16 Marzo 2026 di carmignaniconsulenza

Cimiteri digitali, il Garante privacy sanziona Aldilapp – Garante della Privacy Provvedimento del 12 febbraio 2026

Il Garante per la privacy ha sanzionato Stup, società che distribuisce Aldilapp in Italia, i comuni di Ancona e Velletri e i rispettivi gestori dei servizi cimiteriali. [VEDI doc. web nn. 10225195, 10225650, 10225673, 10225225 e 10225702]. L’app consente agli utenti – previa registrazione – di individuare il luogo di sepoltura dei defunti nei cimiteri aderenti al servizio e offre anche funzionalità di tipo “social” e commerciale.

Utilizzando il database comunale Aldilapp crea di default i “profili digitali” dei defunti, consentendo la pubblicazione di dediche e l’accensione di ceri virtuali visibili a tutti gli utenti, nonché la fruizione di servizi commerciali (es. fornitura di fiori, pulizia delle tombe).

All’esito degli accertamenti, è emerso che l’utilizzo di un’unica piattaforma per offrire sia servizi istituzionali sia servizi di tipo “social” e commerciale – inscindibilmente connessi tra loro – presenta diverse criticità. Comporta infatti trattamenti di dati personali eccedenti rispetto alle sole finalità istituzionali e può creare negli utenti la legittima aspettativa che tutti i trattamenti siano riconducibili ai Comuni. Ulteriori criticità riguardano la regolamentazione dei rapporti tra i soggetti coinvolti, la scarsa trasparenza nei confronti degli utenti, nonché l’inadeguatezza di alcune misure tecniche e organizzative.

Il Garante ha quindi disposto il rafforzamento delle misure di sicurezza, la netta separazione tra servizi istituzionali e quelli di natura “social” e commerciale, nonché la cancellazione dei “profili digitali” creati automaticamente dai database comunali e delle interazioni ad essi associate.

Tali servizi potranno essere erogati da Stup su richiesta degli utenti e senza utilizzare i database cimiteriali messi a disposizione dai Comuni esclusivamente per l’erogazione del servizio di informazione sull’ubicazione dei defunti nei propri cimiteri.

Tenuto conto della natura innovativa del servizio, dell’assenza di reclami e della collaborazione fornita nel corso dell’istruttoria, l’Autorità ha irrogato sanzioni amministrative di importo contenuto: 6mila euro a Stup; 3mila euro al Comune di Ancona, 2mila euro al Comune di Velletri e 2.500 euro ai gestori cimiteriali.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10225195

6 Febbraio 2026 di carmignaniconsulenza

No al controllo dello stile di guida dei lavoratori Sanzione di 120mila euro a società che monitorava 5 dipendenti con auto aziendale – Garante della Privacy Provvedimento del 18 dicembre 2025

Il Garante privacy ha inflitto una sanzione di 120mila euro ad una società del settore della selezione e produzione di sementi agricole per aver trattato in modo illecito i dati personali di cinque dipendenti.

La società, parte di un gruppo multinazionale, su disposizione della capogruppo svizzera, aveva fatto installare sui propri veicoli aziendali un dispositivo – associato al nominativo del conducente – che raccoglieva, in modo illecito, i dati sui viaggi di lavoro e privati (tempi, km, consumi e stile di guida) dei lavoratori, per l’assegnazione di un punteggio mensile. I dati così raccolti, venivano conservati per un periodo di 13 mesi e utilizzati ai fini delle valutazioni del comportamento alla guida dei dipendenti, nonché per l’adozione di eventuali interventi correttivi.

L’iniziativa, avviata in via sperimentale, era destinata a essere estesa a tutte le società europee del gruppo. Nel corso dell’attività ispettiva e delle successive verifiche, l’Autorità – intervenuta a seguito della ricezione di un reclamo – ha rilevato numerose violazioni della normativa privacy.

In particolare, è emerso che il dispositivo installato sui veicoli aziendali raccoglieva informazioni molto dettagliate sui viaggi effettuati, tali da consentire un controllo sull’attività dei lavoratori, svolto in assenza delle garanzie previste dallo Statuto dei lavoratori. Inoltre, l’informativa resa ai lavoratori era rivolta a tutte le società affiliate del gruppo, incluse quelle con sede extra-Ue, senza indicare in modo chiaro le finalità, le basi giuridiche né i soggetti qualificabili come titolari, responsabili e destinatari del trattamento dei dati.

Gli accertamenti condotti dal Garante hanno inoltre evidenziato che l’accesso alle informazioni raccolte tramite i dispositivi installati sulle auto aziendali era consentito anche al personale di altre società del gruppo, in assenza di un’idonea autorizzazione.

Nel determinare l’importo della sanzione, l’Autorità ha tenuto conto sia del numero limitato di dipendenti coinvolti sia della sospensione immediata del trattamento dei dati ritenuto illecito, disposta dalla società subito dopo la contestazione. Il Garante ha inoltre ordinato la cancellazione dei dati relativi ai viaggi dei lavoratori, raccolti e utilizzati per l’attribuzione dei punteggi di comportamento alla guida.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10213711

30 Dicembre 2025 di carmignaniconsulenza

Misure di sicurezza inadeguate, Garante privacy sanziona Aimag – Garante della Privacy Provvedimento del 27 novembre 2025

Il Garante privacy ha comminato una sanzione di 300mila euro ad Aimag spa, azienda che gestisce servizi nel settore energetico, idrico, ambientale e del teleriscaldamento, per aver trattato i dati dei propri clienti senza adeguate misure di sicurezza e un’idonea base giuridica per finalità di telemarketing.

Il procedimento trae origine da un’istruttoria avviata dall’Autorità a seguito di una segnalazione in cui l’interessato lamentava la mancanza di misure di sicurezza finalizzate a verificare l’identità degli utenti che effettuavano la registrazione nell’area riservata del sito della società, utile per consultare le bollette e lo storico dei consumi. Durante l’attività istruttoria il Garante ha accertato che chiunque, inserendo il codice fiscale dell’intestatario del servizio e una qualsiasi email, poteva registrarsi a suo nome e accedere così illecitamente anche ad altre informazioni personali, tra cui l’indirizzo di abitazione e il numero di telefono. Tra le numerose violazioni emerse, è stato accertato anche che l’azienda trattava i dati degli utenti per finalità promozionali in assenza di un’idonea base giuridica e senza un’adeguata informativa. Dalle indagini è infatti emerso che in calce al form utile alla registrazione all’area riservata erano presenti tre moduli per il conferimento del consenso, già preflaggati sul “SI’”, in violazione del Regolamento europeo, riguardanti l’informativa sulla privacy, l’utilizzo dei dati per l’invio di pubblicità e il trattamento per customer satisfaction. Tale trattamento veniva effettuato anche in contrasto con il principio di limitazione dei tempi di conservazione dei dati personali.

Il Garante, data la gravità degli illeciti protrattasi anche durante la fase di indagine e l’esteso numero di soggetti coinvolti, ha pertanto inflitto alla società una sanzione pecuniaria di 300mila euro.

Link: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/10202135