Sanzione del Garante Privacy per il Cimitero dei feti di Roma

1. Il fatto

   La vicenda nasce a seguito della denuncia di una cittadina che ha scoperto la propria identità esposta pubblicamente presso un cimitero di Roma in corrispondenza della sepoltura del feto a seguito di un'interruzione di gravidanza. Secondo quanto riportato dalla stampa, la pratica di indicare il nome della donna sulle croci era sistematica e avveniva senza alcuna informativa né consenso esplicito.

   L'istruttoria ha accertato che gli elenchi dei dati, trasmessi dalle autorità sanitarie alla società di gestione cimiteriale, contenevano informazioni complete (nome, cognome, codice fiscale) che venivano poi trascritte su targhette visibili a chiunque visitasse l'area. Il quadro procedimentale ha portato a provvedimenti amministrativi opponibili del Garante Privacy, che ha sanzionato una società municipalizzata e un ente comunale, disponendo invece la sola ammonizione per l'azienda sanitaria locale coinvolta, per il trattamento illecito di dati appartenenti a categorie particolari.

2. 

   Le norme in gioco

   Il baricentro normativo è rappresentato dalle disposizioni del GDPR che stabiliscono il divieto generale di trattare categorie particolari di dati, inclusi quelli relativi alla salute e alla vita sessuale o riproduttiva, salvo specifiche deroghe previste dalla legge. I principi del medesimo regolamento impongono il rispetto della minimizzazione dei dati, prescrivendo che le informazioni trattate debbano essere adeguate, pertinenti e limitate a quanto necessario rispetto alle finalità perseguite.

   Il conflitto sorge con il Regolamento di Polizia Mortuaria, in particolare con le norme che disciplinano la sepoltura dei prodotti del concepimento. Tuttavia, tale disciplina non impone l'obbligo di rendere pubblica l'identità della madre sulla lapide, limitandosi a richiedere la tracciabilità nei registri interni. La violazione degli obblighi di sicurezza e di trasparenza completa il quadro delle sanzioni irrogate.

3. Cosa dice la giurisprudenza

   La giurisprudenza amministrativa e di legittimità ha chiarito che il diritto alla riservatezza sui dati idonei a rivelare lo stato di salute è inviolabile, anche di fronte a prassi amministrative risalenti nel tempo. L'orientamento consolidato distingue nettamente tra identificabilità interna (registri d'ufficio consultabili solo da chi vanti un interesse qualificato) ed identificabilità esterna mediante esposizione al pubblico.

   I giudici hanno ribadito che il gestore di un servizio pubblico non può invocare le disposizioni o le richieste dell'autorità sanitaria come scriminante qualora tali indicazioni siano palesemente in contrasto con la normativa sulla protezione dei dati. Il principio di accountability del titolare del trattamento impone a ciascun soggetto della catena organizzativa di verificare autonomamente la liceità della diffusione dei dati, con particolare riguardo alle informazioni inerenti la sfera intima della persona.

5. Analisi redatta e verificata con edit.legal

   Per verificare le norme citate nell'articolo abbiamo usato edit.legal. Metti alla prova la nostra AI giuridica su fonti ufficiali e applicala alle tue pratiche.

   Prova l'AI di edit.legal

8. Cosa insegna ai professionisti

   1. Valutazione d'Impatto (DPIA): è doveroso condurre un'analisi preventiva dei rischi qualora il trattamento riguardi dati sanitari su larga scala in ambiti accessibili al pubblico.
   2. Gerarchia delle fonti: il GDPR, quale fonte dell'Unione Europea, prevale su regolamenti locali o direttive amministrative interne incapaci di garantire i medesimi standard di tutela.
   3. Responsabilità dei soggetti attuatori: il consulente legale deve rappresentare al cliente che l'esecuzione materiale delle prestazioni non esime dalla verifica della liceità del trattamento quando sussista un margine di autonomia nelle modalità organizzative o espositive.

9. Nota di aggiornamento e rettifica (17 settembre 2026)

   La versione precedente di questo articolo riportava erroneamente che l'azienda sanitaria locale fosse stata sanzionata, mentre è stata destinataria di una sola ammonizione. Inoltre, ometteva il coinvolgimento dell'ente comunale (sanzionato) e definiva 'definitivi' i provvedimenti del Garante, che sono invece opponibili. In assenza di fonti primarie reperibili, il testo è stato corretto e le parti reali sono state anonimizzate nel rispetto delle regole redazionali.

Riferimenti: Regolamento Generale sulla Protezione dei DatiCodice in materia di protezione dei dati personaliRegolamento di Polizia Mortuaria

Supervisione editoriale: Avv. Federico Papa·ICAMAggiornato a 17 settembre 2026Contenuto redatto con il supporto dell'AI e sottoposto a verifica redazionale sulle fonti. Nonostante i controlli, possono residuare imprecisioni: segnalazioni e richieste di rettifica sono benvenute. Segnala una rettifica