Italian Data Protection Authority: Privacy Violation by Private Investigator

Provvedimento del 17 aprile 2026 [10291395]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 17 aprile 2026 [10291395]

Provvedimento del 17 aprile 2026 [10291395]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10291395]

Provvedimento del 17 aprile 2026

Registro dei provvedimenti

n. 420 del 17 aprile 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dottor Luigi Montuori, segretario generale;

VISTO il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101, recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo pervenuto.

È pervenuto a questa Autorità un reclamo della signora XX relativo ad un presunto trattamento illecito dei suoi dati personali da parte del signor XX, titolare della “XX”.

In particolare, la signora XX ha riferito che in data 16 dicembre 2020, il signor XX, accompagnato dal signor XX, si introduceva nell'abitazione della predetta con il pretesto di acquistare un capo di abbigliamento usato che la stessa gli aveva mostrato in data 13 dicembre presso il mercatino di XX.

La reclamante consentiva l'ingresso ad entrambi e mostrava loro il capo di abbigliamento.

I sig.ri XX e XX, all'insaputa della reclamante, effettuavano una ripresa visiva dell'abitazione, nonché dell'intero colloquio.

Tale filmato, corredato dell'audio, era successivamente depositato dall'ex marito dell'odierna scrivente, nell'ambito del giudizio civile di separazione.

Al riguardo, la signora XX ha lamentato, per quanto rileva in questa sede, di non avere ricevuto dagli investigatori l'informativa prescritta dall'articolo 13 del Regolamento UE 2016/679 (di seguito per brevità Regolamento).

La signora XX ha lamentato pure la violazione dell'articolo 8, comma 4, delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria (pubblicate ai sensi dell'art. 20, comma 4, d.lgs. 10 agosto 2018, n. 101, in Gazzetta Ufficiale n. 12 del 15 gennaio 2019 e reperibili anche sul sito del Garante, doc. web n. 9069653); ciò in quanto, all’atto dello svolgimento delle attività investigative nella sua abitazione, era presente anche il signor XX, che – sostiene la reclamante - non risulterebbe essere titolare di autorizzazione all'esercizio di attività investigativa e non sarebbe indicato nell’atto di incarico a XX.

Ciò premesso, la reclamante ha chiesto a questa Autorità di:

a) sanzionare il sig. XX e il sig. XX in ragione della violazione delle disposizioni vigenti in materia di privacy e riservatezza;

b) intimare ai medesimi di renderle interamente accessibili i dati personali trattati e conservati;

c) imporre agli stessi la definitiva cancellazione dei dati personali;

d) precisare, ai sensi dell'articolo 57, comma 1, lett. e) del Regolamento se, in base alla vigente normativa sul trattamento dei dati personali e delle regole deontologiche che disciplinano l'attività dell'investigatore, sia consentito all'investigatore privato effettuare riprese e registrazioni nella dimora privata della persona investigata, senza il suo consenso.

2. L’attività istruttoria.

2.1. Questa Autorità ha chiesto al sig. XX, nella sua qualità di titolare della XX, di fornire a questa Autorità i seguenti documenti ed informazioni:

1) precisazione del ruolo del signor XX nell’ambito delle investigazioni di cui sopra ed eventuale sua menzione nell’atto di conferimento dell'incarico;

2) nel caso in cui il signor XX fosse un collaboratore dell’investigatore, se questo fosse stato segnalato al Prefetto ai sensi dell'articolo 259 del R.D. 6 maggio 1940, n. 635, (regolamento per l'esecuzione del testo unico 18 giugno 1931, n. 773, delle leggi di pubblica sicurezza);

3) nel caso di risposta affermativa alla domanda di cui al punto 2, se al signor XX fossero state fornite, da parte del titolare del trattamento XX, istruzioni specifiche in merito al trattamento dei dati personali, ai sensi dell’articolo 29 del Regolamento e dell’art. 8, comma 5, delle Regole deontologiche sopra citate;

4) se la Signora XX avesse ricevuto l’informativa di cui all’articolo 13 del Regolamento e, in caso negativo, i motivi della mancata informativa;

5) se l’Agenzia detenesse ancora dati personali della reclamante e, in caso affermativo, l’indicazione dei dati detenuti ed il motivo della perdurante detenzione;

6) ogni altra deduzione ritenuta utile ai fini della valutazione, da parte di questa Autorità, della fondatezza o meno del reclamo.

2.2. Con nota trasmessa in data 24 giugno 2024, il signor XX ha fornito il riscontro richiesto, dichiarando:

“In seguito alla richiesta di informazioni effettuata da parte del Garante per la Protezione dei Dati Personali, mediante la quale si chiede al sottoscritto XX di fornire informazioni alla suddetta Autorità, in merito a cinque punti indicati dall’Autorità stessa, dichiaro quanto segue:

1) precisazione del ruolo del signor XX nell’ambito delle investigazioni di cui sopra ed eventuale sua menzione nell’atto di conferimento dell'incarico;

Il Sig. XX è mio amico personale, da circa trent’anni. Non è un collaboratore dell’Agenzia investigativa “XX” ed anzi svolge un’autonoma attività lavorativa, nel settore del marketing. In seguito ad una attività di analisi del profilo Facebook della Sig.ra XX mi ero immediatamente reso conto che tale profilo allora era totalmente aperto alla consultazione di altri utenti in quanto la Sig.ra XX non aveva applicato i filtri previsti dal social network stesso per limitare la visibilità del proprio profilo agli altri utenti. Così, tra gli amici propri indicati dalla Sig.ra XX mi accorgevo che era presente un signore di XX, residente e lavorante a Roma, XX. Sapendo che questo signore è un conoscente del mio amico XX, chiedevo al Sig. XX stesso se era in grado di potermi mettere in contatto con la Sig.ra XX.

Avendo autonomamente appreso che la Sig.ra XX svolgeva attività lavorativa presso il mercatino del XX, chiedevo al Sig. XX di accompagnarmi per farle alcune domande sui capi d’abbigliamento più pregiati che la Sig.ra XX vendeva al pubblico. Avendo notato che vendeva pellicce gli dissi di chiedere informazioni sulle pellicce e sul loro prezzo. Non avevamo in quel momento la disponibilità di liquidità sufficiente per l’acquisto di una pelliccia né tantomeno potevamo acquistarla con pagamento elettronico in quanto la Sig.ra XX accettava solo contanti. Il colloquio che la Sig.ra XX avrebbe intrattenuto, mi avrebbe consentito di effettuare le fotografie dell’attività di vendita della Sig.ra XX stessa, senza destare sospetti.

Avendo notato che da brava commerciante (in precedenza aveva un negozio di abbigliamento) e al fine di realizzare una vendita, la Sig.ra XX aveva mostrato subito notevole confidenza verso il Sig. XX tanto da abbattere qualsiasi formalismo e dargli immediatamente del “tu” e mostrarsi disponibile ad agevolare l’acquisto della pelliccia anche al di fuori del mercatino XX, tanto da comunicare Lei stessa il proprio numero di telefono al Sig. XX, chiedevo al Sig. ZZ di effettuare nei giorni successivi e in mia presenza una telefonata alla Sig.ra XX per sapere quando e dove poter acquistare la pelliccia in contanti. Ho avuto modo di ascoltare la telefonata durante la quale la Sig.ra XX, di sua iniziativa indicava la propria abitazione quale luogo per poter acquistare la pelliccia. Dato che il soggetto che ha svolto le indagini è sempre stato il sottoscritto, non potevo fare in modo che il Sig. XX si recasse autonomamente presso l’abitazione della Sig.ra XX, quindi, durante la telefonata stessa, parlando sottovoce ho chiesto di chiederle se avesse potuto portare con sé un proprio amico e la Sig.ra XX aveva acconsentito liberamente e mostrato soddisfazione per aver trovato un probabile nuovo cliente.

Successivamente, mi sono così recato presso l’abitazione della Sig.ra XX insieme al Sig. XX e ciò, quindi, non è risultata affatto una sorpresa per la Sig.ra XX. Durante la conversazione alla base della vendita della pelliccia, la Sig.ra XX si è mostrata totalmente felice e a proprio agio, tanto da offrirci vino e caffè. Io ho documentato tutto con un video dal quale ho estratto le fotografie allegate alla relazione investigativa, pertinenti e non eccedenti l’oggetto del mandato professionale ricevuto.

Pertanto, Il Sig. XX non ha svolto autonomamente alcuna attività di indagine e non ha trattato alcun dato personale della Sig.ra XX.

Ed è parimenti evidente come il nome del Sig. XX, non fosse espressamente indicato nel mandato professionale, in quanto non è un mio collaboratore e non avrei potuto immaginare la conoscenza in comune con la Sig.ra XX. Nel mandato professionale, è però espressamente presente al punto n. 3 (pag. 2) una precisa descrizione del ruolo di eventuali figure che possano agevolare l’andamento delle investigazioni conferite. Ecco di seguito il testo del suddetto punto n. 3: “3) l’Agenzia Investigativa “XX”, come sopra indicata nella persona di XX, nei casi ritenuti necessari per entrare in contatto con la persona oggetto di indagini e al fine di raccogliere informazioni utili all’oggetto delle investigazioni stesse, potrebbe avvalersi di propri parenti, amici e conoscenti, se questi ultimi dovessero conoscere la persona oggetto di indagini (per es. vicini di casa, colleghi di lavoro, soggetti frequentanti abitualmente gli stessi ambienti) oppure disponessero di un’amicizia in comune. La ricerca di tali amicizie è solitamente effettuata consultando i social network della persona oggetto di indagini. Le suddette persone che XX dovesse individuare non sono configurabili come collaboratori in quanto non svolgono autonomamente alcuna attività investigativa (intesa come monitoraggio spostamenti della persona oggetto di indagini, realizzazione di materiale audio/video fotografico), ma saranno eventualmente utilizzati dall’Agenzia Investigativa “XX esclusivamente come accompagnatori di XX al fine di un supporto logistico oppure di creare un contatto con la persona oggetto di indagini, sempre alla presenza del XX stesso. Tali soggetti riceveranno esclusivamente informazioni generiche e strettamente pertinenti al supporto ad essi richiesto.”

2) nel caso in cui il signor XX sia un collaboratore dell’investigatore, se questo sia stato segnalato al Prefetto ai sensi dell'articolo 259 del R.D. 6 maggio 1940, n. 635, (regolamento per l'esecuzione del testo unico 18 giugno 1931, n. 773, delle leggi di pubblica sicurezza);

Come sopra indicato, il Sig. XX, non è un mio collaboratore.

3) nel caso di risposta affermativa alla domanda sub 2, se al signor XX siano state fornite, da parte del titolare del trattamento XX, istruzioni specifiche in merito al trattamento dei dati personali, ai sensi dell’art. 29 del Regolamento e dell’art. 8, comma 5, delle Regole deontologiche sopra citate;

Come sopra indicato, il Sig. XX non è un mio collaboratore.

4) se la Signora XX abbia ricevuto l’informativa di cui all’art. 13 del Regolamento e, in caso negativo, i motivi della mancata informativa;

Come previsto dal Garante della Privacy, (Privacy: gli investigatori privati dovranno rispettare precise garanzie a tutela delle persone - 30 dicembre 1997 - https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/49174 ), “la persona presso la quale sono raccolte le informazioni dovrà essere informata, così come dovranno essere informati periodicamente il difensore e il soggetto che ha conferito l’incarico. La persona sul cui conto sono raccolte le informazioni non dovrà essere informata se i dati sono utilizzati per il periodo strettamente necessario per esercitare il diritto in sede giudiziaria, ovvero per portare a termine l’indagine difensiva.” Il caso è quindi compreso in questa seconda parte.

Altresì: ai sensi dell’art. 13 del GPDR (XX), Il Garante privacy italiano, ha ricordato che in alcuni casi non è necessaria l'informativa, quando: - i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria; - il trattamento è connesso allo svolgimento delle "investigazioni difensive" in materia penale (art. 38 norme di attuazione del c.p.p.) o alla difesa di un diritto in sede giudiziaria (a meno che il trattamento si protragga per un periodo superiore a quello strettamente necessario al perseguimento di tali finalità o sia svolto per ulteriori scopi).

5) se l’Agenzia detiene ancora dati personali della reclamante e, in caso affermativo, l’indicazione dei dati detenuti ed il motivo della perdurante detenzione;

L’agenzia investigativa XX non detiene “ancora” alcun dato personale della Sig.ra XX, in quanto come espressamente indicato nel mandato professionale, contestualmente alla consegna delle due relazioni investigative al mandante, l’agenzia investigativa XX provvede a cancellare e distruggere in modo definitivo ed irrecuperabile ogni dato personale e sensibile della parte oggetto di indagine e questo è accaduto anche per il caso della Sig.ra XX: le investigazioni svolte, ivi comprese le relazioni investigative, i video, le foto e qualsiasi altro dato sono stati cancellati in modo irrecuperabile. Con la cancellazione dei dati viene completamente a esaurirsi il trattamento dei dati di ogni parte “oggetto di indagini” e questo è accaduto anche per la Sig.ra XX, tanto che in sede giudiziaria, all’inizio della mia testimonianza ho indicato al giudice, che avrei deposto solo in base alla mia memoria, in quanto non avevo più a disposizione, alcun dato cartaceo o elettronico relativo allo svolgimento del mandato investigativo svolto, se non copia dell’incarico.

6) ogni altra deduzione ritenuta utile ai fini della valutazione, da parte di questa Autorità, della fondatezza o meno del reclamo.

Ciò premesso, nel ritenere di aver perfettamente adempiuto gli specifici obblighi di legge esistenti e regolanti l’attività professionale da me svolta, resto in attesa di un Vostro cortese riscontro, con la gentile richiesta di voler rigettare, perché infondate, le richieste della sig.ra XX.”.

Dagli atti della istruttoria preliminare appariva quindi che l’investigatore privato, signor XX, aveva condotto una attività investigativa acquisendo dati direttamente dalla reclamante senza fornirle l’informativa dovuta e avvalendosi anche di un “amico personale” che non rivestiva né la qualifica di investigatore privato, né quella di collaboratore dell’investigatore segnalato al Prefetto, ai sensi dell'articolo 259 del r. d. 6 maggio 1940, n. 635, (regolamento per l'esecuzione del testo unico 18 giugno 1931, n. 773, delle leggi di pubblica sicurezza) e debitamente istruito dal titolare (art. 29 del Regolamento).

L’Ufficio ha valutato le giustificazioni addotte dal signor XX, non ritenendole però idonee a legittimarne la condotta alla luce dei parametri normativi di seguito riportati.

2.3. In particolare, per quanto attiene alla collaborazione nelle investigazioni del signor XX, l’Ufficio ha tenuto conto che, in base alle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria:

“4. L'investigatore privato deve eseguire personalmente l'incarico ricevuto e può avvalersi solo di altri investigatori privati indicati nominativamente all'atto del conferimento dell'incarico, oppure successivamente in calce a esso qualora tale possibilità sia stata prevista nell'atto di incarico. Restano ferme le prescrizioni predisposte ai sensi dell’art. 2-septies del d.lgs. n. 196/2003 e art. 21 del d.lgs. n. 101/2018 relative al trattamento delle particolari categorie di dati personali di cui all’art. 9, par. 1, del Regolamento (UE) 2016/679.

5. Nel caso in cui si avvalga di persone autorizzate al trattamento dei dati per suo conto, l'investigatore privato rende specifiche istruzioni in ordine alle modalità da osservare e vigila, con cadenza almeno settimanale, sulla puntuale osservanza delle norme di legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla collaborazione a essi richiesta.” (art. 8, commi 4 e 5).

Inoltre, l’articolo 29 del Regolamento prescrive che chiunque agisca sotto l’autorità del titolare del trattamento e che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri. Nel caso di specie, il signor XX aveva all’apparenza collaborato nell’attività di investigazione nei confronti della reclamante, ma entrambe le disposizioni sopra citate non sembravano rispettate.

2.4. Circa la mancata informativa alla reclamante, poi, il Regolamento consente di pretermettere l’informativa - ove questa rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento - solo nel caso in cui i dati personali non siano stati raccolti presso l'interessato (art. 14), come nel caso di rilevazioni fotografiche a distanza o attività di pedinamento. Quando, invece, i dati sono stati raccolti direttamente presso l’interessata – come appariva essere stato nel caso di specie, in cui l’investigatore ed il suo “amico personale” si erano recati in incognito presso la reclamante ed avevano acquisito informazioni mediante interlocuzione diretta con lei – l’informativa è sempre dovuta, ai sensi dell’articolo 13 del Regolamento.

2.5. Infine, con riferimento al provvedimento del Garante del 30 dicembre 1997, citato nella nota di riscontro del signor XX, l’Ufficio ha rilevato che questo, risalente ad oltre vent’anni or sono, era stato da tempo superato prima dal d. lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito anche “Codice”) ed attualmente dal Regolamento e che il sito web citato nella nota di riscontro (XX) non era in alcun modo riconducibile al Garante.

3. La notifica delle violazioni e le memorie difensive.

Sulla base delle risultanze dell’istruttoria preliminare e della loro valutazione nei termini sopra descritti, l’Ufficio ha notificato al signor XX, in qualità di titolare del trattamento, ed alla signora XX, nella qualità di interessato reclamante, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del Regolamento, ai sensi degli articoli 77 e segg. del Regolamento, dell’articolo 166 del Codice e degli articoli 12 e segg. del Regolamento 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, nonché all’adozione dei provvedimenti correttivi e sanzionatori (pubblicato sulla Gazzetta Ufficiale n. 106 dell' 8 maggio 2019 e reperibile nel sito web dell’Autorità, https://www.garanteprivacy.it/web/guest/home), indicando:

a) quale oggetto del procedimento, il trattamento dei dati personali della signora XX da parte dell’investigatore privato signor XX, nell’ambito dell’attività investigativa da esso condotta su mandato di terzo, senza fornire all’interessata l’informativa di cui all’articolo 13 del Regolamento ed avvalendosi nelle investigazioni della collaborazione di persona non rivestente la qualifica di investigatore privato o di collaboratore dell’investigatore ai sensi dell'articolo 259 del R.D. 6 maggio 1940, n. 635 e senza fornirgli idonee specifiche istruzioni ai sensi dell’articolo 29 del Regolamento;

b) quali disposizioni presumibilmente violate con il predetto trattamento: l’articolo 13 del Regolamento, ai sensi del quale, in caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le informazioni indicate nel medesimo articolo; l’articolo 29 del Regolamento, ai sensi del quale chiunque agisca sotto l’autorità del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri; l'articolo 8, commi 4 e 5 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria, secondo cui “4. L'investigatore privato deve eseguire personalmente l'incarico ricevuto e può avvalersi solo di altri investigatori privati indicati nominativamente all'atto del conferimento dell'incarico, oppure successivamente in calce a esso qualora tale possibilità sia stata prevista nell'atto di incarico. Restano ferme le prescrizioni predisposte ai sensi dell’art. 2-septies del d.lgs. n. 196/2003 e art. 21 del d.lgs. n. 101/2018 relative al trattamento delle particolari categorie di dati personali di cui all’art. 9, par. 1, del Regolamento (UE) 2016/679. 5. Nel caso in cui si avvalga di persone autorizzate al trattamento dei dati per suo conto, l'investigatore privato rende specifiche istruzioni in ordine alle modalità da osservare e vigila, con cadenza almeno settimanale, sulla puntuale osservanza delle norme di legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla collaborazione a essi richiesta.”

Il signor XX ha trasmesso all’Ufficio del Garante memoria difensiva, rappresentando quanto segue:

“Il sottoscritto si riporta integralmente a quanto già dedotto ed eccepito nel precedente atto con il quale ha rassegnato le proprie giustificazioni, il quale in questa sede deve intendersi integralmente trascritto.

A corollario di quanto evidenziato ed al fine di contrastare la ricostruzione dell’istante, il sottoscritto fa presente quanto segue.

Il sottoscritto è legato al sig. XX da una amicizia di lunga data ed è proprio per la natura del rapporto che ha chiesto al sig. XX di accompagnarlo presso l’immobile dell’odierna istante, senza alcuno scopo ulteriore e senza divulgare i dettagli dell’incarico, essendo l’unico soggetto legittimato a trattare i dati personali dell’istante nell’ambito di investigazioni tese al deposito delle risultanze ai fini di difesa.

Si allegano rilievi fotografici che testimoniano l’amicizia di lunga data: [seguono foto]

L’amicizia in comune tra l’odierna istante ed il sig. XX è il sig. XX. Il medesimo soggetto è ancora amico su Facebook (profilo aperto di quest’ultimo) con il sig. XX, come testimonia lo screenshot sotto allegato:

[seguono screenshot di post su Facebook]

Per ciò che concerne la figura del sig. XX, come già ribadito, è un mio amico di lunga data e non ha ricevuto un mio incarico di svolgere attività investigativa.

Da ultimo si allega la sentenza del Tribunale Penale di Roma, già citata dall’istante, a supporto della correttezza dell’operato del sottoscritto, il quale, si ribadisce, è stato l’unico soggetto che ha provveduto a videoregistrare l’incontro in virtù del mandato espletato.

Tutto quanto sopra premesso, il sottoscritto, CHIEDE L’archiviazione del reclamo depositato, per tutti i motivi esposti nel presente atto e nell’atto con il quale il sottoscritto ha reso giustificazioni.

Il sottoscritto chiede inoltre di essere sentito in ordine ai fatti occorsi. Si allega sentenza Tribunale Penale.”.

La predetta sentenza penale, acquisita agli atti, dichiara il non luogo a procedere nei confronti – tra gli altri - del signor XX, in ordine al reato di interferenze illecite nella vita privata (art. 615-bis c.p.), “perché il fatto non costituisce reato”, a conclusione del procedimento avviato a seguito di denuncia-querela della signora XX, per l’effettuazione delle predette riprese fotografiche effettuate a casa sua durante la visita del XX e del suo accompagnatore, per lo svolgimento dissimulato delle attività investigative.

Con nota aggiuntiva, la reclamante ribadiva le proprie doglianze, in merito all’intervento nel corso delle attività investigative di “persona non autorizzata” e della mancata informativa.

Veniva effettuata, infine, l'audizione personale richiesta dal signor XX, accompagnato dall'avvocatessa XX. In tale sede, il signor XX si richiamava integralmente a quanto già illustrato nella nota di riscontro in fase di istruttoria preliminare e nella nota difensiva precedentemente inviate al Garante e precisava che, durante la sua escussione nel processo relativo alla variazione dell'assegno di mantenimento corrisposto alla ex consorte signora XX dall'Avvocato XX, che gli conferì il mandato investigativo, testimoniò che durante la transazione relativa all’acquisto della pelliccia nell'abitazione della signora XX la stessa dichiarò che accettava solo pagamenti in contanti, avendo cessato la propria attività lavorativa regolare proprio allo scopo di dissimulare i suoi redditi. Precisava altresì che le fotografie effettuate presso l'abitazione della signora XX furono effettuate da lui medesimo e non dal signor XX; la pelliccia fu acquistata dal signor XX allo scopo di provare lo svolgimento, da parte della medesima, di attività lavorativa in nero. Aggiungeva che nel suddetto processo relativo alla variazione dell'assegno di mantenimento, l'avvocato XX chiamò a testimoniare, per sua autonoma decisione, il signor XX. Dichiarava, infine, di non avere fornito alla signora XX l'informativa in ordine all'effettuazione di una attività investigativa, perché ciò avrebbe impedito di realizzare la medesima attività, con nocumento per la sua professione di investigatore privato.

4. L’esito dell’istruttoria.

4.1. Ai sensi dell’articolo 4, paragrafo 1, n. 1), del Regolamento, costituisce dato personale “qualsiasi informazione riguardante una persona fisica identificata o identificabile”, mentre ai sensi del n. 2), costituisce trattamento “qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione”.

Pertanto, la raccolta delle informazioni relative al reclamante, la loro registrazione, elaborazione, inserimento nella relazione investigativa e comunicazione al committente le attività investigative, costituiscono trattamento di dati personali.

L’attività di investigazione privata, autorizzata con licenza prefettizia (art. 134 del regio decreto 18 giugno 1931, n. 773, e successive modificazioni e integrazioni) è, di per sé, lecita, ma deve essere esercitata nel rispetto delle norme che la disciplinano e delle disposizioni in materia di protezione dei dati personali.

L’articolo 13 del Regolamento stabilisce che quando i dati personali sono stati raccolti direttamente presso l’interessato – come nel caso di specie, in cui l’investigatore ed il suo “amico personale” si sono recati in incognito presso la reclamante ed hanno acquisito informazioni mediante interlocuzione diretta con lei – l’informativa è dovuta in ogni caso (cfr. quale precedente conforme il provvedimento del Garante 12 maggio 2022 n. 187, reperibile nel sito web dell’Autorità, doc. web n. 9789512).

Dagli atti della istruttoria preliminare e da quelli successivamente acquisiti è risultato tuttavia che il signor XX, accompagnato da altra persona, ha condotto una attività investigativa acquisendo dati direttamente dalla reclamante senza fornirle l’informativa dovuta.

Le giustificazioni addotte dal signor XX, per mezzo dei suoi atti difensivi, per la mancata informativa all’interessato, non hanno pregio.

4.2. In particolare, risulta ininfluente il richiamo al provvedimento del Garante del 30 dicembre 1997, citato nella nota di riscontro del signor XX, in quanto risalente ad oltre vent’anni or sono e da tempo superato, prima dal Codice ed attualmente dal Regolamento; analogamente, irrilevante è il richiamo al sito internet indicato dal XX (XX), in quanto non riconducibile al Garante. Infine, la motivazione, addotta durante l’audizione, di non aver fornito l’informativa alla reclamante perché ciò avrebbe impedito di realizzare l’attività investigativa, con nocumento per l’esercizio della professione di investigatore privato, non giustifica il mancato rispetto di un obbligo stabilito dal Regolamento.

4.3. Per quanto riguarda il ruolo del signor XX, dagli atti istruttori sopra riportati emerge che questi, seppur non abbia effettuato autonomamente attività investigativa, ha comunque collaborato alla medesima, accompagnando il XX presso il mercatino del XX dove la sig.ra XX svolgeva attività lavorativa, per farle alcune domande sui capi d’abbigliamento più pregiati che la sig.ra XX vendeva al pubblico; in seguito, su richiesta dell’investigatore, il signor XX effettuava una telefonata alla sig.ra XX per sapere quando e dove poter acquistare la pelliccia in contanti ed otteneva un appuntamento a casa della reclamante, dove si recava accompagnato dall’investigatore, documentando l’incontro con un video dal quale furono estratte le fotografie allegate alla relazione investigativa. Vieppiù, nel verbale di udienza del giudizio civile presso il Tribunale XX, non meglio specificato, è riportata la testimonianza del signor XX, il quale, tra l’altro, dichiara: “Ho collaborato con l’investigatore XX. Sono stato incaricato dal XX di svolgere accertamenti sull’attività lavorativa di XX. Avendo verificato sui social che avevamo un’amicizia comune, mi sono messo in contatto con la XX chiedendole se potevo acquistare un regalo per mia moglie.”.

Risulta, pertanto, accertata la collaborazione del signor XX all’attività investigativa, fatto non inficiato dall’esistenza di un rapporto amicale di lunga data tra questi ed il signor XX, più volte richiamato da quest’ultimo.

Orbene, per quanto attiene alla collaborazione nelle investigazioni del signor XX, si ricorda che in base alle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria, già citate:

“4. L'investigatore privato deve eseguire personalmente l'incarico ricevuto e può avvalersi solo di altri investigatori privati indicati nominativamente all'atto del conferimento dell'incarico, oppure successivamente in calce a esso qualora tale possibilità sia stata prevista nell'atto di incarico. Restano ferme le prescrizioni predisposte ai sensi dell’art. 2-septies del d.lgs. n. 196/2003 e art. 21 del d.lgs. n. 101/2018 relative al trattamento delle particolari categorie di dati personali di cui all’art. 9, par. 1, del Regolamento (UE) 2016/679.

5. Nel caso in cui si avvalga di persone autorizzate al trattamento dei dati per suo conto, l'investigatore privato rende specifiche istruzioni in ordine alle modalità da osservare e vigila, con cadenza almeno settimanale, sulla puntuale osservanza delle norme di legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla collaborazione a essi richiesta.” (art. 8, commi 4 e 5).”.

Inoltre, l’articolo 29 del Regolamento prescrive che chiunque agisca sotto l’autorità del titolare del trattamento e che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri.

Entrambe le disposizioni sopra citate non sono state rispettate, avendo dichiarato il signor XX, come sopra riportato, che il signor XX non era un suo collaboratore e pertanto non ha ricevuto alcuna istruzione da lui.

Risultano, pertanto violati:

- l’articolo 13 del Regolamento, ai sensi del quale, in caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le informazioni indicate nel medesimo articolo;

- l’articolo 29 del Regolamento, ai sensi del quale chiunque agisca sotto l’autorità del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri;

- l'articolo 8, commi 4 e 5 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria, secondo cui “4. L'investigatore privato deve eseguire personalmente l'incarico ricevuto e può avvalersi solo di altri investigatori privati indicati nominativamente all'atto del conferimento dell'incarico, oppure successivamente in calce a esso qualora tale possibilità sia stata prevista nell'atto di incarico. Restano ferme le prescrizioni predisposte ai sensi dell’art. 2-septies del d.lgs. n. 196/2003 e art. 21 del d.lgs. n. 101/2018 relative al trattamento delle particolari categorie di dati personali di cui all’art. 9, par. 1, del Regolamento (UE) 2016/679. 5. Nel caso in cui si avvalga di persone autorizzate al trattamento dei dati per suo conto, l'investigatore privato rende specifiche istruzioni in ordine alle modalità da osservare e vigila, con cadenza almeno settimanale, sulla puntuale osservanza delle norme di legge e delle istruzioni impartite. Tali soggetti possono avere accesso ai soli dati strettamente pertinenti alla collaborazione a essi richiesta.”.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento .

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni del titolare del trattamento e la documentazione fornita nel corso dell’istruttoria non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’articolo 11 del regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dal signor XX risulta infatti illecito, nei termini su esposti, in quanto posto in essere in violazione degli articoli 13 e 29 del Regolamento, nonché dell'articolo 8, commi 4 e 5 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria.

Sulla base dei criteri indicati dall’articolo 83 del Regolamento, considerando che la condotta ha esaurito i suoi effetti, che il numero di interessati al trattamento è limitato alla sola reclamante, che il titolare ha fornito piena collaborazione a questa Autorità e che non risultano eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento, si ritiene che nel caso di specie non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’articolo 58, par. 2, lett. i) del Regolamento.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali nei termini di cui in motivazione, si ritiene di dover ammonire, ai sensi dell’articolo 58, par. 2, lett. b) del Regolamento, il signor XX, titolare della XX, per aver violato gli articoli 13 e 29 del Regolamento, nonché l'articolo 8, commi 4 e 5 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria.

Si ritiene, infine, che ricorrano i presupposti di cui all’articolo 17 del regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE DICHIARA l'illiceità del trattamento dei dati del reclamante effettuato dal signor XX, titolare della XX, per violazione delle disposizioni di cui agli articoli 13 e 29 del Regolamento, nonché 8, commi 4 e 5 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria;

AMMONISCE il signor XX, titolare della XX, per avere effettuato un trattamento di dati personali in violazione degli articoli 13 e 29 del Regolamento, nonché dell'articolo 8, commi 4 e 5 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria (Gazz. Uff. n. 12 del 15 gennaio 2019).

DISPONE

a) ai sensi dell’articolo 154-bis, comma 3, del Codice e dell’articolo 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

b) ai sensi dell’articolo 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’articolo 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’articolo 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’articolo 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo articolo 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 17 aprile 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Ghiglia

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10291395

Data

17/04/26

Argomenti

Informativa

Investigatori privati

Tipologie

Ammonimento