Ordinanza ingiunzione o revoca n. 523 del 11/09/2025

Comune di Verona – comunicazione illecita di dati TARI all’Università per un progetto di ricerca sui rifiuti

Il provvedimento riguarda il Comune di Verona, ritenuto responsabile della comunicazione illecita di dati personali di contribuenti TARI all’Università di Verona nell’ambito di un progetto di ricerca e somministrazione di questionari sui comportamenti di raccolta differenziata e riciclaggio. L’istruttoria è nata da notizie di stampa e si è sviluppata tramite richieste di informazioni, memorie difensive e audizione delle parti coinvolte.

Fatti e svolgimento dell’istruttoria

L’Autorità ha esaminato un’iniziativa concernente la raccolta di dati tramite questionari inviati ai cittadini via e-mail o mediante link su siti e social. Il progetto era stato promosso dall’Università di Verona, in collaborazione con il Comune, AMIA Verona S.p.A. e So.Lo.Ri. S.p.A., per valutare l’impatto di informazioni e incentivi sui comportamenti relativi alla produzione dei rifiuti e al riciclaggio.

Nel corso dell’istruttoria sono emerse ricostruzioni non coincidenti sui ruoli privacy:

• il Comune ha sostenuto di non essere titolare del trattamento e di aver agito, al più, come ente locale interessato alle finalità istituzionali del servizio rifiuti;
• l’Università ha descritto il Comune come titolare e sé stessa come mero responsabile;
• il Comune, in altra fase, ha affermato che il progetto fosse invece promosso e gestito dall’Università.

Trattamenti accertati

Il Garante ha accertato che il Comune, tramite So.Lo.Ri. quale responsabile del trattamento, ha comunicato all’Università i dati personali di contribuenti TARI con indirizzo e-mail valido, consistenti nel codice utenza tariffa rifiuti e nell’indirizzo e-mail eventualmente fornito dagli utenti. La comunicazione ha riguardato inizialmente 2.488 soggetti e successivamente 43.191 utenti per un secondo invio del questionario.

L’Università ha utilizzato i dati per la somministrazione del questionario e per l’estensione del sondaggio all’intera cittadinanza, sempre mediante il medesimo software impiegato per il primo invio.

Valutazioni sulla liceità del trattamento

L’Autorità ha ritenuto che il Comune fosse titolare del trattamento in relazione alla comunicazione dei dati, in quanto soggetto pubblico cui è affidata la funzione di gestione del servizio rifiuti e della riscossione TARI. Tuttavia, ha escluso che la comunicazione all’Università fosse sorretta da una base giuridica idonea ai sensi dell’art. 6 GDPR e dell’art. 2-ter del Codice privacy.

In particolare, il Garante ha osservato che:

• le norme richiamate dal Comune individuano in termini generici i compiti istituzionali dell’ente, ma non dimostrano che tra essi rientri anche la ricerca scientifica;
• il Comune non ha provato di essere un istituto o ente di ricerca ai sensi delle Regole deontologiche, né di aver operato tramite un ufficio di statistica;
• il progetto di ricerca riguardava le finalità istituzionali dell’Università, che correttamente si qualifica come titolare nell’ambito delle informazioni rese agli interessati;
• la comunicazione di dati a un terzo soggetto per l’invio di comunicazioni di ingaggio non era necessaria in senso stretto, potendo l’obiettivo essere raggiunto con modalità meno invasive.

Il Garante ha quindi ravvisato una violazione degli artt. 5, par. 1, lett. a), e 6, parr. 1, lett. c) ed e), 2 e 3, GDPR, nonché dell’art. 2-ter, commi 1-3, Codice privacy.

Responsabilizzazione e protezione dei dati fin dalla progettazione

L’Autorità ha rilevato anche la violazione dei principi di accountability e privacy by design. Il Comune, nel definire finalità e mezzi del trattamento collegato alla comunicazione dei dati all’Università, non ha adottato misure e garanzie adeguate a verificare in anticipo la base giuridica, la pertinenza della comunicazione e il corretto inquadramento dei ruoli privacy.

Secondo il Garante, il titolare deve assicurare che ogni comunicazione di dati sia coperta da una base giuridica valida e che la valutazione sia effettuata prima del trattamento, con misure tecniche e organizzative adeguate al contesto e ai rischi. La mancata adozione di tali cautele ha integrato la violazione degli artt. 5, par. 2, 24 e 25, par. 1, GDPR.

Esito del procedimento e sanzione

L’Autorità ha ritenuto che le difese del Comune non fossero idonee a superare i rilievi dell’avvio del procedimento e ha escluso i presupposti per l’archiviazione. Ha inoltre osservato che il trattamento aveva già esaurito i propri effetti, poiché il Comune aveva dichiarato di averlo interrotto; per questo non sono state adottate ulteriori misure correttive diverse dalla sanzione.

Ai fini della quantificazione, il Garante ha considerato:

• la numerosità degli interessati coinvolti;
• il carattere colposo della violazione;
• l’assenza di categorie particolari di dati;
• l’assenza di precedenti pertinenti;
• il grado di cooperazione del titolare con l’Autorità.

La sanzione è stata determinata in euro 6.000 per la violazione degli artt. 5, par. 1, lett. a), 2, 6, parr. 1, lett. c) ed e), 2 e 3, 24 e 25 GDPR e 2-ter, commi 1-3, Codice privacy. Il Garante ha disposto anche la pubblicazione dell’ordinanza ingiunzione sul proprio sito internet e l’annotazione delle violazioni nel registro interno dell’Autorità.

Indicazioni operative per i professionisti

Il provvedimento conferma che, nelle collaborazioni tra pubbliche amministrazioni e soggetti accademici, è decisiva la verifica sostanziale di finalità e mezzi del trattamento, nonché della necessità della comunicazione di dati personali. Non è sufficiente invocare in astratto un interesse pubblico o un progetto di ricerca: occorre una base giuridica specifica, una corretta allocazione dei ruoli e una progettazione del trattamento coerente con i principi di minimizzazione, liceità e responsabilizzazione.