischi di diffusione e strumentalizzazione dei dati.

Informativa e diritti delle persone decedute

Il Garante osserva che i dati dei defunti, pur non rientrando nel perimetro ordinario dell’interessato ai sensi del GDPR, restano protetti dal Codice privacy e dall’art. 2-terdecies. La piattaforma, tuttavia, non consente una distinzione effettiva tra consultazione pubblica del dato cimiteriale e servizi di tipo commemorativo/social, né garantisce che la rivendicazione del profilo e l’esercizio dei diritti sulle persone decedute avvengano sulla base di una scelta consapevole e volontaria del legittimato. Inoltre, l’informativa resa agli utenti è giudicata non adeguata perché non rappresenta correttamente il quadro dei ruoli e dei trattamenti effettivi.

Vigilanza sul responsabile del trattamento

Il Comune viene censurato anche per non aver vigilato in modo adeguato sull’operato del proprio responsabile del trattamento. Pur essendo stato informato della stipula del contratto con STUP, non ha acquisito tempestivamente tutta la documentazione necessaria per valutare i trattamenti effettivamente svolti. Per il Garante, tale ritardo non esonera il titolare ma integra una violazione dell’art. 28, par. 1, GDPR e del principio di responsabilizzazione.

Misure correttive, ingiunzione e termini

Tenendo conto della contestuale prescrizione adottata nei confronti di STUP con separato provvedimento, il Garante ingiunge al Comune di Velletri, limitatamente al territorio comunale, di verificare anche tramite il gestore l’avvenuta cancellazione di tutti i dati personali e delle informazioni associate ai profili rivendicati aperti di default sulla base del database comunale, sia quanto ai dati dei defunti sia quanto alle interazioni e rivendicazioni degli utenti. Il Comune deve inoltre comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate e le eventuali ulteriori misure per conformare il trattamento alla normativa.

Sanzione amministrativa e criteri di quantificazione

Ai sensi degli artt. 58 e 83 GDPR e dell’art. 166 del Codice, il Garante applica una sanzione amministrativa pecuniaria di euro 2.000,00. Ai fini della quantificazione vengono richiamati i criteri dell’art. 83, par. 2, GDPR: gravità e natura della violazione, assenza di reclami, colpa nella condotta, mancanza di dati particolari o giudiziari, dimensioni medie del Comune, assenza di precedenti pertinenti e cooperazione dimostrata nel tentativo di limitare i servizi alle sole funzioni cimiteriali istituzionali. Il Garante dispone anche la pubblicazione dell’ordinanza ingiunzione sul proprio sito internet.

Esito finale

Il provvedimento conclude rilevando l’illiceità del trattamento effettuato dal Comune di Velletri e imponendo il pagamento della sanzione, l’adozione delle misure correttive e la trasmissione di un riscontro documentato all’Autorità entro il termine indicato. Restano ferme le ulteriori valutazioni connesse alla riconfigurazione dei trattamenti e alle misure già adottate nei confronti degli altri soggetti coinvolti.