Garante Privacy sanziona app cimiteriale: Ancona e Velletri coinvolte

Violazioni privacy nell'app Aldilapp: multe e disposizioni per Comuni e sviluppatore

Il Garante per la Protezione dei Dati Personali ha recentemente inflitto sanzioni significative a Stup, la società che distribuisce l'applicazione Aldilapp in Italia. Provvedimenti sono stati presi anche contro il Comune di Ancona, il Comune di Velletri e i rispettivi gestori dei servizi cimiteriali.

Le violazioni riguardano il trattamento dei dati personali dei defunti e l'offerta di servizi che mescolavano finalità istituzionali con funzioni di tipo social e commerciale. L'Autorità ha imposto la separazione netta delle funzionalità e la cancellazione dei profili digitali creati automaticamente.

L'applicazione Aldilapp si propone come uno strumento innovativo per la gestione e la consultazione dei dati cimiteriali. Permette agli utenti registrati di individuare con facilità il luogo di sepoltura dei propri cari all'interno dei cimiteri che aderiscono al servizio.

Oltre a questa funzione di base, l'app offre una serie di servizi aggiuntivi che hanno sollevato le preoccupazioni del Garante. Tra questi, spiccano funzionalità di natura «social» e opzioni commerciali, accessibili direttamente dalla piattaforma.

Il cuore della controversia risiede nell'utilizzo dei database comunali da parte di Aldilapp. L'app, infatti, creava in modo predefinito dei veri e propri «profili digitali» per i defunti, attingendo direttamente alle informazioni fornite dalle amministrazioni locali.

Questi profili permettevano agli utenti di pubblicare dediche, accendere ceri virtuali e interagire con la memoria dei defunti, rendendo tali contenuti visibili a tutti gli altri utilizzatori dell'applicazione. Parallelamente, venivano proposti servizi commerciali come la fornitura di fiori o la pulizia delle tombe, integrati nella medesima interfaccia.

A seguito di un'approfondita istruttoria, il Garante per la Protezione dei Dati Personali ha evidenziato diverse criticità strutturali. L'utilizzo di un'unica piattaforma per scopi tanto diversi – servizi istituzionali, funzioni social e offerte commerciali – è stato giudicato problematico.

Questa commistione, infatti, ha comportato un trattamento di dati personali ritenuto eccedente rispetto alle sole finalità istituzionali per cui i Comuni mettono a disposizione le informazioni. Si è creata una situazione di potenziale confusione per gli utenti, che potevano legittimamente aspettarsi che tutti i trattamenti fossero riconducibili alla responsabilità delle amministrazioni comunali.

Ulteriori problematiche sono emerse riguardo alla regolamentazione dei rapporti tra i soggetti coinvolti, ovvero la società Stup, i Comuni e i gestori cimiteriali. La scarsa trasparenza nei confronti degli utenti è stata un altro punto dolente, così come l'inadeguatezza di alcune misure tecniche e organizzative adottate per la protezione dei dati.

Di fronte a queste violazioni, l'Autorità ha imposto una serie di misure correttive. È stato ordinato il rafforzamento delle misure di sicurezza per garantire una maggiore protezione dei dati personali trattati attraverso l'app. Questo include sia aspetti tecnici che organizzativi.

Una delle disposizioni più rilevanti riguarda la netta separazione tra i servizi istituzionali e quelli di natura «social» e commerciale. Il Garante ha stabilito che queste diverse tipologie di offerta non possono essere inscindibilmente connesse, ma devono operare su piani distinti per evitare ambiguità e trattamenti non autorizzati.

Inoltre, è stata imposta la cancellazione di tutti i «profili digitali» dei defunti che erano stati creati automaticamente utilizzando i database comunali. Anche le interazioni a essi associate, come dediche e ceri virtuali, dovranno essere rimosse dalla piattaforma.

Il Garante ha chiarito che i servizi di tipo social e commerciale potranno continuare ad essere erogati da Stup. Tuttavia, ciò dovrà avvenire esclusivamente su esplicita richiesta degli utenti e, fondamentale, senza utilizzare i database cimiteriali messi a disposizione dai Comuni.

Questi database, infatti, sono destinati unicamente all'erogazione del servizio di informazione sull'ubicazione dei defunti all'interno dei propri cimiteri. Ogni altro utilizzo, soprattutto per finalità commerciali o social, richiede un consenso specifico e non può basarsi su un'acquisizione massiva di dati.

Nonostante la gravità delle violazioni riscontrate, l'Autorità ha deciso di irrogare sanzioni amministrative di importo contenuto. Questa decisione è stata motivata dalla natura innovativa del servizio offerto da Aldilapp, dall'assenza di reclami da parte degli utenti e dalla collaborazione fornita da tutti i soggetti coinvolti nel corso dell'istruttoria.

Nello specifico, la società Stup è stata sanzionata con una multa di 6.000 euro. Il Comune di Ancona ha ricevuto una sanzione di 3.000 euro, mentre il Comune di Velletri è stato multato per 2.000 euro. Ai gestori cimiteriali coinvolti è stata comminata una sanzione complessiva di 2.500 euro.

Questa vicenda sottolinea l'importanza cruciale della protezione dei dati personali, anche in contesti delicati come quello della memoria dei defunti. Le amministrazioni pubbliche devono prestare la massima attenzione quando affidano a terzi la gestione di dati sensibili, assicurando sempre la conformità alle normative vigenti.

Il caso di Aldilapp funge da monito per tutte le realtà che intendono sviluppare servizi digitali innovativi. È indispensabile che la progettazione di tali piattaforme integri fin dall'inizio i principi di «privacy by design» e «privacy by default», garantendo trasparenza e minimizzazione dei dati trattati.

La decisione del Garante ribadisce che la digitalizzazione dei servizi non può prescindere dal rispetto dei diritti fondamentali degli individui. La tutela della privacy deve essere una priorità assoluta, specialmente quando si toccano informazioni così personali e sensibili, anche se relative a persone non più in vita.