Ordinanza ingiunzione o revoca n. 164 del 27/04/2023

Ama S.p.a. - trattamento illecito dei dati delle donne nella sepoltura di feti e prodotti abortivi

Il provvedimento riguarda Ama S.p.a., quale responsabile del trattamento nell'ambito dei servizi cimiteriali di Roma Capitale, e ha origine da notizie stampa e successivi accertamenti ispettivi sulla presenza di targhette recanti le generalità di donne in corrispondenza di sepolture di feti e prodotti abortivi. Il Garante ha esaminato anche i trattamenti connessi ai registri cimiteriali e alla documentazione trasmessa dalle ASL.

Origine del procedimento e fatti emersi

L'Autorità ha appreso che presso il cimitero Flaminio erano presenti sepolture di prodotti abortivi contrassegnate da croci con targhette contenenti nome e cognome della donna e una data. Dalla documentazione acquisita è emerso che il servizio cimiteriale riceveva dalle ASL autorizzazioni al trasporto e al seppellimento, oltre a certificati medico-legali e note di trasmissione, spesso contenenti in chiaro dati particolarmente delicati delle donne interessate.

Ruoli privacy e assetto organizzativo

Ama S.p.a. ha dichiarato di operare come responsabile del trattamento per Roma Capitale, limitatamente ai dati dei cittadini e degli utenti dei cimiteri. Il Comune, quale titolare, ha confermato di aver impartito solo in un secondo momento istruzioni specifiche per i casi relativi a prodotti abortivi e feti, rilevando nel frattempo una lacuna normativa e avviando poi la modifica del regolamento cimiteriale.

Trattamenti contestati

I trattamenti esaminati hanno riguardato:

• la realizzazione e l'apposizione delle targhette identificative sulle sepolture;
• la compilazione dei registri cimiteriali informatizzati;
• l'archiviazione della documentazione ricevuta dalle ASL;
• la comunicazione di informazioni all'utenza sull'ubicazione delle sepolture.

Il Garante ha distinto tra i casi di sepoltura su richiesta dei genitori o dei familiari, nei quali non risultava la diffusione dei dati delle donne, e i casi di sepoltura disposta su richiesta della ASL, nei quali invece le targhette riportavano le generalità della donna.

Quadro normativo richiamato

L'Autorità ha richiamato:

• gli artt. 5, 6, 9, 24, 28, 29 e 32 del GDPR;
• l'art. 2-quaterdecies del Codice privacy;
• l'art. 2-sexies del Codice, sul trattamento per motivi di interesse pubblico rilevante;
• l'art. 2-septies del Codice, che vieta la diffusione dei dati relativi alla salute;
• l'art. 7, 50, 52, 53 e 70 del d.P.R. 285/1990;
• la legge n. 194/1978, in particolare il regime di riservatezza e tutela dell'anonimato della donna che ricorre all'interruzione di gravidanza.

Il Garante ha ribadito che i dati relativi all'interruzione di gravidanza rientrano tra i dati relativi alla salute e sono soggetti a un regime di particolare riservatezza.

Valutazione sulla targhette delle sepolture

Secondo il Garante, l'indicazione del nome e cognome della donna sulle targhette non era imposta dall'art. 70 del d.P.R. 285/1990, che richiede l'indicazione dei dati del defunto, non di una persona in vita come la donna. La finalità di identificazione e tracciabilità poteva essere soddisfatta con codici alfanumerici o numeri di registrazione, senza rendere pubblici dati sanitari. Pertanto, la diffusione delle generalità è stata qualificata come trattamento privo di base giuridica, in violazione dei principi di liceità, correttezza, trasparenza, minimizzazione ed esattezza.

Violazione dell'art. 29 GDPR e carenza di istruzioni

Il Garante ha accertato che Ama S.p.a. aveva gestito i casi senza aver chiesto specifiche istruzioni al titolare, pur in presenza di un quadro normativo ritenuto incerto e di dati particolarmente sensibili. Il responsabile del trattamento avrebbe dovuto attenersi a istruzioni documentate del titolare; invece, la gestione è avvenuta sulla base di una propria interpretazione della normativa di settore. È stata quindi accertata la violazione dell'art. 29 GDPR.

Attuazione incompleta o non adeguata delle istruzioni del titolare

Dopo l'avvio dell'istruttoria, Roma Capitale ha impartito istruzioni per:

• eliminare ogni riferimento alla genitrice e/o al feto sui segni funerari;
• limitare nei registri cimiteriali i dati ai soli permessi di trasporto e seppellimento associati a un codice alfanumerico;
• riservare l'accesso ai dati alla donna interessata;
• sostituire con urgenza le targhette recanti dati personali;
• individuare soggetti autorizzati e formare specificamente il personale.

L'ispezione ha però evidenziato che alcune targhette erano state solo cancellate con vernice coprente, rivelatasi non idonea nel tempo, mentre altre erano state effettivamente sostituite. Il Garante ha dunque ritenuto che l'attuazione fosse stata solo parziale e, in parte, inadeguata, con conseguente permanenza della visibilità dei dati personali su alcune sepolture.

Registri cimiteriali e comunicazioni all'utenza

Per i registri cimiteriali informatizzati è stato accertato che, per prassi, vi erano riportati nome e cognome della donna, data di arrivo, provenienza, tipologia della salma, data di inumazione e ubicazione. Il Garante ha osservato che ciò consentiva, in astratto, di ricavare un elenco delle donne che avevano effettuato un'interruzione di gravidanza.

Tuttavia, alla luce delle modifiche regolamentari introdotte da Roma Capitale e del nuovo sistema informatico, con dati segregati e accessibili solo a un numero ristretto di addetti, l'Autorità ha ritenuto superate le criticità relative ai registri cimiteriali, senza formulare rilievi ulteriori su questo specifico profilo.

Misure correttive e interventi successivi

Roma Capitale ha successivamente:

• approvato nuove istruzioni operative;
• avviato la modifica del regolamento di polizia cimiteriale;
• poi approvato la deliberazione n. 88 del 3 novembre 2022, che consente, su richiesta della donna interessata, l'uso di codice alfanumerico, nome, vezzeggiativo, simbolo, data o altro elemento non identificativo in chiaro.

Ama S.p.a. ha dichiarato di aver completato la sostituzione delle targhette e di aver avviato un progetto per soluzioni più rispettose della riservatezza e della pietas.

Sanzione e criteri di quantificazione

Il Garante ha applicato l'art. 83, par. 4, GDPR, in combinato disposto con l'art. 58, par. 2, lett. i), GDPR e l'art. 166 del Codice privacy. La sanzione è stata determinata in euro 239.000, tenendo conto:

• della natura e gravità della violazione;
• della durata e della diffusione illecita di dati relativi alla salute;
• del numero elevato di interessati;
• del danno arrecato;
• della collaborazione prestata da Ama S.p.a.;
• dell'assenza di dolo;
• dell'assenza di precedenti pertinenti.

Dispositivo

Il Garante ha:

• dichiarato illecita la condotta di Ama S.p.a. per violazione degli artt. 28, 29 e 32 GDPR e dell'art. 2-quaterdecies del Codice;
• ordinato il pagamento della sanzione di euro 239.000 entro 30 giorni dalla notifica;
• ricordato la possibilità di definizione agevolata con pagamento della metà entro 30 giorni, ai sensi dell'art. 166, comma 8, del Codice;
• disposto la pubblicazione del provvedimento sul sito istituzionale.

Non sono state adottate ulteriori misure correttive, poiché le criticità risultavano già superate dalle iniziative intraprese dal titolare e dal responsabile.