- L'app che trasformava i defunti in profili digitali
- La sanzione del Garante: cosa è successo
- Dati comunali e servizi commerciali: un confine violato
- Cancellazione dei profili e obblighi per i Comuni
- Una questione più ampia: la privacy oltre la vita
- Domande frequenti
L'app che trasformava i defunti in profili digitali
Si chiamava Aldilàpp e prometteva di digitalizzare i servizi cimiteriali. In realtà, faceva qualcosa di molto diverso: pescava dai database comunali le informazioni sui defunti e, senza alcun consenso da parte dei familiari, generava in automatico dei veri e propri profili digitali. Nome, cognome, date di nascita e morte, luogo di sepoltura. Tutto visibile a chiunque scaricasse l'applicazione.
Non un servizio di consultazione cimiteriale, dunque, ma una sorta di social network dei morti — costruito con dati pubblici, certo, ma trattati in un modo che il Garante per la protezione dei dati personali ha giudicato incompatibile con la normativa vigente.
La sanzione del Garante: cosa è successo
Con un provvedimento che segna un precedente rilevante, il Garante ha sanzionato la società Stup, sviluppatrice dell'app, insieme ai Comuni di Ancona e Velletri, che avevano messo a disposizione i propri archivi cimiteriali per alimentare la piattaforma.
Stando a quanto emerge dal provvedimento, il meccanismo era lineare: i Comuni fornivano i dati dei registri cimiteriali a Stup, che li utilizzava per popolare automaticamente i profili sull'app. Nessuna richiesta ai familiari. Nessuna informativa specifica. Nessuna base giuridica adeguata per quel tipo di trattamento.
Il punto critico non era tanto la disponibilità dei dati — le informazioni cimiteriali hanno una componente pubblica — quanto la finalità con cui venivano riutilizzati. Creare un profilo digitale strutturato, inserirlo in un ecosistema applicativo consultabile da migliaia di utenti e potenzialmente arricchirlo con funzionalità social è cosa ben diversa dal rendere accessibile un registro di sepolture.
Dati comunali e servizi commerciali: un confine violato
Uno degli aspetti centrali della decisione riguarda la commistione tra servizio pubblico e attività commerciale. Il Garante ha chiesto espressamente la separazione netta tra i servizi di natura pubblica — come la consultazione delle sepolture — e quelli a carattere commerciale offerti dalla piattaforma.
È un principio che tocca un nervo scoperto dell'amministrazione digitale italiana. Sempre più Comuni affidano a soggetti privati la gestione di servizi che comportano il trattamento di dati personali, spesso senza valutare adeguatamente le implicazioni in termini di privacy by design e di proporzionalità del trattamento. In questo caso, il passaggio dai registri cimiteriali a un'app con logiche da social network ha rappresentato un salto che la normativa non consente senza garanzie precise.
In un panorama digitale in cui anche colossi tecnologici studiano nuove piattaforme social, la vicenda Aldilàpp ricorda che ogni trattamento di dati — anche quelli apparentemente meno sensibili — richiede basi giuridiche solide e trasparenza verso gli interessati.
Cancellazione dei profili e obblighi per i Comuni
Il Garante non si è limitato alla sanzione economica. Ha disposto la cancellazione di tutti i profili generati automaticamente senza un'adeguata base giuridica. Una misura drastica, che smantella di fatto il cuore dell'applicazione.
Per i Comuni coinvolti, le prescrizioni sono altrettanto chiare:
- Cessare immediatamente la trasmissione dei dati cimiteriali alla società Stup per finalità diverse da quelle strettamente istituzionali
- Effettuare una valutazione d'impatto prima di avviare qualsiasi nuovo trattamento che preveda la condivisione di dati con soggetti terzi
- Garantire la separazione tra le funzionalità di servizio pubblico e quelle commerciali in eventuali future collaborazioni con sviluppatori di app
La vicenda pone un interrogativo che va oltre Ancona e Velletri. Quanti altri Comuni hanno stretto accordi simili, magari con app diverse, senza porsi il problema della compatibilità con il Regolamento europeo sulla protezione dei dati (GDPR)? Il provvedimento del Garante potrebbe innescare una revisione a catena.
Una questione più ampia: la privacy oltre la vita
C'è poi un tema di fondo che il caso Aldilàpp porta in superficie con forza. La tutela della dignità delle persone decedute e dei loro dati non è un vuoto normativo, ma resta un'area in cui la sensibilità giuridica fatica a tenere il passo con la tecnologia.
Il GDPR, a rigore, si applica ai dati delle persone fisiche viventi. Ma il Garante italiano ha più volte sottolineato come il trattamento dei dati dei defunti possa incidere sui diritti dei familiari ancora in vita — e come, in ogni caso, la dignità della persona non si estingua con la morte. Il Codice Privacy italiano (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018) prevede del resto disposizioni specifiche sui diritti relativi ai dati delle persone decedute, esercitabili da chi ha un interesse proprio o agisce a tutela dell'interessato.
In un'epoca in cui la gestione dell'identità digitale post-mortem diventa sempre più rilevante — dalle eredità digitali ai profili commemorativi sui social network — il provvedimento su Aldilàpp segna un punto fermo: nessun automatismo è accettabile quando si tratta di costruire una presenza digitale per chi non può più esprimere il proprio consenso.
La questione, come spesso accade quando tecnologia e diritti fondamentali si intersecano, resta tutt'altro che chiusa. Ma almeno adesso ha un precedente a cui guardare.
