Ordinanza ingiunzione o revoca n. 200 del 26/03/2026

Messina Social City: diffusione illecita su Facebook di immagini di minori e persone con disabilità

Il provvedimento riguarda Messina Social City, azienda speciale del Comune di Messina, destinataria di un’istruttoria avviata a seguito della pubblicazione su Facebook di immagini e video relativi a minori e ad altri beneficiari vulnerabili di servizi socio-assistenziali. L’Autorità ha ritenuto illecito il trattamento per difetto di base giuridica e per l’assenza di un valido accordo ex art. 28 GDPR con il Comune.

Origine del procedimento e accertamenti

Il procedimento nasce da una segnalazione relativa a un post pubblicato sulla pagina Facebook dell’Azienda, corredato da numerose foto di minori intenti a mangiare e divertirsi durante una manifestazione denominata “Street Food”. Secondo la segnalazione, tra i soggetti ritratti vi erano minori assistiti dal servizio comunale di “Educativa Domiciliare”, fotografati senza schermatura. Nel corso degli accertamenti l’Autorità ha rilevato anche altri post di analoga natura, con contenuti riferiti a minori e persone con disabilità, alcuni ancora visibili al momento delle verifiche.

L’Autorità ha richiesto informazioni sia all’Azienda speciale sia al Comune di Messina. L’Azienda ha sostenuto di aver raccolto il consenso dei genitori dei minori, di agire come titolare autonomo del trattamento e di aver già rimosso i contenuti contestati. Il Comune ha invece negato ogni coinvolgimento nelle attività comunicative, affermando che si trattava di iniziative autonome dell’Azienda, estranee ai compiti affidati.

Quadro normativo richiamato

Il Garante richiama in particolare:

• art. 4, par. 1, n. 1, GDPR, sul concetto di dato personale e identificabilità;
• art. 5, par. 1, lett. a), GDPR, sul principio di liceità, correttezza e trasparenza;
• artt. 6, par. 1, lett. c) ed e), par. 2 e par. 3, lett. b), GDPR, sulle basi giuridiche per i soggetti pubblici;
• art. 9 GDPR e artt. 2-sexies e 2-septies, comma 8, Codice privacy, sul divieto di diffusione dei dati relativi alla salute e delle categorie particolari di dati;
• art. 28 GDPR, sulla necessità di un contratto o altro atto giuridico tra titolare e responsabile;
• art. 2-ter Codice privacy, sulla diffusione di dati da parte di soggetti pubblici.

Sono richiamate anche le Linee guida EDPB 07/2020 sui concetti di titolare e responsabile del trattamento, le Linee guida 5/2020 sul consenso e il provvedimento generale n. 243 del 15 maggio 2014 in materia di pubblicità e trasparenza online da parte di soggetti pubblici.

Qualificazione dei ruoli: Comune titolare e Azienda responsabile

Il Garante non ha condiviso la tesi dell’Azienda secondo cui essa sarebbe titolare autonomo del trattamento sulla base del proprio statuto, del contratto di servizio e del consenso raccolto dagli utenti.

L’Autorità ha ritenuto che:

• il Comune di Messina sia titolare del trattamento per i servizi socio-assistenziali, perché si tratta di funzioni istituzionali assegnate dalla legge;
• l’Azienda speciale, soggetto distinto e dotato di autonoma personalità giuridica, operi per conto del Comune ed è pertanto responsabile del trattamento;
• tale qualificazione valga sia per i servizi “standard”, affidati stabilmente con contratto di servizio, sia per i servizi “non standard”, finanziati da specifici progetti ma comunque promossi o affidati dal Comune;
• la circostanza che il Comune non acceda materialmente ai dati non escluda la sua titolarità, se esso determina finalità e mezzi essenziali del trattamento;
• la pubblicizzazione sul sito istituzionale del Comune dei servizi erogati dall’Azienda rafforzi la legittima aspettativa degli interessati circa la riconducibilità dei trattamenti al Comune.

Illiceità della diffusione online

La parte centrale del provvedimento riguarda la diffusione delle immagini degli interessati tramite Facebook. Il Garante ha escluso che la legge n. 150/2000 possa costituire base giuridica sufficiente, poiché la normativa sulla comunicazione delle pubbliche amministrazioni opera comunque “nel rispetto delle norme vigenti in tema di tutela della riservatezza dei dati personali” e non specifica, come richiesto dall’art. 6, par. 3, GDPR, tipologie di dati, interessati, soggetti destinatari e finalità della comunicazione.

Inoltre, l’Autorità ha ritenuto che la diffusione non fosse necessaria rispetto alle finalità di informazione e promozione delle attività sociali, perché tali obiettivi potevano essere perseguiti anche senza pubblicare immagini di soggetti vulnerabili. La pubblicazione su un social network è stata considerata particolarmente invasiva per la sua capacità diffusiva e per il rischio di riutilizzo indefinito dei contenuti.

Minori, persone con disabilità e dati sulla salute

L’Autorità ha dato rilievo alla presenza di minori e persone con disabilità tra gli interessati coinvolti. Per i minori, il Garante richiama la loro particolare vulnerabilità e il fatto che la diffusione online delle immagini può comportare rischi significativi e permanenti.

Per le persone con disabilità, e più in generale per le immagini idonee a rivelare condizioni di fragilità o aspetti legati alla salute, il Garante ricorda che i dati relativi alla salute e le categorie particolari di dati non possono essere diffusi.

Inidoneità del consenso e del contratto di servizio

Il Garante ha ritenuto non validi i riferimenti al consenso e al contratto di servizio come fonti di liceità della diffusione:

• il consenso non è, di regola, valido fondamento per un soggetto pubblico, specie in presenza di uno squilibrio tra interessato e titolare;
• il modulo utilizzato dall’Azienda non consentiva una scelta granulare tra diverse finalità e operazioni, ma prevedeva un’unica firma;
• per i minori, il consenso degli esercenti la responsabilità genitoriale non basta a legittimare una diffusione contraria al superiore interesse del minore;
• l’art. 6, par. 1, lett. b), GDPR non si applica, perché il trattamento non è necessario all’esecuzione di un contratto di cui l’interessato è parte, ma si colloca nell’ambito di un contratto di servizio tra ente pubblico e soggetto affidatario.

Omessa regolamentazione ex art. 28 GDPR

L’Autorità ha rilevato che tra Comune e Azienda non risultava stipulato alcun accordo ex art. 28 GDPR, né per i servizi standard né per quelli non standard. I contratti di servizio contenevano soltanto generici richiami agli obblighi in materia di protezione dei dati e alla nomina del DPO, ma non disciplinavano materia, tipo di dati, categorie di interessati, istruzioni documentate e ulteriori elementi richiesti dal GDPR.

Il Garante ha quindi concluso che l’Azienda, quale responsabile del trattamento, ha violato l’art. 28, par. 3, GDPR.

Valutazione finale e misure correttive

Il Garante ha respinto le difese difensive dell’Azienda e del Comune e ha ritenuto il trattamento illecito per violazione degli artt. 6, 9 e 28 GDPR, nonché degli artt. 2-ter, 2-sexies e 2-septies, comma 8, Codice privacy.

Sono state impartite le seguenti misure:

• cessare l’ulteriore diffusione dei dati personali contenuti nei post indicati e in ogni altro post analogo, anche successivo;
• comunicare entro 30 giorni le iniziative adottate per eseguire l’ordine e per assicurare la conformità del trattamento.

Sanzione amministrativa e pubblicazione del provvedimento

Tenuto conto dell’unitarietà della condotta, il Garante ha applicato l’art. 83, par. 3, GDPR, individuando come massimo teorico quello previsto per la violazione più grave ai sensi dell’art. 83, par. 5, GDPR. La sanzione è stata determinata in euro 10.000,00.

Nella quantificazione l’Autorità ha considerato:

• la gravità della diffusione di dati di soggetti vulnerabili;
• il carattere colposo della condotta;
• la cooperazione successiva dell’Azienda e la revisione delle policy interne;
• il contesto socio-assistenziale e la finalità dichiarata di promozione delle attività;
• la mancata rimozione di tutti i contenuti contestati e precedenti violazioni pertinenti.

Infine, il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito e l’annotazione delle violazioni nel registro interno dell’Autorità. È stato ricordato il diritto di proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.