Ordinanza ingiunzione o revoca n. 76 del 12/02/2026

Velletri Servizi S.p.A. - trattamento dei dati nella piattaforma cimiteriale "Aldilapp"

Il provvedimento riguarda Velletri Servizi S.p.A., con riferimento ai trattamenti di dati personali svolti nell’ambito della piattaforma "Aldilapp" e della relativa dashboard per la gestione dei servizi cimiteriali del Comune di Velletri. L’istruttoria origina da una segnalazione e da successivi accertamenti ispettivi, ed è focalizzata sia sulla corretta qualificazione dei ruoli privacy sia sull’adeguatezza degli accordi e delle misure di sicurezza.

Contesto fattuale e servizi esaminati

L’applicazione consente la ricerca della sepoltura di un defunto, la consultazione del relativo profilo digitale, la rivendicazione del profilo da parte dei familiari o soggetti legittimati, l’invio di messaggi e dediche, l’accensione di ceri virtuali, la segnalazione di errori o abusi, la condivisione del profilo e l’acquisto di servizi commerciali come fiori e pulizia della tomba. Per poter usare anche la sola funzione di ricerca delle sepolture, l’utente deve registrarsi e creare un account, fornendo numero di cellulare, indirizzo email e altri dati di profilo.

La piattaforma mostra inoltre, di default, i "profili digitali" dei defunti, arricchiti con dati anagrafici, ubicazione della sepoltura, eventuale foto, biografia e interazioni degli utenti. Il Garante rileva che il sistema non consente di separare realmente il servizio pubblico di consultazione dalle funzionalità ulteriori di natura social o commerciale.

Ruoli del trattamento e catena contrattuale

Per i trattamenti connessi ai servizi cimiteriali istituzionali, il Garante ricostruisce il rapporto nel modo seguente:

• il Comune di Velletri è titolare del trattamento;
• Velletri Servizi S.p.A. agisce come responsabile del trattamento per conto del Comune;
• STUP e ISSAM sono sub-responsabili, in quanto incaricati da Velletri Servizi.

L’Autorità evidenzia che gli accordi ex art. 28 GDPR erano incompleti, perché non disciplinavano in modo pieno oggetto, natura, finalità, tipologia di dati, categorie di interessati, obblighi e diritti delle parti con riferimento a tutti i trattamenti effettivamente svolti nella piattaforma. In particolare, non risultavano correttamente regolati i trattamenti relativi agli utenti registrati, ai soggetti che esercitano i diritti ex art. 2-terdecies del Codice, ai concessionari, ai familiari ed eredi e ai dati trattati in sede di rivendicazione del profilo.

Violazione dell’art. 28, par. 4, GDPR

Il Garante contesta a Velletri Servizi di aver omesso di stipulare un accordo adeguato con i sub-responsabili e di aver omesso un controllo effettivo sui trattamenti da essi effettuati. La violazione è stata ricondotta all’art. 28, par. 4, GDPR, poiché la società ha affidato a STUP e ISSAM una parte dei trattamenti senza una regolamentazione completa e senza una vigilanza sufficiente sulla corretta esecuzione dei servizi e sul rispetto della normativa privacy.

L’Autorità osserva che la società era consapevole della natura e dell’ampiezza dei servizi attivati, anche alla luce della documentazione contrattuale e delle richieste di chiarimento pervenute nel corso dell’istruttoria, e che ciò rendeva necessario un monitoraggio costante sull’operato dei sub-responsabili.

Violazione dell’art. 32 GDPR

Il secondo profilo sanzionato riguarda la sicurezza del trattamento. Velletri Servizi ha ammesso che, dopo la cessazione del rapporto con STUP, i flussi informativi verso quest’ultima erano proseguiti per un certo periodo per mancato blocco del canale di comunicazione tra il gestionale interno e l’applicativo Aldilapp. L’Autorità ritiene che le misure tecniche e organizzative non fossero adeguate ai rischi del trattamento, soprattutto considerando la natura dei dati gestiti e l’esigenza di garantire riservatezza, integrità e disponibilità delle informazioni cimiteriali.

Valutazioni del Garante sulla configurazione dei trattamenti

Il provvedimento sottolinea che la registrazione obbligatoria degli utenti e la creazione automatica dei profili digitali dei defunti non erano necessarie per la sola consultazione dell’ubicazione delle sepolture. Secondo il Garante, il servizio pubblico avrebbe potuto essere reso senza imporre la creazione dell’account e senza associare in modo inscindibile le funzioni istituzionali a quelle social e commerciali.

L’Autorità richiama anche l’art. 2-terdecies del Codice per evidenziare che i diritti sui dati delle persone decedute possono essere esercitati da soggetti legittimati, ma che il trattamento dei dati di questi ultimi e la procedura di rivendicazione del profilo comportano comunque nuove attività di trattamento da parte del titolare e dei responsabili, che devono essere adeguatamente disciplinate.

Sanzione amministrativa pecuniaria

Il Garante ha trattato separatamente le due violazioni ai fini della quantificazione della sanzione:

• per la violazione dell’art. 28, par. 4, GDPR: euro 2.000;
• per la violazione dell’art. 32 GDPR: euro 500.

La sanzione complessiva irrogata a Velletri Servizi S.p.A. è quindi pari a euro 2.500. Nella quantificazione sono stati considerati, tra gli altri elementi, la gravità media della prima violazione e bassa della seconda, l’assenza di precedenti pertinenti, la cooperazione mostrata e il fatto che non risultano reclami di interessati.

Misure correttive e prescrizioni

Oltre alla sanzione, il Garante ha ingiunto a Velletri Servizi, limitatamente ai cimiteri di Velletri, di:

• verificare, in collaborazione con il Comune di Velletri, l’avvenuta cancellazione di tutti i dati personali e delle informazioni associate ai profili rivendicati aperti di default sulla base del database comunale, sia con riferimento ai dati dei defunti sia alle interazioni e rivendicazioni effettuate dagli utenti;
• comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative intraprese e le eventuali ulteriori misure adottate per assicurare la conformità del trattamento.

Il provvedimento dispone inoltre la pubblicazione dell’ordinanza ingiunzione sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

Implicazioni operative

Il caso conferma che, nelle soluzioni digitali offerte agli enti pubblici, la qualificazione dei ruoli privacy non può essere definita solo contrattualmente ma deve corrispondere alla realtà dei trattamenti. Inoltre, il responsabile del trattamento che si avvale di sub-responsabili deve presidiare in modo puntuale la catena contrattuale e la sicurezza dei flussi di dati, specialmente quando il servizio integra funzioni istituzionali con funzionalità ulteriori e quando la cessazione del rapporto richiede la disattivazione immediata dei collegamenti tecnici.