Garante Privacy Sanctions Aldilapp, Halts Non-Compliant Cameras

Garante Privacy Newsletter (Italy DPA)

Filed March 9th, 2026

Detected March 9th, 2026

Summary

The Italian Garante Privacy has sanctioned Aldilapp and its distributors for non-compliant digital cemetery services, halting the use of non-compliant cameras. The authority also approved a delegation management platform and expressed global concerns regarding AI-generated intimate content.

View original document View source feed page

What changed

The Italian Data Protection Authority (Garante Privacy) has issued sanctions against Stup, the distributor of Aldilapp in Italy, and two municipalities (Ancona and Velletri) for violations related to a digital cemetery application. The Aldilapp platform, which allows users to locate deceased individuals' burial sites and offers social and commercial features, was found to process personal data beyond institutional purposes. The Garante has ordered the strengthening of security measures, a clear separation between institutional and social/commercial services, and the deletion of automatically generated digital profiles of the deceased.

Regulated entities, particularly those offering digital services that integrate personal data with social or commercial functionalities, must review their data processing activities for compliance with privacy regulations. This action highlights the need for transparency, appropriate legal bases, and robust technical and organizational measures. Companies must ensure that data collected for specific institutional purposes is not unduly used for unrelated commercial or social features, and that user consent and data subject rights are respected. Failure to comply may result in sanctions and orders to cease non-compliant practices.

What to do next

Review data processing for digital services integrating institutional and commercial/social features.
Ensure clear separation of data processing purposes and implement robust security measures.
Delete automatically generated digital profiles and associated interactions if they exceed institutional scope.

Penalties

Sanctions issued against Aldilapp and associated municipalities.

Source document (simplified)

Home
Stampa e comunicazione
Newsletter
NEWSLETTER 9 marzo 2026 - Cimiteri digitali, il Garante privacy sanziona Aldilapp - Stop alle telecamere non a norma privacy - Piattaforma di gestione delle deleghe, via libera del Garante - Garanti mondiali: preoccupazione per contenuti intimi generati con l'AI

NEWSLETTER 9 marzo 2026 - Cimiteri digitali, il Garante privacy sanziona Aldilapp - Stop alle telecamere non a norma privacy - Piattaforma di gestione delle deleghe, via libera del Garante - Garanti mondiali: preoccupazione per contenuti intimi generati con l'AI

Stampa
Condividi

NEWSLETTER N. 544 del 9 marzo 2026

Cimiteri digitali, il Garante privacy sanziona Aldilapp

Il Garante per la privacy ha sanzionato Stup, società che distribuisce Aldilapp in Italia, i comuni di Ancona e Velletri e i rispettivi gestori dei servizi cimiteriali. [VEDI doc. web nn. 10225195, 10225650, 10225673, 10225225 e 10225702 ]. L’app consente agli utenti - previa registrazione - di individuare il luogo di sepoltura dei defunti nei cimiteri aderenti al servizio e offre anche funzionalità di tipo “social” e commerciale.

Utilizzando il database comunale Aldilapp crea di default i “profili digitali” dei defunti, consentendo la pubblicazione di dediche e l’accensione di ceri virtuali visibili a tutti gli utenti, nonché la fruizione di servizi commerciali (es. fornitura di fiori, pulizia delle tombe).

All’esito degli accertamenti, è emerso che l’utilizzo di un’unica piattaforma per offrire sia servizi istituzionali sia servizi di tipo “social” e commerciale - inscindibilmente connessi tra loro - presenta diverse criticità. Comporta infatti trattamenti di dati personali eccedenti rispetto alle sole finalità istituzionali e può creare negli utenti la legittima aspettativa che tutti i trattamenti siano riconducibili ai Comuni. Ulteriori criticità riguardano la regolamentazione dei rapporti tra i soggetti coinvolti, la scarsa trasparenza nei confronti degli utenti, nonché l’inadeguatezza di alcune misure tecniche e organizzative.

Il Garante ha quindi disposto il rafforzamento delle misure di sicurezza, la netta separazione tra servizi istituzionali e quelli di natura “social” e commerciale, nonché la cancellazione dei “profili digitali” creati automaticamente dai database comunali e delle interazioni ad essi associate.

Tali servizi potranno essere erogati da Stup su richiesta degli utenti e senza utilizzare i database cimiteriali messi a disposizione dai Comuni esclusivamente per l’erogazione del servizio di informazione sull’ubicazione dei defunti nei propri cimiteri.

Tenuto conto della natura innovativa del servizio, dell’assenza di reclami e della collaborazione fornita nel corso dell’istruttoria, l’Autorità ha irrogato sanzioni amministrative di importo contenuto: 6mila euro a Stup; 3mila euro al Comune di Ancona, 2mila euro al Comune di Velletri e 2.500 euro ai gestori cimiteriali.

Garante: stop alle telecamere non a norma privacy
Sanzionato il Comune di Mazara del Vallo

Il Garante privacy ha sanzionato per 4mila euro il Comune di Mazara del Vallo per violazioni in materia di protezione dei dati personali.

L’Autorità è intervenuta a seguito del reclamo di un automobilista che aveva ricevuto un verbale di accertamento di violazione al Codice della strada per mancata revisione del veicolo.

Il Comune non ha fornito, nel verbale, alcuna indicazione sulle effettive modalità di accertamento dell’infrazione, rilevata mediante un sistema video non omologato per questa finalità e sulle motivazioni che avevano reso impossibile la contestazione immediata.

A seguito dell’istruttoria, tenendo conto anche della normativa di settore, il Garante ha pertanto rilevato che il Comune ha agito in assenza di un’idonea base giuridica, violando il principio in base al quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”.

Inoltre il Comune non ha fornito agli interessati un’idonea informativa e non ha effettuato la valutazione di impatto prevista.

Pertanto il Garante, nel comminare la sanzione, ha prescritto al Comune di fornire agli interessati un’idonea informativa e di svolgere la valutazione di impatto sulla protezione dei dati personali, prevista dal GDPR in caso di rischi elevati per gli interessati. Tali rischi, derivanti, ad esempio, dall’utilizzo di nuove tecnologie, sono sempre presenti laddove sia effettuata una sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

Piattaforma di gestione delle deleghe, via libera del Garante

Il Garante privacy ha espresso parere favorevole sullo schema di decreto del Presidente del Consiglio dei Ministri, che disciplina il funzionamento della Piattaforma di gestione deleghe, ritenendo il testo conforme alla normativa sulla protezione dei dati personali.

Tramite la Piattaforma, ogni cittadino iscritto nell’Anagrafe Nazionale della Popolazione Residente, può delegare fino a due soggetti all’accesso ai servizi erogati in rete dalle pubbliche amministrazioni, che richiedono identificazione informatica (CIE, SPID).

Lo schema di decreto, che rientra nel programma di attuazione del PNRR, definisce le caratteristiche tecniche, l’architettura, i requisiti di sicurezza, le procedure, le tipologie di dati e le categorie di interessati della Piattaforma.

Il testo esaminato in sede di parere ha tenuto conto delle indicazioni fornite in fase istruttoria dall’Autorità che, in ogni caso, si è riservata di valutare i trattamenti di dati personali concretamente posti in essere da parte di tutti i soggetti coinvolti, una volta che la Piattaforma sarà entrata a regime.

In primo luogo, specifiche misure e garanzie sono state introdotte per le modalità di rilascio della delega e per definirne l’ambito di applicabilità, escludendo, da un lato, le deleghe professionali e i mandati conferiti a professionisti o a intermediari abilitati, e dall’altro, i servizi destinati a professionisti, lavoratori dipendenti e collaboratori, per lo svolgimento di attività professionali, per compito di interesse pubblico o in attuazione di un obbligo di legge.

Lo schema introduce, inoltre, un numero massimo di deleghe accumulabili in capo al delegato e la corretta articolazione delle modalità di esercizio dei poteri di rappresentanza.

Particolare attenzione è stata posta, inoltre, dall’Autorità sulla responsabilizzazione di ciascuna PA nell’individuazione dei servizi delegabili e nella classificazione dei servizi online (servizi delegabili a tutti, servizi delegabili solo ad alcune tipologie di delega, nonché servizi non delegabili tramite la Piattaforma).

È previsto poi un regime speciale per i servizi erogati attraverso il Fascicolo sanitario elettronico (FSE 2.0), l’Ecosistema dei dati sanitari (EDS) e la Piattaforma nazionale telemedicina (PNT), in considerazione della loro delicatezza.

Garanti mondiali: preoccupazione per contenuti intimi generati con intelligenza artificiale

Il Garante privacy e altre 60 Autorità di protezione dati di tutto il mondo hanno firmato la scorsa settimana una dichiarazione congiunta sui sistemi di intelligenza artificiale che generano immagini e video di persone reali, a loro insaputa e senza consenso.

Nel documento i Garanti mondiali esprimono tutta la loro preoccupazione sugli effetti che la creazione e la diffusione di contenuti intimi, diffamatori o dannosi, possono avere in particolare sui bambini e su altri soggetti vulnerabili.

Fermi restando gli specifici requisiti giuridici previsti dai diversi ordinamenti, sono quattro i principi fondamentali che dovrebbero guidare lo sviluppo e l’uso di sistemi di intelligenza artificiale: misure efficaci che prevengano l’abuso di informazioni personali e la creazione non consensuale di immagini intime e di contenuti lesivi; trasparenza sul funzionamento dei sistemi di IA, sugli utilizzi accettabili e le conseguenze di un uso improprio; strumenti effettivi e accessibili per richiedere la rimozione di contenuti dannosi che riguardano dati personali; gestione dei rischi specifici per i minori.

Da qui la richiesta agli sviluppatori di collaborare proattivamente con le autorità di regolamentazione, implementando le necessarie misure di salvaguardia affinché il progresso tecnologico non vada a discapito della privacy, della dignità, della sicurezza e di altri diritti fondamentali delle persone, in particolare dei soggetti più vulnerabili della società globale.

La dichiarazione è stata coordinata dal Gruppo di lavoro sulla cooperazione internazionale per l’applicazione delle norme (IEWG) della Global privacy assembly (GPA).

L'ATTIVITÀ DEL GARANTE - PER CHI VUOLE SAPERNE DI PIÚ
Gli interventi e i provvedimenti più importanti recentemente adottati dall'Autorità

Famiglia nel bosco: il Garante monitora la vicenda e richiama alla tutela dei minori – Comunicato del 7 marzo 2026
Garante privacy ad Amazon: stop alla schedatura dei lavoratori
Raccolte informazioni su patologie, attività sindacali, vita personale e dei familiari - Comunicato del 24 febbraio 2026

NEWSLETTER del Garante per la protezione dei dati personali (Reg. al Trib. di Roma n. 654 del 28 novembre 2002)
Direttore responsabile: Stefano Sabella
Direzione e redazione: Garante per la protezione dei dati personali, Piazza Venezia, n. 11 - 00187 Roma.
Tel: 06.69677.2751 - Fax: 06.69677.3785
Newsletter è consultabile sul sito Internet www.gpdp.it