Гарант защиты персональных данных Италии: предупреждение муниципалитету Мессины за нарушения GDPR при онлайн-оформлении льготных проездных

Provvedimento del 17 luglio 2025 [10171816]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 17 luglio 2025 [10171816]

Provvedimento del 17 luglio 2025 [10171816]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10171816]

Provvedimento del 17 luglio 2025

Registro dei provvedimenti

n. 421 del 17 luglio 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l'avv. Guido Scorza, componenti e il dott. Claudio Filippi, segretario generale reggente;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito, “Regolamento”);

VISTO il d.lgs. 30 giugno 2003, n. 196 recante “Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale reggente ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, doc. web n. 1098801;

Relatore l'avv. Guido Scorza;

PREMESSO

1. Introduzione.

Con una segnalazione pervenuta il XX ai sensi dell’art. 144 del Codice, l’Autorità ha appreso dell’iniziativa riguardante il trattamento di dati personali nell’ambito della procedura online per la richiesta di abbonamento agevolato per il trasporto pubblico locale in Messina.

In base alla documentazione allegata alla predetta segnalazione, è emerso che nel modulo online per presentare la suddetta richiesta di abbonamento - accessibile, durante il periodo relativo a ciascuna finestra di possibilità di richiesta dell'abbonamento, “tramite il sito dell'azienda di trasporto pubblico di Messina (https://..)” – erano presenti due check-box da spuntare, relative al trattamento dei dati personali. Nello specifico, nella prima check-box, riportante la previsione "Autorizzo il trattamento dei miei dati personali, ai sensi del D. lgs. 196 del 30 giugno 2003", erano indicati riferimenti non aggiornati in merito alla normativa sulla protezione dei dati personali (“art. 13 del D.Lgs. 196/2003” anziché i riferimenti al Regolamento). La seconda check-box, invece, recante la previsione "Acconsento al trattamento dei dati personali per finalità di "marketing diretto" attraverso strumenti tradizionali e automatizzati di contatto" (da rilasciare, tra l’altro, obbligatoriamente ai fini di poter procedere ad inviare la richiesta di abbonamento scontato), prevedeva il consenso come base giuridica per il trattamento dei dati personali per finalità di marketing diretto.

In aggiunta, dalle verifiche effettuate dall’Autorità in corso d’istruttoria, nell’informativa sul trattamento dei dati personali, presente nella sezione 9 “TRATTAMENTO DEI DATI PERSONALI” del “Bando per l’assegnazione di incentivi “Move me” per l’acquisto dell’abbonamento annuale su tutte le linee del trasporto pubblico locale di A.T.M. S.p.A. e per l’acquisto congiunto dell’abbonamento al servizio di sosta presso i parcheggi di interscambio del Comune di Messina” (reperibile sul sito del Comune di Messina nonché alla seguente URL https://..., citata nel form online di richiesta dell’abbonamento agevolato per il servizio di trasporto pubblico locale in Messina), la base giuridica del trattamento dei dati personali consisteva nel “consenso all’elaborazione e all’utilizzo dei dati contenuti nella domanda”. In merito alla finalità perseguita, nella predetta informativa risultava indicato che “I dati raccolti con la domanda di ammissione all’incentivo sono trattati, secondo quanto disposto dal Regolamento UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, esclusivamente per le finalità connesse all'espletamento della procedura stessa e per le successive attività connesse al servizio di trasporto pubblico locale, nonché per la verifica del raggiungimento degli obiettivi previsti dall’art. 2 del presente bando e dall’Asse 6 del PON Metro XX da parte del Comune di Messina”.

Inoltre, nella suddetta informativa risultava indicata sia come titolare che come responsabile del trattamento la medesima società (Azienda Trasporti Messina S.P.A., gestore del servizio di trasporto pubblico locale, di seguito “ATM”), essendo previsto che “Il Titolare del trattamento dei dati è A.T.M. S.p.a., […] con sede in Via La Farina, n. 336, 98124, Messina (ME), PEC: atm.messina@pec.it. Il Responsabile del trattamento è A.T.M. S.p.a., con sede in Via La Farina, n. 336, 98124, Messina (ME)”.

2. L’attività istruttoria

In risposta ad una richiesta di informazioni dell’Autorità (prot. n. XX del XX) ai sensi dell’art. 157 del Codice, con note del XX (rispettivamente, prot. n. XX e XX), cui si rinvia integralmente, il Comune di Messina (di seguito il “Comune”), da un lato, e ATM, dall’altro, hanno fornito i propri riscontri, dichiarando, in particolare, che:

a) con riferimento alle valutazioni che hanno condotto all'inquadramento di ATM quale titolare del trattamento ed il Comune quale responsabile del trattamento dei dati relativi alla procedura suindicata, il Comune ha rappresentato che:

- “Sono molteplici i progetti del Comune di Messina realizzati o in corso di realizzazione grazie ai contributi previsti nelle misure di incentivo del PON METRO XX. Tra queste, sono ricomprese quelle dell'Asse 6 “Ripresa verde, digitale e resiliente” del citato Programma, aventi l'obiettivo di costruire una città con maggiore attenzione all’ambiente ed alla sostenibilità, con interventi sul territorio finalizzati ad una trasformazione innovativa, inclusiva e sostenibile dei sistemi urbani, economici, sociali ed ambientali del territorio”;

- “Tra i progetti finanziabili con tali misure […] rientrava quello concretizzatosi in “MOVE ME”, volto ad assegnare contributi economici finalizzati all’acquisto di abbonamenti annuali per il servizio di trasporto pubblico locale a prezzo agevolato, emessi e gestiti da A.T.M. S.p.A. (società di capitali avente come unico socio il Comune di Messina), cui è stata conferita, dal XX, la gestione del servizio di Trasporto Pubblico Locale e della sosta nel Comune di Messina”;

- “[…] nell'ambito del servizio di trasporto pubblico locale (TPL), di competenza di questo Ente locale, affidato ad A.T.M. S.p.A., l’obiettivo del “Bando per l’assegnazione di incentivi “MOVE ME” per l’acquisto dell’abbonamento annuale su tutte le linee del trasporto pubblico locale di A.T.M. S.p.A. e per l’acquisto congiunto dell’abbonamento al servizio di sosta presso i parcheggi di interscambio del Comune di Messina” era quello di incentivare la mobilità sostenibile nella Città di Messina, favorendo il trasporto pubblico locale, in modo da ridurre la congestione nell’area urbana, contribuendo al raggiungimento degli obiettivi fissati per lo sviluppo sostenibile, come anche previsti nel P.G.T.U. (Piano Generale del Traffico Urbano) e nel P.U.M.S. (Piano Urbano della Mobilità Sostenibile) del Comune di Messina”;

- “[…] è chiara – ed A.T.M. S.p.A. ne era consapevole – la netta distinzione di funzioni e ruoli tra la predetta Società ed il Comune di Messina, così come la totale estraneità del Comune alla procedura concreta di registrazione dell'utenza”;

- “Infatti, il Comune di Messina, al fine di raggiungere gli obiettivi comunitari suindicati, ottenuto il finanziamento, avrebbe utilizzato i fondi, nei limiti di capienza degli stanziamenti, per compensare la differenza tra il costo effettivo di abbonamento annuale per i servizi di trasporto pubblico locale, erogati da ATM S.p.A., ed il costo dell'abbonamento scontato grazie al progetto “MOVE ME”, a carico dell'utente”;

- “Tuttavia, la gestione dell'utenza e degli abbonamenti emessi in virtù del Bando era rimessa esclusivamente in capo ad A.T.M. S.p.A., alla quale, in via generale, già compete la concreta erogazione del servizio di trasporto pubblico locale”;

- “[…] questa Amministrazione, dichiarandosi estranea all'oggetto della segnalazione, non è nelle condizioni di indicare alcuna ragione di tale scelta di A.T.M. S.p.A.”;

- “[…] il Comune di Messina ha predisposto il bando generale per l'ammissione al beneficio dato dall'abbonamento a costo ridotto, rimettendo ad A.T.M. S.p.A. ogni ulteriore attività per l'erogazione del servizio in oggetto, dalla fase di registrazione dell'utenza (ed ancor prima nella fase di progettazione e realizzazione del sito internet ospitante il form di registrazione) sino all'emissione dell'abbonamento, senza interferenza o collaborazione in nessuna delle fasi di erogazione del servizio”;

- “[…] risulta fuor di dubbio che nel caso di specie A.T.M. S.p.A. era il Titolare del trattamento dei dati raccolti in occasione della registrazione per l'emissione degli abbonamenti per il TPL a prezzo ridotto, il Comune di Messina, data la totale estraneità alla procedura (incluse le attività di raccolta e trattamento dei dati inseriti nel form online), non poteva, né doveva essere nominato Responsabile del trattamento dei dati per conto di A.T.M. S.p.a.”;

- “[…] il Comune di Messina (che […] non era neppure a conoscenza della nomina di un proprio dipendente come responsabile del trattamento per conto di A.T.M. S.p.A.) non ha trattato alcun dato per conto di A.T.M. S.p.A. […]”;

b) con riferimento alle condizioni di liceità del trattamento in esame, il Comune ha rappresentato che:

- "[…] quanto scritto da […ATM] nella propria nota del XX, ovvero “Che il bando di ammissione all’incentivo predisposto dal Comune di Messina, prevedeva che l’utente come unica soluzione per poter accedere al beneficio di dover compilare un “form” online, dove oltre ai propri dati identificativi […] dichiarava di aver letto il bando di ammissione all’incentivo, consultabile sia sul sito istituzionale del Comune di Messina che sul sito di ATM S.p.A., il “Regolamento di viaggio per i passeggeri” di ATM S.p.A. ed infine allo stesso si richiedeva di flaggare due check-box relative al trattamento dei dati” non è corretto. Infatti, come può leggersi al punto 9 (“Trattamento dei dati personali”) del Bando, i dati personali richiesti erano quelli strettamente necessari per individuare in modo certo l'utente che richiedeva l'agevolazione finale e quelli comunque necessari per il perseguimento delle finalità indicate nel bando, inclusa quella di cui al punto 6 del Bando di “incentivare la smaterializzazione dei titoli di viaggio””;

- “Nessuna finalità ulteriore era perseguita dal Comune di Messina con il Bando sopra citato e, soprattutto, non era in alcun modo prevista e voluta quella di “marketing diretto”, inserita da A.T.M. S.p.A., in modo indipendente ed autonomo, nel modulo di registrazione per ottenere l'abbonamento agevolato, senza alcun coinvolgimento, collaborazione e comunicazione con il Comune di Messina”;

- “[…] il servizio concretamente reso tramite “MOVE ME” è una particolare esplicazione della precipua finalità delegata ad A.T.M. S.p.A. con il contratto di servizio, che la stessa avrebbe dovuto erogare nel rispetto di ogni disposizione di Legge”;

- “Ed infatti, il Comune di Messina, presa conoscenza che A.T.M. S.p.A., in esecuzione dei compiti demandati e procedendo in autonomia a dare applicazione al Bando per l’assegnazione di incentivi “MOVE ME”, è andata oltre quanto previsto e necessario per la corretta applicazione del Bando, in particolare acquisendo il consenso dell'utenza al trattamento dei dati per finalità di marketing diretto, oltre ad avviare le opportune indagini interne, […], ha proceduto a contestare tale comportamento alla Società, chiedendo spiegazioni in merito e riservando ogni azione necessaria a tutela dell'Ente”;

- “Per quanto detto, data la totale estraneità del Comune di Messina al comportamento ed agli intenti di A.T.M. S.p.A. nella gestione concreta del bando (e nello specifico nella raccolta ed il trattamento dei dati personali), non si conosce quali attività di marketing la Società ha svolto, aveva o avrà intenzione di svolgere e, di conseguenza, allo stato attuale, nelle more del riscontro richiesto ad A.T.M. S.p.A., questa Amministrazione non dispone di ulteriori informazioni per valutare se le scelte della Società fossero lecite secondo le disposizioni del Reg. UE”.

Sul punto, ATM, nella propria nota del XX, ha dichiarato, in particolare, che:

- “Con Deliberazione della Giunta Comunale di Messina, n° XX, del XX, è stato approvato il piano operativo vers. 12 riguardante il progetto ME6.1.2.b Azioni di incentivazioni all’uso del TPL e successivamente il Dipartimento Mobilità e Manutenzione del Comune di Messina con due mail del XX e del XX, trasmetteva, sia alla scrivente, sia al Dirigente dello stesso Dipartimento Mobilità e Manutenzione, sia al RUP, il progetto definitivo ed il bando per l’ammissione agli incentivi. In data XX con determina n° 3377 veniva nominato […il] Responsabile Unico del Procedimento e dell’ufficio di supporto al RUP per il Progetto Pon Metro XX denominato “ME6.1.2.B – Azioni di Incentivazione all’uso del TPL” ed in pari data ATM SpA nominava lo stesso quale Responsabile del Trattamento dei dati nello svolgimento delle attività di responsabile della gestione delle azioni di incentivazioni dell’uso del TPL […]”;

- “La rubrica dell’articolo 9 del bando per l’ammissione agli incentivi era la seguente “Trattamento dei dati personali”; in detto articolo si prevedeva sia, che il Titolare del trattamento dei dati fosse A.T.M. S.p.A., sia che il conferimento dei dati fosse obbligatorio, oltre ad identificare erroneamente per un refuso ATM SpA anche come responsabile del trattamento dei dati”;

- “ATM S.p.A. era identificata quale titolare del trattamento dei dati e riteneva che detta identificazione fosse corretta e conforme alla normativa. […]”;

- “Riteneva, altresì, ATM S.p.A., di identificare il Comune quale responsabile del trattamento dei dati, poiché il progetto prevede che il RUP del Comune, di cui al bando citato, trasferisca i dati degli abbonati all’Agenzia di Coesione al fine di poter procedere alla rendicontazione contabile-tecnica-amministrativa. Conseguentemente, ATM S.p.A. visto che l’attività di rendicontazione svolta dal Comune era necessaria per il completamento dell’iter previsto dal finanziamento e che l’Ente locale, avesse necessità di dati forniti da ATM S.p.A. ha ritenuto, in qualità di Titolare del Trattamento, di nominare il Rup del procedimento del Comune di Messina quale Responsabile del Trattamento […]”

- “[...] il bando per l’assegnazione all’incentivo, oltre ad identificare Atm S.p.A. come Titolare del trattamento, stabilisce che deve esser prestato il consenso e che quest’ultimo è obbligatorio, l’ATM S.p.A. pertanto, ha ritenuto di agire in forza dell’esecuzione di un contratto di cui l’interessato è parte integrante ai sensi dell’art. 6 lettera b, del regolamento 2016/679. […]”.

c) Per quanto concerne, invece, i ruoli in materia di protezione dei dati personali svolti dal Comune e da ATM in merito ai trattamenti sottesi alla gestione del servizio di gestione del trasporto pubblico locale e dei parcheggi, il Comune ha rappresentato che:

- “[…] il Comune di Messina, […] è venuto a conoscenza dell'atto di nomina […] del dipendente comunale […] come responsabile del trattamento ex art. 28 Reg. UE 679/2016 per conto di A.T.M. S.p.a., oltre un anno dopo la firma e specificatamente soltanto a seguito della richiesta di informazioni inviata da Codesta Autorità […]”;

- “[…] oltre a non essere stata comunicata, la nomina non è stata concordata, né tantomeno autorizzata […]”:

- “[…] nella valutazione del rapporto tra il Comune di Messina ed A.T.M. S.p.A. circa i dati di cui quest'ultima è venuta a conoscenza in virtù del rapporto contrattuale in essere e del bando di cui trattasi, si evidenzia che quanto scritto da A.T.M. S.p.A. in data XX (“i dati trattati dal Titolare del trattamento saranno oggetto di controllo e di analisi da parte del Responsabile del trattamento sopra indicato in qualità di Beneficiario e attuatore della Misura agevolativa Comunitaria”), è errato e fuorviante. Il Comune di Messina era soggetto attuatore della misura ricadente nel PON METRO XX ed ha utilizzato il finanziamento pubblico per coprire, nei limiti del previsto, le differenze economiche tra la normale tariffazione del TPL e quella agevolata dal bando “MOVE ME”: nessuna attività, o anche la minima influenza, è stata esercitata dal Comune nel predisporre la procedura di erogazione del servizio, sin dalla predisposizione del sito internet per la registrazione (inclusa l'informativa privacy e l'estensione dei dati da raccogliere oltre quanto già previsto nel bando e per le finalità di legge)”;

- “[…] trattandosi di contributo economico di derivazione nazionale e comunitaria, il Comune di Messina era obbligato, come per legge, a rendicontare sull'utilizzo dei fondi riconosciuti. Per far ciò, A.T.M. S.p.A., chiusa la fase di registrazione dell'utenza, erogati gli abbonamenti ridotti e verificati quelli concretamente attivati, doveva trasmettere al Comune i dati per la sola rendicontazione all'Autorità di Gestione del PON METRO XX”;

- “[…] il Comune di Messina non ha in alcun modo richiesto ad A.T.M. S.p.A. di trasmettere dati personali dalla stessa autonomamente richiesti e raccolti per finalità diverse (es. marketing) ed ulteriori da quelle di legge, perseguite dal Comune”.

Al riguardo ATM, nella citata nota del XX ha, invece, dichiarato che “[…] tra il Comune di Messina e l’ATM S.p.A., società partecipata in House providing dello stesso Comune di Messina, non esiste nessun atto che regolamenta in via generale i reciproci rapporti sul trattamento dei dati ed anche ciò ha comportato la scelta sopra evidenziata”.

Con riferimento alla condotta del Comune, l’Ufficio, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, ha notificato allo stesso, in data XX (prot. n. XX) ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento per aver effettuato il trattamento di dati personali in questione:

- in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione dell’art. 5, par. 1, lett. a), del Regolamento;

- in assenza di un’adeguata informativa sul trattamento dei dati personali, in violazione degli artt. 12 e 13 del Regolamento;

- senza rispettare i principi di “responsabilizzazione” e della “protezione dei dati fin dalla progettazione”, in violazione degli artt. 5, comma 2, 24 e 25, par. 1, del Regolamento;

- in assenza di un accordo scritto idoneo a regolare i rapporti relativi alla protezione dei dati con il responsabile del trattamento, in violazione dell’art. 28 del Regolamento.

Il Comune, con l’atto sopra citato, è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, dalla legge 24 novembre 1981, n. 689).

Con nota del XX (prot. n. XX), cui si rinvia integralmente, il Comune ha dichiarato in particolare, che:

- “[…] nei rapporti tra il Comune di Messina ed ATM S.p.A., ogni servizio che rientra nelle attività TPL affidato alla Società e che, in vario modo, richiede o presuppone raccolta e/o trattamento di dati personali, è regolamentato come per legge. Per mero esempio, si pone l'attenzione sul rilascio di abbonamenti gratuiti per gli studenti degli istituti scolastici cittadini (incentivo diverso da “MOVE ME”), collegato alla fruizione del trasporto pubblico locale. L'incentivo, in questa ipotesi, rientrava tra le attività di competenza del Comune di Messina, Dip. Servizi alla persona ed alle imprese, il quale ha delegato, per le attività materiali di rilascio degli abbonamenti agli studenti, ATM S.p.A. e ciò in virtù del contratto di servizio in essere tra le parti”;

- “Infatti, per il rilascio del predetto abbonamento gratuito agli studenti veniva richiesta una registrazione su un sito internet di dominio comunale (e non come quello usato per “MOVE ME” e di proprietà e controllo esclusivo di ATM S.p.A.), ove veniva resa preliminare informativa sul trattamento e, quindi, raccolti soltanto i dati necessari per valutare l'ammissibilità dello studente (tramite propria domanda, se maggiorenne, o quella dell'esercente la responsabilità genitoriale, se minorenne) al beneficio in oggetto”;

- “per le attività rimesse alla competenza di ATM S.p.A. nell'erogazione del servizio gratuito agli studenti, si è proceduto con apposita determina sindacale alla nomina […] della Società quale responsabile del trattamento dei dati, con specificazione di ogni elemento necessario allo svolgimento del compito nel rispetto dei diritti dell'utenza”;

- “Procedura e rapporti del tutto differenti, invece, nell'ambito dell'incentivo al TPL denominato “MOVE ME”. L'erogazione degli abbonamenti per l'utilizzo del trasporto locale a prezzo scontato nell'anno XX era rimessa totalmente ad ATM S.p.A.”;

- “Il Comune di Messina […] non ha avuto alcun ruolo attivo, né indiretto, nella gestione di tutta la procedura, in quanto non era prevista, né dovuta, alcuna partecipazione o supervisione dell'Ente, soprattutto nelle fasi in cui ATM S.p.A. ha operato la raccolta di dati personali degli utenti”;

- “Ciò è ulteriormente dimostrato confrontando la gestione di “MOVE ME” nell'anno XX, con la riedizione per l'anno XX […] del progetto “MOVE ME” [per cui] ATM S.p.A. ha trovato altre e diverse coperture finanziarie rispetto a quelle riconosciute tramite il Comune nell'ambito del Pon Metro XX”;

- “Pertanto, diversamente dall'anno precedente, non era necessaria, né richiesta, né tantomeno dovuta, alcuna intermediazione da parte del Comune (che nell'anno XX era prevista solo a livello di ammissibilità del finanziamento Pon Metro XX e rendicontazione dello stesso), con la conseguenza che nel corrente anno il Comune di Messina non ha avuto alcun coinvolgimento neppure nelle fasi prodromiche all'iniziativa stessa”;

- “Non vi era alcuna ripartizione di ruoli da dover effettuare, così da rendere edotti i beneficiari e non vi era alcuna legittima aspettativa nei confronti del Comune che, si ribadisce ancora una volta, non ha avuto ruoli nel rapporto con l'utenza per l'ottenimento dell'incentivo; pertanto, non vi era alcun obbligo di adeguamento, da parte del Comune e in relazione al progetto “MOVE ME” al RGPD”.

Nel corso dell’audizione, tenutasi in data XX (verbale prot. n. XX, cui si rinvia integralmente) il Comune ha precisato, in particolare, che:

- “[…è stato] approfondito e […sono state fatte] ulteriori osservazioni e riflessioni sulla vicenda in esame elaborate in un documento che verrà inviato all’Autorità”;

- “Il procedimento amministrativo in esame era destinato ai cittadini e finanziato da fondi europei che impongono tempi ridotti di progettazione, programmazione e rendicontazione, ciò potrebbe aver comportato forse alcune sviste sotto il profilo della protezione dei dati personali”;

- “Il Comune non ha avuto un ruolo attivo in relazione a questo beneficio in esame […e] Nell’erogazione dell’incentivo il Comune non ha svolto alcun ruolo attivo, trattandosi di bandi finanziati da fondi europei”;

- “Viceversa, nelle memorie difensive abbiamo citato i bandi agevolati per gli studenti dove è chiaro il ruolo di titolare del trattamento svolto dal Comune che raccoglie i dati degli studenti/genitori per poi trasmettere ad ATM (in tale ipotesi, individuata quale responsabile del trattamento dei dati in base ad un accordo redatto ai sensi dell’art. 28 del GDPR) i soli dati necessari per l’emissione degli abbonamenti”;

- “Nella vicenda in esame il Comune non ha raccolto né trasmesso dati ad ATM né ha influito sui mezzi e finalità del trattamento dei dati in esame. Per tali ragioni, il Comune non ha partecipato alla stesura dell’informativa fornita da ATM. Si ritiene che l’indicazione di ATM quale responsabile del trattamento dei dati personali (oltre che titolare del trattamento), nell’informativa sia dipeso da un errore materiale”;

- “Nel caso in esame ATM ha svolto il ruolo di titolare dei dati personali e ciò è dimostrato da diversi elementi:

- il servizio è svolto direttamente dalla società in house, gestore del pubblico servizio del trasporto pubblico locale (art. 2-ter del Codice), il rapporto con l’utenza è gestito direttamente dalla società;

- la base giuridica è l’espletamento del servizio pubblico locale;

- il Garante ha escluso il consenso come base legittimante il trattamento in esame, in realtà si osserva che le linee guida sul consenso 7/20 prevedono alcune residuali ipotesi in cui il consenso è ammesso anche per le attività svolte dalla P.A. (adesioni facoltative a servizi accessori); nel caso di specie il consenso viene reso sull’abbonamento agevolato che è un servizio facoltativo la cui adesione da parte del cittadino è libera; in alternativa il cittadino può accedere al trasporto pubblico locale senza abbonamento o agevolazioni;

- la P.A. ha agito per garantire benefici ai cittadini e per incentivare la mobilità sostenibile;

- per accedere al bando era necessario e indispensabile fornire determinati dati ai fini della valutazione della sussistenza dei requisiti richiesti dal bando es. (residenza, eventuale handicap, etc.)”;

- “Il trattamento di ATM pertanto non è illecito, al di là di qualche piccola sbavatura, ed è supportato anche dal consenso come base legittimante. La ATM non ha fornito dati personali al Comune ai fini della rendicontazione, ma esclusivamente il numero degli abbonamenti conclusi senza i dati dei singoli cittadini che hanno aderito al beneficio di agevolazione fino alla copertura della spesa totale finanziata”;

- “Se si volesse ritenere il Comune titolare del trattamento, in ogni caso, l’assenza di un accordo specifico ai sensi dell’art. 28 del GDPR può essere compensata dal bando (artt. 9, 15) in cui comunque sono regolati i rapporti con ATM anche sotto il profilo delle prescrizioni/requisiti richiesti dall’art. 28 del GDPR”;

- “È evidente la complessiva buona fede del Comune (consapevolezza degli utenti, individuazione dei ruoli) anche laddove emergessero delle irregolarità sotto il profilo della protezione dei dati personali. Nessun cittadino ha ricevuto un danno dal trattamento in esame né lo stesso è avvenuto in maniera inconsapevole nei confronti degli interessati”;

- “Dopo la vicenda in esame, la Parte ha adottato una forma di audit/compliance per individuare nelle varie Direzioni/Dipartimenti eventuali trattamenti irregolari di dati personali”;

- “La Parte organizza periodicamente corsi di formazione in materia di protezione dei dati personali rivolti al personale interno; inoltre, sta organizzando delle riunioni con le società partecipate al fine di collaborare e unificare e far attenzionare anche le stesse in merito agli adempimenti/obblighi in materia di protezione dei dati personali”;

- “Il Comune trasmetterà a breve la memoria esplicativa”.

Con successiva nota del XX (prot. n. XX) il Comune ha trasmesso all’Autorità la citata memoria esplicativa nella quale, in particolare, ha dichiarato che:

- “[...] il Comune di Messina deve considerarsi soggetto estraneo al trattamento dei dati in questione, essendosi limitato soltanto ad erogare un incentivo economico alla sottoscrizioni di abbonamenti, intercorrenti esclusivamente tra ATM e gli utenti”;

- “Secondo la contestazione sollevata dal GDPD, nel caso di specie il titolare del trattamento sarebbe il Comune, mentre ATM s.p.a. sarebbe il responsabile del trattamento”;

- “L’assunto, invero, si basa presupposto secondo il quale “in ambito generale, l'erogazione del servizio pubblico locale inerisce nelle finalità istituzionali del Comune, suscettibili di essere perseguite tramite l'affidamento materiale del servizio al gestore del pubblico servizio”. L’assunto non risulta condivisibile. Ed infatti, nel caso di specie, la base giuridica del trattamento non può rinvenirsi soltanto in capo al Comune, ai sensi dell’art. 6 paragrafo 3 lett c) ed e) del Regolamento e di conseguenza l’assenza di legittimazione di ATM s.p.a. a trattare in dati in assenza di un provvedimento ai sensi dell’art. 28 del medesimo regolamento”;

- “Ed infatti, il trattamento effettuato da ATM spa, oltre che sul consenso […], trova la propria base giuridica nell’art. 6 lett b) e 2-ter del codice […comma 1-bis]. Ebbene, la ATM s.p.a., società in House che gestisce il servizio pubblico locale di trasporto, rientra tra i soggetti espressamente contemplati nel predetto art. 2-ter del codice”;

- “Dunque, è la stessa previsione dell’art. 2-ter del codice che contempla il trattamento dei dati da parte di ATM s.p.a., indipendentemente da un provvedimento ex art. 28 del Regolamento da parte del Comune. La disposizione del codice appena richiamata, invero, conferma l’autonomia e la piena titolarità del trattamento in capo ad ATM s.p.a. Appare evidente che il trattamento dei dati, nel caso di specie, si inserisce sempre nell’ambito delle funzioni pubbliche attribuite alla società che gestisce il servizio pubblico di trasporto locale”;

- “Basta ricordare che l’iniziativa ha una chiara finalità di pubblico interesse, mira ad incentivare l’uso del trasporto pubblico ed altresì rientra nell’ambito di una misura finanziata con fondi europei. Dunque, il trattamento dei dati da parte di ATM s.p.a. ha una base giuridica autonoma rispetto al Comune di Messina. Del resto, il Comune di Messina non ha inteso delegare ATM s.p.a. quale responsabile del trattamento per suo conto, ma semplicemente nello stabilire i requisiti per l’accesso al beneficio, ha ribadito che il titolare del trattamento rimanesse sempre ATM s.p.a. già gestore del servizio di che trattasi”

- “[…] il Comune ha affidato il servizio di trasporto locale, dunque il soggetto che effettivamente svolge il servizio pubblico non è il Comune, ma ATM s.p.a.”;

- “[…] Nel caso di specie, in forza del contratto di affidamento del servizio ed ai sensi dell’art. 2-ter del codice, il soggetto titolare del trattamento per l’obbligo in questione non può che essere ATM s.p.a. Il Comune di Messina, in generale, ha il dovere di assicurare e vigilare che il servizio di TPL risponda ai requisiti minimi previsti dalla legge o dal contratto, ma è ATM s.p.a. che ha il potere/dovere di organizzare autonomamente il servizio ed i rapporti con i propri utenti”;

- “Tanto è vero che è la stessa ATM s.p.a. ad aver previsto le tariffe di abbonamento, rimaste invariate, ed ha previsto la procedura online per la registrazione, peraltro valevole per tutti i tipi di abbonamento applicati da detta società e non solo per quella degli abbonamenti “move me”;

- “Occorre ricordare che l’utente che fruisce del trasporto pubblico locale, nel caso di specie, non ha un rapporto diretto con il Comune di Messina, ma soltanto con ATM s.p.a.”;

- “Del resto, così come pure dedotto da ATM s.p.a. da una verifica empirica tutte le società in house che gestiscono il TPL, nelle policy per il trattamento dei dati, si qualificano come “titolare del trattamento” e non già “responsabile del trattamento” per conto dell’ente affidante”;

- “A conferma dell’autonomia della gestione e delle finalità del trattamento, la stessa ATM s.p.a. in maniera del tutto autonoma aveva altresì inserito un ulteriore box per il consenso del trattamento dei dati per finalità di marketing (poi in concreto non effettuata), che esulavano dai termini previsti dal bando per la concessione del beneficio”;

- “Dunque, non persuade l’assunto secondo il quale sarebbe il Comune il titolare del trattamento, sol perché l’erogazione del servizio di TPL rientra tra le proprie competenze istituzionali, poiché il detto servizio, ivi comprese l’attività di trattamento dei dati necessari per gli adempimenti consequenziali, è integralmente affidato ad ATM s.p.a.”;

- “Peraltro, secondo le previsioni del bando, il beneficio all’utente sarebbe stato erogato direttamente da ATM s.p.a., mentre al Comune competeva soltanto la corresponsione di quota parte del prezzo dell’abbonamento alla società e la successiva rendicontazione per il finanziamento di derivazione comunitaria”;

- “La stessa ATM s.p.a., nell’accettare i termini del bando ed in conseguenti benefici che per la stessa ne sarebbero derivati (maggiori abbonamenti), avrebbe dovuto assumere totalmente tutte le attività per il trattamento dei dati nel rispetto del Regolamento escludendo ogni ulteriore coinvolgimento del Comune di Messina”;

- “[…] l’informativa resa agli utenti è stata redatta da ATM s.p.a. Ed ancora, la stessa ATM s.p.a. senza alcun coordinamento con il Comune di Messina, ha adottato iniziative e determinazioni in proprio, tra le quali l’illegittima individuazione del responsabile del trattamento in un dipendente del Comune di Messina”;

- “Nondimeno, tale ulteriore circostanza dimostra che ATM s.p.a. ha agito e si è relazionata con gli utenti come titolare del trattamento, così come previsto dall’art. 9 del bando ed ai sensi dell’art. 2-ter del codice”;

- “A conferma che solo ATM s.p.a. può considerarsi titolare del trattamento, la stessa Società, nella nuova campagna degli abbonamenti “move me”, ha predisposto una nuova informativa sul trattamento dei dati ove ribadisce ancora una volta di essere titolare del trattamento […] e che la base giuridica del trattamento è “l’esecuzione di un contratto di trasporto urbano”;

- “[…] Ribadita la titolarità in capo ATM s.p.a. del trattamento dei dati di che trattasi (in ragione delle previsioni dell’art. 2-ter del codice) e l’esclusione di responsabilità in capo al Comune di Messina s.p.a., in ogni caso, vale la pena rilevare che il trattamento dei dati è stato reso sulla base di un valido consenso. Il consenso reso dagli utenti in favore di ATM s.p.a, rispetto ad una prestazione del tutto facoltativa e di vantaggio per gli utenti, ha legittimato l’operato della predetta Società senza che fosse necessario un provvedimento ex art. 28 del Regolamento da parte del Comune di Messina”;

- “[…] ogni utente che ha compilato la domanda online per accedere all’abbonamento agevolato “Move Me” ha espresso un preventivo consenso cliccando sull’apposito box previsto sul sito della ATM s.p.a. Peraltro, il bando stesso pubblicato dal Comune di Messina, stabiliva espressamente che il richiedente dovesse prestare il consenso al trattamento dei dati secondo le previsioni del Regolamento GDPR e che, l’inserimento dei dati, fosse altresì indispensabile per poter accedere al beneficio e consentire le opportune verifiche”;

- “Il trattamento dei dati in questione, infatti, è avvenuto su base del tutto volontaria e con la finalità di ottenere un beneficio aggiuntivo rispetto alle comuni tariffe applicate da ATM s.p.a. […e] non può ritenersi che nel caso di specie il consenso prestato espressamente sia frutto di una scelta obbligata, giacché ogni utente ha sempre mantenuto la possibilità di fruire liberamente del servizio pubblico in questione a condizioni normali e senza la necessità di procedure online”;

- “Di contro, la comunicazione di dati specifici era condizione indispensabile per poter ottenere il beneficio, così come previsto dal bando, che ogni utente doveva dichiarare di aver letto. Sicché […] nel caso di specie tutti gli interessati hanno manifestato una volontà libera, specifica, informata e inequivocabile”;

- “Di guisa che il trattamento effettuato da ATM s.p.a. risulta su una base giuridica autonoma, senza la necessità del coinvolgimento del Comune di Messina”;

- “[…] occorre altresì rilevare che il trattamento dei dati in questione risultava necessario per la concessione del beneficio, ovvero il rilascio dell’abbonamento e la successiva rendicontazione”;

- “Sul punto l’art.9 del bando per l’ammissione al beneficio, stabiliva espressamente che il trattamento dei dati sarebbe stato svolto “per i necessari adempimenti che competono al Comune di Messina e ad A.T.M. S.p.A. in ordine allo svolgimento del servizio di trasporto pubblico locale, al perfezionamento dell’ammissione all’incentivo di cui al presente bando ed alla verifica del raggiungimento degli obiettivi previsti dall’art. 2 del presente bando e dall’Asse 6 del PON Metro XX da parte del Comune di Messina, nonché per adempiere a specifici obblighi imposti da leggi, regolamenti e dalla normativa comunitaria”;

- “[...] nel caso di specie, occorre distinguere il semplice accesso al servizio di trasporto locale, per il quale, di norma è sufficiente il semplice acquisto del titolo di viaggio, senza la necessità di fornire alcun dato personale, dalla stipula di abbonamenti personali o agevolati scelti liberamente dagli utenti per i quali, invece, l’acquisizione di specifici dati è indispensabile”;

- “Ed infatti, il trattamento dei dati in questione, non è finalizzato all’erogazione del servizio di trasporto locale sic et simpliciter, al quale ogni utente può accedere semplicemente acquistando il titolo di viaggio o parcheggio, ma alla stipula di un abbonamento agevolato cui gli utenti possono accedere su base volontaria ed a tariffe più vantaggiose rispetto al servizio standard”;

- “Oltretutto, il bando del Comune di Messina ha limitato la platea dei destinatari a specifiche categorie di utenti, stabilendo tra l’altro, la personalità del titolo e la non trasmissibilità dello stesso […chiedendo] dati indispensabili per individuare il beneficiario ed accertare che lo stesso sia titolare dei requisiti per accedere al beneficio richiesto” […per] il conseguente rilascio dell’abbonamento a tariffa agevolata, nonché per le attività di rendicontazione e verifica per il finanziamento europeo che sostiene l’intervento […pertanto] il trattamento dei dati richiesti, rispetto allo specifico rapporto sottostante, ha un collegamento diretto e obiettivo con le finalità dell’esecuzione del contratto”;

- “[…] Anche ove si dovesse ritenere corretta l’individuazione di ATM s.p.a. quale responsabile del trattamento per conto del Comune di Messina, non può ritenersi che il trattamento sia avvenuto in maniera illecita. Secondo il GDPD ATM s.p.a. avrebbe agito in assenza di un atto o di altro atto giuridico ai sensi dell'art. 28 del Regolamento”;

- “[…] Nel caso di specie non è stato tenuto conto che il Comune di Messina, per la sua parte, ha indicato delle specifiche finalità e modalità per il trattamento dei dati, demandando ad ATM s.p.a. di svolgere tutte le procedure di raccolta ed elaborazione, trattamento in questione è stato comunque disciplinato dal bando emesso dal Comune di Messina”;

- “L’art. 28 del Regolamento, infatti, stabilisce che debba esserci un atto in forma scritta, ma non che lo stesso debba essere necessariamente nella forma di un contratto. […] il bando predisposto dal Comune ha espressamente individuato i dati da trattare, le finalità, la durata del trattamento e le modalità stesse, cui ATM s.p.a. doveva attenersi. […] al netto dell’erronea qualificazione di ATM s.p.a. quale titolare del trattamento, anziché responsabile del trattamento, il bando deve considerarsi atto idoneo ai sensi dell’art. 28 del Regolamento per delegare la funzione in capo ad ATM s.p.a. Ed infatti sul piano sostanziale, anche ove dovessero ritenersi sussistenti alcuni errori, il trattamento è avvenuto nel rispetto delle previsioni e finalità del bando in questione”;

- “[…] Nel caso di specie la sanzione pecuniaria in aggiunta o in luogo delle misure correttive, risulterebbe eccessivamente gravosa giacché dalla sequela di tutti gli atti amministrativi, tanto il Comune di Messina e tanto ATM s.p.a. hanno mirato a rispettare il trattamento dei dati secondo le previsioni del GDPR. Le eventuali difformità, per come rilevato dallo stesso GDPD sono derivanti da un’erronea qualificazione di ATM s.p.a. quale titolare del trattamento, anziché quale responsabile del trattamento”;

- “Peraltro, tale indicazione poggia su una prassi consolidata rispetto ad altri casi analoghi, pure citati da ATM s.p.a. e trova altresì fondamento giuridico nell’art. 2-ter del codice. Gli utenti, che in ogni caso hanno prestato il consenso ed hanno accettato espressamente le condizioni del bando, non hanno subito alcun nocumento dal trattamento, anzi hanno conseguito un vantaggio economico”;

- “Oltretutto il Comune di Messina ha sempre collaborato pienamente con il GDPD nel far piena luce sulla vicenda. […] si è prefigurato di perseguire una finalità di pubblico interesse ovvero incentivare l’uso del trasporto pubblico”;

- “Oltretutto, l’intera vicenda va contestuale all’interno di una procedura di finanziamento comunitario, ove l’attività del Comune di pone in linea con gli obiettivi PON stabiliti a livello euro unitario. Dunque, stante la buona fede e la volontà di rispettare le previsioni del GDPR, frustrata eventualmente da un mero errore di interpretazione, giustificano l’eventuale adozione della sola misura correttiva e non anche l’applicazione della sanzione pecuniaria”;

- “[…] il Comune di Messina ha in corso una procedura di riequilibrio economico e l’eventuale comminatoria di gravi sanzioni pecuniarie, rischierebbe di frustrare il raggiungimento dell’anelato pieno riequilibrio di bilancio. Ciò avrebbe gravissime ripercussioni anche su cittadini e l’intera comunità messinese, giacché un eventuale dissesto limiterebbe le prestazioni del Comune soltanto a quelle essenziali e con l’applicazione delle tariffe massime, pregiudicando il buon andamento stesso dell’Ente”.

3. Esito dell’attività istruttoria.

3.1. La normativa applicabile in materia di protezione dei dati personali.

3.1.1. Liceità, correttezza e trasparenza del trattamento

Il trattamento di dati personali da parte di soggetti pubblici o gestori dei pubblici servizi è ammesso se necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito lo stesso; in ogni caso, il trattamento deve essere previsto da una norma di legge o di regolamento o da atti amministrativi generali (art. 6, par. 1, lett. c) ed e), 2 e 3, nonché art. 2-ter, commi 1, 1-bis e 2, del Codice). Si evidenzia, infatti, che quando il titolare del trattamento è un’autorità pubblica il consenso non costituisce, generalmente, un valido fondamento giuridico per il trattamento dei dati personali (cons. 43 del Regolamento), in considerazione dell’”evidente squilibrio tra l'interessato e il titolare del trattamento”.

Il titolare del trattamento è poi, in ogni caso, tenuto a rispettare i principi di cui all’art. 5 del Regolamento, tra cui il principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a), del Regolamento, ai sensi del quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell'interessato”.

In ossequio al medesimo principio di liceità, correttezza e trasparenza, il titolare del trattamento deve, altresì, adottare misure appropriate per fornire all'interessato tutte le informazioni di cui agli artt. 13 e 14 del Regolamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (art. 12 del Regolamento).

3.1.2. I principi di responsabilizzazione e di protezione dei dati fin dalla progettazione

Il titolare del trattamento deve conformarsi ed essere in grado di comprovare sia il rispetto dei principi e degli adempienti previsti dal Regolamento e sia di avere effettivamente tutelato il diritto alla protezione dei dati personali degli interessati fin dalla progettazione (artt. 5, par. 2, 24 e 25 par. 1 del Regolamento).

In base al rinnovato quadro normativo in materia di protezione dei dati personali, si richiede, infatti, una valutazione ponderata di tutte le scelte connesse ai trattamenti di dati personali, dimostrabile sul piano logico attraverso specifiche motivazioni, volte all’individuazione di misure necessarie e proporzionate rispetto alla concreta efficacia del principio di volta in volta tutelato.

In ossequio all’obbligo della protezione dei dati sin dalla progettazione, i titolari devono, inoltre, assumere una condotta attiva nell’applicazione dei principi, ponendosi l’obiettivo di ottenere un reale effetto di tutela. Non si richiede, quindi, la mera applicazione di misure generiche, non direttamente correlate allo scopo di tutela, ma di misure qualitativamente e quantitativamente efficaci rispetto all’obiettivo e progettate per essere, all’occorrenza, revisionate in relazione ad eventuali aumenti o riduzioni dei rischi per gli interessati.

L’art. 25, par. 1, del Regolamento prevede infatti che “tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento [debba mettere] in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati” (cfr. anche considerando 75 e 78 del Regolamento e Guidelines 4/2019 on Article 25 Data Protection by Design and by Default Adopted on 13 November 2019 by the EDPB).

3.1.3. I ruoli in materia di protezione dei dati personali

Nell’ambito delle operazioni di trattamento dei dati personali occorre poi individuare correttamente i ruoli di titolare (artt. 4, n. 7 e 24) e, se del caso, di responsabile (art. 4, n. 8 e 28), rispetto ai quali il Regolamento si pone in linea di continuità con il quadro normativo previgente.

Infatti, il Regolamento, da un lato, definisce quale «titolare del trattamento» “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali” (art. 4, n. 7) e, dall’altro, quale «responsabile del trattamento» “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento” (art. 4, n. 8).

Alla luce delle definizioni sopra riportate, pertanto, il titolare è il soggetto sul quale ricadono le decisioni di fondo relativamente alle finalità e ai mezzi del trattamento dei dati personali degli interessati nonché la responsabilità generale (cd. “accountability”) sui trattamenti posti in essere dallo stesso o da altri “per [suo] conto”, in qualità di responsabili ai sensi dell’art. 28 del Regolamento.

Il ruolo del responsabile del trattamento è, invece, caratterizzato dallo svolgimento di attività delegate dal titolare il quale, all’esito di proprie scelte organizzative, può individuare uno o più soggetti particolarmente qualificati allo svolgimento delle stesse - in termini di conoscenze specialistiche, di affidabilità, risorse e sicurezza del trattamento (cfr. cons. 81 del Regolamento) -, delimitando l’ambito delle rispettive attribuzioni e fornendo specifiche istruzioni sui trattamenti da effettuare (cfr. Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR” Versione 2.0, Adottate il 7 luglio 2021).

3.2. Sulla omessa regolamentazione dei rapporti tra i soggetti coinvolti nel trattamento ai sensi dell’art. 28 del Regolamento.

Preso atto di quanto rappresentato dal Comune e da ATM nella documentazione in atti e nelle memorie difensive, del quadro normativo sopra richiamato e di quanto emerso nell’ambito dell’istruttoria, si confermano, nei limiti di cui alle seguenti motivazioni, le valutazioni preliminari dell’Ufficio.

Ciò premesso, si evidenzia che l’oggetto della presente istruttoria riguarda i trattamenti sottesi alla specifica iniziativa, relativa all’anno XX, inerente al rilascio degli abbonamenti annuali per il servizio di trasporto pubblico locale a prezzo agevolato e non riguarda, in ambito più generale, l’intera erogazione del servizio di trasporto pubblico locale.

Ciò posto, alla luce dei riscontri forniti, nonché della documentazione trasmessa in corso d’istruttoria, occorre osservare preliminarmente che, in relazione ai trattamenti di dati personali sottesi alla gestione delle richieste di abbonamento agevolato per il servizio di trasporto pubblico locale nella città di Messina, il Comune deve essere considerato titolare del trattamento (artt. 4, par. 1, n. 7, e 24 del Regolamento) e la ATM deve essere considerata quale responsabile del trattamento ai sensi degli artt. 4, par. 1, n. 8, e 28, del Regolamento.

Ciò in quanto, in ambito generale, l’erogazione del servizio pubblico locale, inerisce alle finalità istituzionali del Comune, suscettibili di essere perseguite direttamente o indirettamente anche avvalendosi, tramite l’affidamento materiale del servizio mediante apposito contratto, di uno o più soggetti terzi. Contrariamente a quanto rappresentato dal Comune in corso d’istruttoria, il fondamento dell’erogazione del servizio di trasporto pubblico locale da parte di ATM non deriva dalla necessità di adempiere “un compito svolto nel pubblico interesse o per l'esercizio di pubblici poteri […] attribuiti [al gestore stesso]” mediante apposita previsione normativa (cfr. art. 2-ter, co. 1-bis, del Codice) bensì dal “contratto di affidamento del servizio [di trasporto pubblico locale]” stipulato tra il Comune e il gestore stesso. Si ricorda inoltre che la formalizzazione nell’ambito di un contratto o di altro atto giuridico, ai sensi dell’art. 28 del Regolamento, risulta necessaria indipendentemente dalla natura (pubblica o privata) del soggetto affidatario del servizio. Si consideri, infatti, quanto previsto nelle citate Linee Guida, sul fatto che “Le due condizioni fondamentali per la qualifica di responsabile del trattamento sono: a) essere un soggetto distinto rispetto al titolare del trattamento; b) trattare i dati personali per conto del titolare del trattamento” e che, con riferimento alla prima condizione, “Un soggetto distinto significa che il titolare del trattamento decide di delegare tutte o parte delle attività di trattamento a un soggetto esterno. […]” (Linee guida 7/2020, cit. parr. 76-77).

Sul punto, in merito alla titolarità del trattamento da attribuirsi al Comune occorre considerare quanto previsto nelle citate Linee guida, in cui viene indicato che “Il fatto che la titolarità del trattamento sia stata definita specificamente per legge sarà determinante per stabilire chi agisce in quanto titolare. Ciò presuppone che il legislatore abbia designato come titolare del trattamento un soggetto che è effettivamente in grado di esercitare un controllo. […]. Tuttavia, più comunemente, anziché designare direttamente il titolare del trattamento o stabilire i criteri per la sua designazione, la legge definisce un compito o impone l’obbligo di raccogliere e trattare determinati dati. In tali casi, la finalità del trattamento è spesso determinata per legge. Il titolare del trattamento è di norma il soggetto cui la legge demanda la realizzazione di tale finalità, di tale funzione pubblica. Ciò sarebbe il caso, ad esempio, laddove un soggetto cui sono affidati determinati compiti pubblici (ad es., prestazioni previdenziali), che non possono essere assolti senza raccogliere almeno un certo numero di dati personali, istituisca una banca dati o un registro per svolgere detta funzione pubblica. In tal caso, la legge stabilisce, pur se indirettamente, chi è il titolare del trattamento. Più in generale, la legge può altresì imporre, a soggetti pubblici o privati, l’obbligo di conservare o fornire determinati dati. Di norma, tali soggetti sarebbero pertanto considerati titolari del trattamento necessario per l’adempimento dell’obbligo in questione” (Linee guida 7/2020, cit. parr. 23-24).

Con riferimento alla circostanza che il Comune si definisca estraneo al trattamento in questione e qualifica, invece, la ATM quale titolare del trattamento, in quanto “il Comune di Messina ha predisposto il bando generale per l'ammissione al beneficio dato dall'abbonamento a costo ridotto, rimettendo ad A.T.M. S.p.A. ogni ulteriore attività per l'erogazione del servizio in oggetto, dalla fase di registrazione dell'utenza (ed ancor prima nella fase di progettazione e realizzazione del sito internet ospitante il form di registrazione) sino all'emissione dell'abbonamento, senza interferenza o collaborazione in nessuna delle fasi di erogazione del servizio” si osserva che tale circostanza non risulta dirimente, in considerazione del fatto che “[…] se un titolare incarica un responsabile del trattamento di effettuare il trattamento per suo conto, ciò significa spesso che il responsabile del trattamento è in grado di adottare autonomamente determinate decisioni sulle modalità di effettuazione del trattamento in oggetto. L’EDPB riconosce la sussistenza di un certo margine di manovra affinché anche il responsabile del trattamento possa prendere decisioni in relazione al trattamento. In quest’ottica, è necessario fornire orientamenti rispetto al grado di influenza esercitata sulla definizione del «perché» e del «come» che comporta l’attribuzione a un soggetto della qualifica di titolare del trattamento nonché rispetto alla misura in cui un responsabile del trattamento possa adottare decisioni in autonomia” (Linee guida 7/2020, cit., par. 37). Nel caso di specie, alla luce di quanto acquisito in corso d’istruttoria, ciò che si desume non è una titolarità autonoma del gestore per scelta e valutazione propria, bensì la necessità di dover procedere ad organizzare i mezzi per svolgere le ulteriori attività ad esso attribuite ed indicate nel bando, seppur prive di specifiche istruzioni rispetto ai trattamenti di dati personali sottesi e sempre mantenendosi nell’alveo delle competenze attribuite, per quanto concerne il più generale servizio di trasporto pubblico locale, nel contratto di servizio nonché, in relazione alla specifica iniziativa, da quanto disciplinato nel bando stesso.

Né rileva quanto dichiarato dal Comune, ovvero che “la gestione dell'utenza e degli abbonamenti emessi in virtù del Bando era rimessa esclusivamente in capo ad A.T.M. S.p.A., alla quale, in via generale, già compete la concreta erogazione del servizio di trasporto pubblico locale” e che “è la stessa ATM s.p.a. ad aver previsto le tariffe di abbonamento, rimaste invariate, ed ha previsto la procedura online per la registrazione, peraltro valevole per tutti i tipi di abbonamento applicati da detta società e non solo per quella degli abbonamenti “move me”. In termini generali, si osserva infatti che la presenza di un accordo di servizio o altre forme di concessione del servizio non incide sulle modalità con le quali le parti devono definire ex ante i ruoli di protezione dei dati personali ai sensi della normativa vigente, che vanno definiti sulla base di una valutazione caso per caso e indipendentemente dai ruoli attribuiti alle parti in base a ulteriori normative di settore. Rileva, a tale fine, la considerazione che “I concetti di titolare del trattamento e di responsabile del trattamento sono […] concetti autonomi, nel senso che, sebbene fonti giuridiche esterne possano contribuire all’individuazione del titolare del trattamento, la loro interpretazione dovrebbe basarsi principalmente sul diritto dell’UE in materia di protezione dei dati. Il concetto di titolare del trattamento non dovrebbe essere confuso con altri concetti, talvolta contrastanti o coincidenti, propri di altri campi del diritto, come quello di autore o di titolare dei diritti in materia di proprietà intellettuale o di diritto della concorrenza” (Linee guida 7/2020, cit., par. 13).

Non trova altresì fondamento la circostanza che il Comune non si qualifichi come titolare del trattamento in quanto non tratta direttamente i dati personali degli interessati (richiedenti l’abbonamento agevolato), considerando, invece, “[…] A.T.M. S.p.A. […] Titolare del trattamento dei dati raccolti in occasione della registrazione per l'emissione degli abbonamenti per il TPL a prezzo ridotto, […] data la totale estraneità [del Comune di Messina] alla procedura (incluse le attività di raccolta e trattamento dei dati inseriti nel form online)” posto che, conformemente anche a quanto previsto dalle citate Linee guida “Non è necessario che il titolare abbia effettivamente accesso ai dati oggetto del trattamento. Un soggetto che esternalizzi un’attività di trattamento e in tal modo eserciti un’influenza determinante sulla finalità e sui mezzi (essenziali) del trattamento stesso (ad esempio configurando i parametri di un servizio in modo tale da definire quali dati personali debbano essere trattati) è da ritenersi il titolare del trattamento anche se non avrà mai accesso effettivo ai dati” (Linee guida 7/2020, cit. par. 45). Ebbene, nel caso di specie, è il Comune stesso ad aver “stabili[to] i requisiti per l’accesso al beneficio”, rappresentando, altresì, in corso d’istruttoria, che “il bando predisposto dal Comune ha espressamente individuato i dati da trattare, le finalità, la durata del trattamento e le modalità stesse, cui ATM s.p.a. doveva attenersi”. Ciò al fine di raccogliere “dati indispensabili per individuare il beneficiario ed accertare che lo stesso sia titolare dei requisiti per accedere al beneficio richiesto”.

Occorre inoltre considerare la legittima aspettativa da parte degli interessati in merito al ruolo svolto dal Comune nel trattamento in esame. Al riguardo, si rileva che nel “Bando per l’assegnazione di incentivi “Move me” per l’acquisto dell’abbonamento annuale su tutte le linee del trasporto pubblico locale di A.T.M. S.p.A. e per l’acquisto congiunto dell’abbonamento al servizio di sosta presso i parcheggi di interscambio del Comune di Messina” - pubblicato anche sul sito web istituzionale del Comune - è indicato espressamente che: “Il presente bando disciplina l’iniziativa “MOVE ME” promossa dal Comune di Messina, prevedendo l’assegnazione di contributi economici erogati dal Comune medesimo, finalizzati all’acquisto di abbonamenti annuali per il servizio di trasporto pubblico locale, con data ultima per “l’attivazione e, quindi, per il suo pagamento al XX”, al prezzo agevolato […] emessi da A.T.M. S.p.A., quale Società in house del Comune di Messina e gestore del Trasporto Pubblico Locale e della sosta” e che “L’incentivo riconosciuto, […è] erogato direttamente da A.T.M. S.p.A. all’utente sottoscrittore dell’abbonamento per conto del Comune di Messina, nell’ambito dell’iniziativa “MOVE ME” […]” (cfr. pp. 1-3 del predetto bando, acquisito in atti).

Da ultimo, a fini di chiarezza, si rappresenta che non può ritenersi condivisibile il riferimento al consenso (art. 6, par. 1, lett. a), del Regolamento), invocato dal Comune quale eventuali ulteriori e autonomo presupposto di liceità del trattamento, in considerazione, come indicato nel precedente paragrafo 3.1.1. della sussistenza di un’”evidente squilibrio tra l'interessato e il titolare del trattamento” (cons. 43 del Regolamento), specie quando quest’ultimo sia un soggetto che agisce nell’esecuzione di un “compito di interesse pubblico o connesso all’esercizio di pubblici poteri” (art. 6, par.1, lett. e) del Regolamento). In ogni caso, la previsione del consenso richiesto agli utenti per i trattamenti connessi alla fruizione del servizio agevolato contrasta con quanto previsto dal Regolamento, che richiede la prestazione del consenso attraverso un atto positivo con il quale l’interessato manifesta una volontà libera, specifica, informata e inequivocabile consentendo il trattamento dei dati personali che lo riguardano (Considerando 32, 42 e 43, artt. 5, 6, par. 1, lett. a) e 7 del Regolamento; si veda, altresì, quanto previsto nelle Linee guida 5/2020 sul consenso ai sensi del Regolamento (UE) 2016/679, adottate dal Comitato europeo per la protezione dei dati personali il XX).

Alla luce delle considerazioni che precedono, stante la riconosciuta titolarità del trattamento in capo al Comune, per quanto concerne l’iniziativa in esame, ne deriva che il ruolo del gestore del pubblico servizio, per quanto concerne la protezione dei dati personali, richiedeva una definizione e formalizzazione nell’ambito di un contratto o di altro atto giuridico, ai sensi dell’art. 28 del Regolamento che, allo stato e sulla base delle dichiarazioni rese nell’ambito dell’istruttoria, non risulta essere stato adottato, neanche per i trattamenti inerenti alla gestione degli abbonamenti annuali per il servizio di trasporto pubblico locale a prezzo agevolato.

Né può considerarsi, contrariamente a quanto rappresentato dal Comune, che “Se si volesse ritenere il Comune titolare del trattamento, in ogni caso, l’assenza di un accordo specifico ai sensi dell’art. 28 del GDPR può essere compensata dal bando (artt. 9, 15) in cui comunque sono regolati i rapporti con ATM anche sotto il profilo delle prescrizioni/requisiti richiesti dall’art. 28 del GDPR”. Al riguardo, occorre rilevare, in primo luogo, che, come chiarito dal Comitato europeo per la protezione dei dati, “Qualsivoglia trattamento di dati personali da parte di un responsabile del trattamento deve essere disciplinato da un contratto o altro atto giuridico, a norma del diritto dell’Unione o degli Stati membri, [che sia] concluso tra il titolare e il responsabile del trattamento, conformemente all’articolo 28, paragrafo 3, del […Regolamento]. Tale atto giuridico deve essere per iscritto, […e] Per evitare difficoltà nel dimostrare che il contratto o altro atto giuridico è effettivamente in vigore, l’EDPB raccomanda di accertarsi che le firme necessarie vi siano incluse, in linea con il diritto applicabile (ad esempio, il diritto contrattuale) […] Inoltre, ai sensi del diritto dell’Unione o degli Stati membri il contratto o l’altro atto giuridico deve vincolare il responsabile del trattamento nei confronti del titolare del trattamento, ovverosia deve definire obblighi vincolanti in capo al responsabile del trattamento, conformemente al diritto dell’UE o degli Stati membri. Deve altresì definire gli obblighi del titolare del trattamento. Nella maggior parte dei casi vi sarà un contratto, tuttavia il regolamento fa riferimento altresì ad un «altro atto giuridico», come il diritto nazionale (primario o derivato) o un altro strumento giuridico. Se l’atto giuridico non prevede tutti i contenuti minimi richiesti, deve essere integrato da un contratto o da un altro atto giuridico che contenga gli elementi mancanti” (parr. 100, 101 e 102 delle citate Linee guida 07/2020).

Ciò non si è verificato nel caso di specie, essendo il predetto bando destinato agli utenti, al fine di “disciplina[re] l’iniziativa “MOVE ME” promossa dal Comune di Messina, prevedendo l’assegnazione di contributi economici erogati dal Comune medesimo, finalizzati all’acquisto di abbonamenti annuali per il servizio di trasporto pubblico locale“ e ad “incentivare la mobilità sostenibile nella Città di Messina” (cfr. art. 1 del bando), e non a regolare, direttamente tra il Comune ed ATM, i rapporti tra gli stessi. Pertanto, “poiché il regolamento stabilisce con chiarezza l’obbligo di stipulare un contratto scritto, qualora non sia in vigore nessun altro atto giuridico pertinente si ha una violazione del [Regolamento], ovvero dell’”articolo 28, paragrafo 3, del [Regolamento]” (par. 103 delle citate Linee guida 07/2020). In ogni caso, si evidenzia altresì che nel paragrafo 3 dell’articolo 28 del Regolamento sono indicati gli elementi obbligatori da inserire nel “contratto o altro atto giuridico a norma del diritto dell’Unione o degli Stati membri”, tra cui l’oggetto del trattamento”, “la natura del trattamento […] e la finalità”, “la tipologia di dati personali” “le categorie di interessati” e “gli obblighi e diritti del titolare del trattamento” (cfr. punto 114 citate Linee guida 7/2020). Pertanto, nel caso di assenza totale del predetto contratto, o anche in mancanza di uno o più degli elementi essenziali di cui al citato paragrafo 3, tale da determinare una definizione non chiara del rapporto titolare-responsabile tra le parti si configura una violazione del citato art. 28, par. 3 del Regolamento (cfr. tra i tanti, provv. del 29 settembre 2021, n. 351, doc. web 9716256, nonché provv. del 22 luglio 2021, n. 294, doc. web n. 9698724, dell'11 febbraio 2021, n. 49, doc. web n. 9562852).

Tutto ciò premesso, risulta accertato che la mancata stipula di un idoneo contratto o atto giuridico con il gestore del pubblico servizio da parte del Comune ha comportato l’assenza di definizione di istruzioni atte a garantire una maggiore conformità del trattamento alla disciplina in materia di protezione dei dati personali, con conseguente violazione dell’art. 28, par. 3, del Regolamento.

3.3. L’inidonea informativa agli interessati.

Come indicato nei precedenti paragrafi, in base alla disciplina in materia di protezione dei dati personali i soggetti pubblici (come il Comune) possono trattare i dati solo se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure “per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e) del Regolamento). In tale quadro, la gestione dei servizi di trasporto pubblico locale, inclusi i relativi abbonamenti, anche di natura agevolata, ai fini della fruizione degli stessi, rientrano tra le attività istituzionali affidate agli enti locali. Pur in presenza di un presupposto giuridico, ad ogni modo, il titolare del trattamento è comunque tenuto a rispettare, e a far rispettare ai soggetti che agiscono per suo conto, i principi in materia di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza”, di cui all’art. 5, par. 1, lett. a), del Regolamento).

Dalla documentazione acquisita in corso d’istruttoria risulta accertato che, nell’ambito della procedura per la presentazione delle richieste di abbonamento agevolato, non è stata conferita un’idonea informativa agli interessati, pur essendo prevista una informativa nel “Bando per l’assegnazione di incentivi “Move me” per l’acquisto dell’abbonamento annuale su tutte le linee del trasporto pubblico locale di A.T.M. S.p.A. e per l’acquisto congiunto dell’abbonamento al servizio di sosta presso i parcheggi di interscambio del Comune di Messina” (cfr. art. 9 del predetto bando).

Oltre a riferimenti non aggiornati in merito alla normativa sulla protezione dei dati, (“art. 13 del D.Lgs. 196/2003” anziché i riferimenti al Regolamento, indicato in una delle due check-box da spuntare), nella predetta informativa sono presenti diversi elementi non conformi alla normativa in materia di protezione dei dati personali, tra i quali, in particolare, il riferimento al consenso (indicato, tra l’altro, come “obbligatorio”), come base giuridica per il trattamento dei dati, essendo previsto che “Con la presentazione della domanda il richiedente concede il proprio consenso all’elaborazione e all’utilizzo dei dati contenuti nella domanda”, l’indicazione che “I dati personali possono essere oggetto di diffusione nel rispetto delle delibere dell’Autorità garante per la protezione dei dati personali” e la presenza di informazioni contrastanti, essendo indicato il medesimo soggetto come titolare e come responsabile del trattamento, (la “A.T.M. S.p.a., […] con sede in Via La Farina, n. 336, 98124, Messina (ME)”), nonostante sia indicato, altresì, che “I dati forniti dai candidati per l’ammissione all’incentivo e per lo svolgimento del servizio di trasporto pubblico locale possono essere […] trattati e conservati per il tempo necessario connesso alla gestione della servizio di trasporto pubblico locale, […] per i necessari adempimenti che competono al Comune di Messina e ad A.T.M. S.p.A. in ordine allo svolgimento del servizio di trasporto pubblico locale, al perfezionamento dell’ammissione all’incentivo di cui al presente bando ed alla verifica del raggiungimento degli obiettivi previsti dall’art. 2 del presente bando e dall’Asse 6 ME6.1.2.b del PON Metro XX da parte del Comune di Messina, nonché per adempiere a specifici obblighi imposti da leggi, regolamenti e dalla normativa comunitaria”.

Tale informativa, inoltre, non contiene alcuni degli elementi previsti dagli artt. 13 e 14 del Regolamento, con particolare riguardo ai dati di contatto del responsabile della protezione dei dati e alle modalità di esercizio dei diritti degli interessati di cui agli artt. 15-22 del Regolamento, essendo indicato unicamente che “L'interessato può esercitare, alle condizioni e nei limiti di cui al Regolamento UE 2016/679, i diritti previsti dagli articoli 15 e seguenti, quali l'accesso ai propri dati personali, la rettifica o la cancellazione dei dati, la limitazione del trattamento, la portabilità dei dati, l'opposizione al trattamento […]”.

Tale adempimento risulta in carico al titolare del trattamento (art. 12 del Regolamento).

Alla luce di quanto sopra esposto, il trattamento dei dati personali in questione è, pertanto, avvenuto, da parte del Comune, titolare del trattamento, in maniera non conforme al principio di “liceità, correttezza e trasparenza”, in violazione degli artt. 5, par. 1, lett. a), 12 e 13 del Regolamento.

3.4. Sul mancato rispetto dei principi di responsabilizzazione e della protezione dei dati fin dalla progettazione

In base al principio della “protezione dei dati fin dalla progettazione” (art. 25, par. 1, del Regolamento), il titolare del trattamento è tenuto ad attuare i principi di protezione dei dati (art. 5 del Regolamento) adottando misure tecniche e organizzative adeguate e integrando nel trattamento le necessarie garanzie per soddisfare i requisiti del Regolamento e tutelare i diritti e le libertà degli interessati. Nella determinazione delle predette misure il titolare deve tenere conto, tra i vari elementi, anche “[…] del contesto […] del trattamento”, dovendo pertanto considerare anche i ruoli attribuiti, in materia di protezione dei dati personali, dei vari soggetti coinvolti nell’ambito del trattamento da svolgere, al fine di attuare efficacemente i principi in materia di protezione dei dati personali.

Con riferimento al principio di “liceità, correttezza e trasparenza” (art. 5, par. 1, lett. a), del Regolamento), come rappresentato nel paragrafo 3.3, il titolare deve essere trasparente con gli interessati (cfr. artt. 12, 13 e 14 del Regolamento e le “Linee guida 4/2019 sull’articolo 25 Protezione dei dati fin dalla progettazione e per impostazione predefinita”, spec. punti 65 e 66). In particolare, le informazioni trasmesse agli interessati devono:

− essere fornite in un linguaggio chiaro e semplice, conciso e comprensibile;

− avere un significato chiaro per gli interessati a cui sono rivolte;

− essere fornite al momento opportuno e nella forma adeguata;

− essere pertinenti e applicabili all’interessato specifico;

− consentire agli interessati di avere una buona comprensione di ciò che possono aspettarsi dal trattamento dei loro dati personali.

Al fine di dare attuazione al medesimo principio, il titolare è inoltre tenuto ad assicurarsi che il trattamento sia lecito, identificando una base giuridica valida (cfr. art. 6 e le (cfr. art. 6 del Regolamento e le citate “Linee guida 4/2019 sull’articolo 25”, spec. punti 67 e 68). Le misure e le garanzie dovrebbero concorrere all’obbligo di assicurare che l’intero ciclo di vita del trattamento sia in linea con la pertinente base giuridica mediante:

− l’applicazione della corretta base giuridica al trattamento;

− la differenziazione della base giuridica utilizzata per ciascuna attività di trattamento;

− la connessione della base giuridica alla specifica finalità di trattamento;

− la determinazione della base giuridica prima che il trattamento abbia luogo.

La mancata definizione dei ruoli svolti, per quanto concerne la protezione dei dati personali, dai soggetti coinvolti nel trattamento in esame, ha comportato la violazione anche del principio di responsabilizzazione di cui agli artt. 5, par. 2 e 24 del Regolamento in quanto, come chiarito nelle citate Linee Guida 07/2020, tale principio - in un’ottica di fiducia e legittima aspettativa che gli interessati ripongono nel titolare del trattamento - pone in capo allo stesso, l’obbligo di garantire ed essere in grado di dimostrare che “il trattamento è effettuato conformemente al Regolamento” anche sotto il profilo della definizione dei ruoli svolti dai vari soggetti coinvolti in un’attività di trattamento di dati personali e la conseguente ripartizione delle responsabilità.

Pertanto, la mancata adozione delle predette misure si pone in contrasto con i principi di “responsabilizzazione” e della “protezione dei dati fin dalla progettazione”, di cui agli artt. 5, comma 2, 24 e 25, par. 1, del Regolamento.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, si rileva che le dichiarazioni rese dal Comune, in qualità di titolare del trattamento, nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗, seppure meritevoli di considerazione, non consentono di superare tutti i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento, e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019 non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Si confermano, pertanto, le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dal Comune, per aver effettuato il trattamento di dati personali in violazione degli artt. 5, par. 1, lett. a) e par. 2, 12, 13, 24, 25, par. 1, e 28 del Regolamento.

Ciò premesso, tenuto conto che:

− non risultano comprovati eventuali danni subiti dagli interessati;

− i trattamenti in questione sono stati effettuati nell’ambito di un’iniziativa volta a garantire maggiori benefici ai cittadini, mediante l’erogazione di abbonamenti agevolati, e ad incentivare la mobilità sostenibile;

− il titolare del trattamento ha prestato piena collaborazione all’Autorità nel corso dell’istruttoria e, a seguito della stessa, ha provveduto a sensibilizzare ulteriormente tutti i dipendenti in merito alla disciplina in materia di trattamento dei dati personali e ai connessi adempimenti;

− non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento;

− in relazione al contesto di riferimento, il titolare ha rappresentato di avere in corso una procedura di riequilibrio economico - finanziario;

− le circostanze del caso concreto inducono a qualificare la presente fattispecie come “violazione minore”, ai sensi del cons. 148 del Regolamento e delle “Linee guida riguardanti l'applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del regolamento (UE) n. 2016/679”, adottate dal Gruppo di Lavoro Art. 29 il 3 ottobre 2017, WP 253, e fatte proprie dal Comitato europeo per la protezione dei dati con l’“Endorsement 1/2018” del 25 maggio 2018.

Si ritiene, pertanto, relativamente al caso in esame, che sia sufficiente ammonire il titolare del trattamento ai sensi degli artt. 58, par. 2, lett. b), e 83, par. 2, del Regolamento, per avere violato gli artt. 5, par. 1, lett. a) e par. 2, 12, 13, 24, 25, par. 1, e 28 del Regolamento.

Considerato che la condotta ha esaurito i suoi effetti, non ricorrono i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2, del Regolamento.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

- ai sensi dell’art. 57, par. 1, lett. f) del Regolamento, rileva l’illiceità del trattamento effettuato dal Comune di Messina con sede in Piazza Unione Europea, 98122 Messina (ME), Codice Fiscale: 00080270838, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e par. 2, 12, 13, 24, 25, par. 1, e 28 del Regolamento;

- ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, ammonisce il Comune di Messina, quale titolare del trattamento in questione, per aver violato gli artt. 5, par. 1, lett. a) e par. 2, 12, 13, 24, 25, par. 1, e 28 del Regolamento, come sopra descritto;

DISPONE

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito web del Garante;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione del presente provvedimento nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 luglio 2025

IL PRESIDENTE

Stanzione

IL RELATORE

Scorza

IL SEGRETARIO GENERALE REGGENTE

Filippi

Scheda

Doc-Web

10171816

Data

17/07/25

Argomenti

Informativa

Enti pubblici

Trasporti pubblici

Tipologie

Ammonimento