Quando un Comune valuta un canale digitale verso i cittadini, la domanda sulla protezione dei dati arriva presto — ed è giusto che arrivi. Il timore ricorrente è che serva il consenso di ogni cittadino, che il trattamento sia complesso da giustificare o che l’ente si esponga a responsabilità difficili da gestire.
Nella maggior parte dei casi il quadro è più semplice di quanto si pensi, purché si distinguano correttamente i ruoli e le basi giuridiche. Questo articolo mette in ordine gli elementi essenziali. Non sostituisce la valutazione del Responsabile della protezione dei dati dell’ente, che resta il riferimento obbligato per il caso concreto.
Chi tratta quali dati
Il primo passaggio, e il più chiarificatore, consiste nel separare due trattamenti che spesso vengono confusi.
Il rapporto tra il cittadino e l’app. Quando una persona installa Civitas, si registra con la propria email e imposta un’area di interesse, il trattamento di quei dati è gestito dal fornitore del servizio come titolare, secondo quanto descritto nella Privacy Policy. Il Comune non riceve la rubrica degli iscritti, non conosce chi si è registrato e non gestisce quelle utenze.
Il rapporto tra il Comune e il servizio. Quando l’ente utilizza il pannello per inviare comunicazioni, tratta i dati necessari per quella specifica attività, avvalendosi del fornitore come responsabile del trattamento ai sensi dell’art. 28 GDPR, con apposito atto di nomina.
Questa separazione ha una conseguenza pratica di rilievo: il Comune comunica verso un’area geografica, non verso un elenco di persone. Non riceve dati identificativi dei destinatari e non è nella posizione di profilarli.
La base giuridica: serve il consenso?
Per le comunicazioni istituzionali, la base giuridica ordinaria non è il consenso ma l’art. 6, par. 1, lett. e) del GDPR: trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri. Informare i cittadini su servizi, scadenze, disservizi e situazioni di rischio rientra nei compiti dell’ente.
In presenza di situazioni di emergenza può inoltre venire in rilievo la lett. d) del medesimo articolo, relativa alla salvaguardia di interessi vitali.
Il consenso resta invece la base corretta in due ambiti da mantenere accuratamente distinti:
- le comunicazioni promozionali, che non appartengono alla comunicazione istituzionale;
- le funzionalità facoltative che il cittadino attiva sul proprio dispositivo, come il permesso alle notifiche o l’uso della geolocalizzazione, concessi a livello di sistema operativo.
Il punto da tenere presente è che il consenso alle notifiche viene dato dall’utente al momento dell’installazione, non raccolto dall’ente: è una scelta che avviene sul telefono della persona, revocabile in qualunque momento dalle impostazioni.
La minimizzazione applicata alla comunicazione
L’art. 5, par. 1, lett. c) impone che i dati trattati siano adeguati, pertinenti e limitati a quanto necessario. Tradotto in scelte concrete per un canale di comunicazione comunale, significa preferire un’architettura in cui:
- l’invio è geografico, non nominativo: non serve sapere chi riceve per raggiungere chi si trova in una determinata area;
- le statistiche sono aggregate: numero di consegne e di aperture, non elenchi di singoli comportamenti;
- le segnalazioni dei cittadini circolano senza dati identificativi: su Civitas nominativi ed email non vengono mostrati agli altri utenti;
- non esiste un elenco iscritti consultabile, né dal Comune né da terzi.
Meno dati transitano, meno adempimenti servono. È il principio più utile in assoluto quando si progetta un servizio pubblico digitale.
La checklist degli adempimenti
Per un Comune che attiva un canale di notifica, gli adempimenti tipici sono i seguenti.
1. Atto di nomina del responsabile del trattamento (art. 28). Da sottoscrivere con il fornitore, con indicazione di finalità, categorie di dati, misure di sicurezza, gestione dei sub-responsabili e destino dei dati al termine del contratto.
2. Aggiornamento del registro dei trattamenti (art. 30). Va inserita la nuova attività di comunicazione, con base giuridica, categorie di interessati e tempi di conservazione.
3. Informativa ai cittadini (artt. 13-14). L’ente integra la propria informativa sui canali di comunicazione. Le informazioni relative al funzionamento dell’app sono già rese dal fornitore nella propria privacy policy.
4. Valutazione d’impatto, se necessaria (art. 35). Non è automaticamente richiesta per l’invio di comunicazioni verso aree geografiche. Diventa opportuna se l’ente introduce trattamenti su larga scala di dati di localizzazione riferibili a singoli individui, o altre attività che ricadono nei criteri individuati dalle autorità di controllo. La valutazione va condivisa con il DPO.
5. Coinvolgimento del DPO (art. 37). Per le pubbliche amministrazioni la nomina è obbligatoria: il DPO va consultato prima dell’attivazione, non dopo.
6. Verifica della localizzazione dei dati. Vale la pena accertare dove risiedono i server e se sono previsti trasferimenti verso paesi terzi (capo V del GDPR). Nel caso di Civitas, l’analisi automatica delle segnalazioni — testi e immagini — avviene su infrastruttura propria del fornitore, senza invio a servizi esterni di terze parti: è un elemento che semplifica sensibilmente questa verifica.
7. Misure di sicurezza (art. 32). Accesso al pannello con credenziali individuali, revoca tempestiva per il personale che cambia mansione, tracciamento degli invii.
Errori ricorrenti
Chiedere il consenso quando non serve. Trattare la comunicazione istituzionale come marketing crea un problema che non esisteva: rende revocabile un’attività che è invece un compito dell’ente.
Usare canali personali. Un gruppo di messaggistica gestito con il numero privato di un amministratore comporta il trattamento dei contatti dei cittadini in un contesto privo di base giuridica e di misure adeguate. È probabilmente la criticità più diffusa nei piccoli comuni: ne parliamo nell’articolo su perché i gruppi WhatsApp non bastano.
Inserire dati personali nel testo dell’avviso. Una notifica non deve contenere nomi, indirizzi specifici di privati, targhe o dettagli sanitari. Se l’informazione è individuale, il canale corretto è un altro.
Dimenticare la fine del rapporto. L’atto di nomina deve prevedere cosa accade ai dati alla scadenza del contratto: cancellazione o restituzione, con tempi definiti.
Domande frequenti
Il Comune vede chi ha ricevuto o aperto la notifica?
No. Il pannello mostra dati aggregati — quante consegne, quante aperture — senza informazioni riferibili a singoli utenti.
Il Comune può ottenere l’elenco dei cittadini iscritti?
No, e non è un limite tecnico ma una scelta di progettazione: l’elenco non è consultabile da nessuno. L’ente comunica verso aree, non verso persone identificate.
Serve una DPIA per attivare il servizio?
Nella configurazione standard, la comunicazione verso aree geografiche non rientra tra i trattamenti che la richiedono in via automatica. La verifica va comunque fatta con il DPO, che valuta il contesto specifico dell’ente.
Un cittadino può chiedere la cancellazione dei propri dati?
Sì. Le richieste relative all’account dell’app si esercitano verso il titolare del trattamento di quel servizio: per Civitas è disponibile una procedura dedicata nella pagina eliminazione account.
In sintesi
Un canale di notifica comunale è compatibile con il GDPR quando poggia sulla base giuridica corretta — il compito di interesse pubblico, non il consenso — e su un’architettura che riduce al minimo i dati trattati. Nomina del responsabile, registro aggiornato, informativa, coinvolgimento del DPO: quattro passaggi ordinari, ben noti a qualunque ufficio.
Se il tuo DPO ha bisogno della documentazione tecnica sul trattamento per completare la valutazione, scrivici: la forniamo con l’atto di nomina già predisposto.
Il contenuto di questo articolo ha finalità informativa e non costituisce consulenza legale.