Provvedimento del 16 gennaio 2026 [10213865] g-docweb-display Portlet Home Provvedimenti Ammonimento Provvedimento del 16 gennaio 2026 [10213865] Provvedimento del 16 gennaio 2026 [10213865] Ascolta Menù azioni Stampa Stampa e-mail facebook linkedin twitter Ascolta Stampa Stampa Condividi e-mail facebook linkedin twitter [doc. web n. 10213865] Provvedimento del 16 gennaio 2026 Registro dei provvedimenti n. 6 del 16 gennaio 2026 IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Luigi Montuori segretario generale; VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”); VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”; VISTA l’istanza trasmessa in data 28 luglio 2023 dalla Sig.ra XX con cui quest’ultima lamentava alcune violazioni della disciplina normativa in materia di protezione dei dati personali relative al trattamento di informazioni che La riguardano, posto in essere da Ostilia S.r.l.; ESAMINATA la documentazione in atti; VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000; RELATORE il dott. Agostino Ghiglia; PREMESSO 1. Il reclamo nei confronti della Società e l’attività istruttoria. Si fa riferimento al reclamo, presentato a questa Autorità in data 28 luglio 2023, con cui la Sig.ra XX ha lamentato alcune violazioni della disciplina normativa in materia di protezione dei dati personali, relative al trattamento di informazioni che La riguardano, posto in essere da Ostilia S.r.l. (di seguito “Ostilia S.r.l.” o “la Società”), nell’ambito della fornitura del servizio idrico erogato presso l’abitazione di proprietà dell’istante (facente parte di un Consorzio sito in località Campo di Mare in Cerveteri (RM)). In particolare, con il predetto reclamo veniva contestato alla Società l’invio via e-mail in chiaro, in data 9 maggio 2023, a una molteplicità di destinatari (nel numero di circa 37, tra cui la reclamante), di una comunicazione dal titolo: “Urgente Ostilia – situazione nuova bollettazione consumi idrici 2021/2022 – inizio azioni giudiziarie per il recupero dei crediti”. Con la predetta comunicazione, la Società rilevava alcuni presunti inadempimenti, a carico della Sig.ra XX (e di altri destinatari, proprietari di unità immobiliari site nel Consorzio di cui sopra), connessi all’erogazione del servizio idrico menzionato. Nella stessa −che recava in calce anche le comunicazioni inoltrate nell’aprile 2023 dal legale della Società sul punto− si faceva, invero, riferimento a posizioni debitorie che la Ostilia S.r.l. dichiarava di vantare, nei confronti dei destinatari e a connesse future eventuali “azioni giudiziarie [da avviare] per il recupero dei crediti” inerenti ai consumi idrici fruiti negli anni 2021/2022 dai proprietari delle unità immobiliari presso i quali era stato erogato il servizio idrico (ossia, nella fattispecie, mediante iscrizione a ruolo di “decreti ingiuntivi afferenti il recupero del credito aventi ad oggetto la bollettazione idrica dal Novembre 2021 in poi”, cfr. atto di reclamo del 28 luglio 2023, pagg. 2 e ss. e relativo allegato 3). In ragione di quanto sollevato dalla reclamante, è stata avviata un’istruttoria, nei confronti di Ostilia S.r.l., per il tramite di due richieste di informazioni (v. note del 1° dicembre 2023 e del 25 giugno 2024). Tutto ciò, con riguardo ai trattamenti connessi all’attività di gestione dell’impianto idrico presente nel Consorzio e, in particolare, ai presupposti di legittimità e alle modalità dell’avvenuta comunicazione a soggetti terzi −per il tramite della trasmissione della sopra citata e-mail ad un pluralità di destinatari− del nominativo e del dato di contatto relativo alla reclamante (ossia il suo indirizzo di posta elettronica), nonché delle informazioni afferenti ad una presunta posizione debitoria sussistente in capo all’interessata nei confronti di Ostilia S.r.l. La Società, con le note rispettivamente del 29 dicembre 2023 e del 23 luglio 2024, ha fornito i relativi riscontri a tali richieste, dall’esame dei quali è emerso quanto di seguito rappresentato. Ostilia S.r.l. “in qualità di società ex proprietaria e costruttrice di gran parte delle unità immobiliari edificate in Località Campo di Mare, Cerveteri (RM), gestisce da lunghissimo tempo le condutture idriche in Campo di Mare in forza di plurimi contratti stipulati con ACEA ATO2, da ultimo con contratto dell’11/9/2014 (..) relativo all’utenza generale” intestata alla Società. Trattasi di una “fornitura idrica per circa 1000 unità immobiliari, site tutte in Località Campo di Mare” (v. nota del 29 dicembre 2023, pag. 1). Più nello specifico, la stessa è “proprietaria delle condutture idriche di Campo di Mare, ma (..) entro il mese di Settembre 2024 dovrebbero subentrare nella gestione diretta delle forniture idriche ACEA ATO2 ed il Comune di Cerveteri” (v. nota del 23 luglio 2024, pag. 1). Nelle more di quanto sopra, nonché della definizione di una pluralità di giudizi pendenti in sede civile ed amministrativa attinenti alla gestione della predetta fornitura, la Società – che “non è strutturata per gestire 1000,00 utenze idriche, non ha dipendenti, né le strutture logistiche e amministrative per inviare bollette e letture dei contatori che rispondano ai (..) requisii previsti dall’Arera” e in tale contesto “non opera con scopo di lucro” – si limita “a ripartire tra i fruitori finali del servizio le spese sostenute ed anticipate per loro conto ad ACEA e ad altri fornitori che contribuiscono al funzionamento dell’impianto, delle tubazioni e di tutto quanto necessario” (v. nota del 29 dicembre 2023, pagg. 3 e 6 e nota del 23 luglio 2024, pag. 5). Ciò premesso, con specifico riferimento al caso in esame, è stato altresì constatato che: - Ostilia S.r.l. “non ha preso le letture dei contatori dal mese di luglio 2015 sino al mese di Ottobre del 2021 e non ha emesso fatture per oltre un sessennio, pur avendo continuato sempre a fare da tramite tra ACEA ed i fruitori finali del servizio”; ciò al fine di “consentire [a quest’ultimi] di ricevere l’acqua” (v. nota del 29 dicembre 2023, pag. 4 e nota del 23 luglio 2024, pag. 4); - a causa dei mancati pagamenti degli utenti effettivi del servizio idrico in questione, la Società è stata destinataria, da parte di “ACEA e dai fornitori che si occupano della manutenzione dell’impianto idrico, della gestione delle conduttore RFI necessarie per trasportare l’acqua dal pozzo (..) e del depuratore”, di “numerosi decreti ingiuntivi, lettere di messa in mora e istanze di fallimento”, accumulando al contempo “debiti che si aggirano, solo per la questione «acqua» ad un importo superiore a 4 milioni di euro”. La stessa, invero, –che ha “problemi di liquidità e gestionali” già a partire dal 2015 (in quanto a suo tempo partecipata “pressoché al 100%” da una Società dichiarata fallita dal Tribunale di Roma) – è attualmente sottoposta a procedura di concordato preventivo (v. nota del 29 dicembre 2023, pag. 2); - in tale contesto, “Ostilia S.r.l. è stata costretta ad avviare [diverse azioni giudiziarie] nei confronti degli utenti finali morosi (..), a tutela dei creditori della Società insinuatesi al passivo della relativa procedura concorsuale (..), dei quali più della metà riguardavano debiti assunti da Ostilia per la gestione delle utenze idriche di Campo di Mare” (cfr. nota del 29 dicembre 2023, pag. 3). Tutto ciò, nella prospettiva del recupero dei crediti maturati in ragione del mancato rimborso −ad opera degli effettivi fruitori del servizio idrico in questione− dei pagamenti dalla stessa erogati ad ACEA ATO2 a fronte dei relativi consumi effettuati da parte di quest’ultimi, nonché delle ulteriori spese sostenute da Ostilia S.r.l. nei confronti di altri soggetti (quali, ad esempio, il Comune di Cerveteri e Rete Ferroviaria Italiana S.p.A.) che hanno consentito l’utilizzo delle condutture ai fini dell’erogazione del sevizio idrico (v. nota del 29 dicembre 2023, pagg. 2-4 e nota del 23 luglio 2024, pagg. 2 e 4); - in particolare, dal mese di ottobre del 2021 − “stante l’impossibilità di continuare a sostenere ingentissime spese, sostanzialmente per conto di terzi− (..) la Società ha eseguito una nuova lettura dei, per la precisione, 919 contatori a defalco relativi alla fornitura idrica delle singole unità immobiliari e commerciali che usufruiscono del relativo servizio, inviando circa 900 raccomandate, richiedendo il saldo delle fatture idriche eseguite tempo per tempo” (v. nota del 29 dicembre 2023, pag. 2); - successivamente, il 9 maggio 2023, Ostilia S.r.l. ha dunque trasmesso la comunicazione oggetto di contestazione a “n. 37 destinatari (..) solo nell’interesse degli stessi (..), [ossia al fine di preavvertirli] che ove non avessero già saldato e ove non avessero provveduto a breve al saldo [inerenti ai consumi idrici fruiti negli anni 2021/2022], avrebbero potuto subire azioni giudiziarie”. Tutto ciò omettendo, però, all’atto dell’invio “di oscurare i dati dei singoli destinatari per mero errore di digitazione” (v. nota del 29 dicembre 2023, pag. 5). Alla luce di quanto sopra, l’Ufficio ha provveduto a notificare a Ostilia S.r.l. l’atto di avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice in relazione alla violazione degli artt. artt. 5, par. 1, lett. a) e 6, par. 1, lett. a), del Regolamento. Non sono pervenuti, sul punto, scritti difensivi da parte della Società. 2. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori di cui all’art. 58, par. 2, del Regolamento. In primis, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”. Fermo restando quanto sopra, si rileva che, all’esito dell’esame della documentazione agli atti e delle dichiarazioni rese dal titolare nel corso del procedimento, è emerso che Ostilia S.r.l. ha posto in essere un illecito trattamento dei dati personali degli interessati menzionati in premessa. Tutto ciò, in quanto il suddetto trattamento è stato effettuato in contrasto con i principi generali di liceità di cui all’art. 5, par. 1, lettere a) ed f) del Regolamento, nonché all’art. 6, par. 1, lett. a) del Regolamento. Al riguardo, si rammenta in primo luogo che l’indirizzo e-mail di una persona fisica, anche ove non riporti per esteso il nome dell’interessato, costituisce un “dato personale” ai sensi della normativa di riferimento (art. 4, n. 1 del Regolamento; v. anche WP 136- “Parere 4/2007 sul concetto di dato personale” del Gruppo ex art. 29 del 20 giugno 2007, nonché Provvedimenti del Garante del 25 giugno 2002, doc. web n. 29864, del 31 luglio 2002, doc. web n. 1065798, del 24 giugno 2003, doc. web n. 1132562, del 4 luglio 2013, doc. web n. 2542348 e da ultimo Provvedimento del Garante del 13 aprile 2023, doc. web n. 9892716; cfr. inoltre Cass. Civile Sez. 2, Ordinanza del 5 luglio 2018, n. 17665). Si fa altresì presente che il trattamento di dati personali posto in essere da un titolare deve essere effettuato in conformità con il Capo II del Regolamento, che impone il rispetto, tra l’altro, dei principi previsti all’art. 5, par. 1, del Regolamento e dei presupposti di liceità di cui all’art. 6, par. 1 del Regolamento. Il predetto art. 5, par. 1, in particolare, dispone che i dati personali devono essere trattati “in modo lecito, corretto e trasparente nei confronti dell’interessato” (c.d. principio di liceità, correttezza e trasparenza, cfr. lett. a), nonché “in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali” (c.d. principio di integrità e riservatezza, cfr. lett. f). La disposizione di cui al citato art. 6, par. 1, stabilisce, inoltre, che il trattamento dei dati personali è lecito solo se e nella misura in cui ricorre almeno una delle condizioni di liceità ivi indicate (cfr. anche Cons. 40 del Regolamento), tra cui il consenso manifestato dall’interessato rispetto ad una o più specifiche finalità (art. 6, par. 1, lett. a) e art. 7 del Regolamento). Tanto chiarito, anche in ordine alla natura personale del dato consistente in un indirizzo e-mail e ai principi generali che trovano applicazione qualora si pongano essere operazioni di trattamento (tra le quali si intende ricompresa anche “la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione” di dati personali, cfr. art. 4, par. 1, n. 2, del Regolamento), si rappresenta che la condotta illecita nel caso di specie è riferita alla comunicazione ,a soggetti terzi, dei dati personali relativi alla Sig.ra XX (ossia l’indirizzo di posta elettronica con visualizzazione peraltro anche del nominativo della stessa ivi associato) in occasione della trasmissione, in data 9 maggio 2023, di una e-mail a 37 destinatari (tra cui la stessa reclamante), mediante l’utilizzo “cumulativo” e “in chiaro” da parte del titolare dei rispettivi indirizzi di posta elettronica. Si rileva, altresì, che l’illiceità del trattamento in questione deriva anche dalla circostanza che, nella e-mail oggetto di contestazione, la Società sollecitava i destinatati al fine di provvedere a “regolarizzare urgentemente la propria posizione se non ancora avvenuto” in ordine “al recupero delle somme inerenti i consumi idrici relativi alla fornitura del periodo nov.2021-ago.2022”. La stessa, inoltre, recava le comunicazioni inoltrate dal legale della Società a quest’ultima in cui si faceva riferimento alla prossima iscrizione a ruolo dei decreti ingiuntivi relativi ai predetti crediti, ciò in ragione della circostanza che risultavano aver saldato solo “70 soggetti su oltre 900 debitori”. In tale modo, veniva dunque resa nota, a soggetti terzi, una posizione debitoria riferita all’interessata, sussistente alla data di invio della predetta comunicazione (o quantomeno una situazione debitoria in capo alla stessa, pregressa rispetto a tale data). Sul punto, merita evidenziare, in primo luogo, che, come emerso dalle dichiarazioni in atti (v. supra paragrafo 1), la trasmissione della predetta comunicazione agli indirizzi e-mail dei sopra citati destinatari è stata posta in essere da Ostilia S.r.l. –seppur per “un mero errore di digitazione”– in assenza del previo consenso dell’interessata, ex art. 6, par. 1, lett. a) del Regolamento, alla comunicazione dei dati che La riguardano (quali l’indirizzo e-mail della medesima, nonché il nome e cognome della stessa e le informazioni inerenti a sue posizioni debitorie). Muovendo dal quadro normativo sopra richiamato, si rileva inoltre che non risulta conforme ai princìpi e alle disposizioni di cui alla normativa in materia di protezione dei dati personali la modalità di recapito, prescelta da codesta Società, del messaggio di posta elettronica oggetto di contestazione (cfr. al riguardo quanto stabilito dall’art. 5, par. 1, lett. f) del Regolamento). Invero, la trasmissione dello stesso non ha avuto luogo in forma individualizzata −misura quest’ultima volta a prevenire, come già stabilito dal Garante in precedenti pronunce, una indebita comunicazione di dati personali a soggetti diversi dal singolo destinatario (v., in tal senso, Provvedimento del Garante del 30 novembre 2005, doc. web n. 1213644 e Provvedimento del 26 novembre 2006, doc. web n. 1364099; Provvedimento del 18 maggio 2006, doc. web n. 1297626)− ovvero mediante opportuni accorgimenti atti a impedire la conoscibilità dei dati da parte di tutti i destinatari del messaggio (ad esempio, in caso di invii a molteplici destinatari della medesima comunicazione via e-mail, utilizzando la funzione c.d. copia conoscenza nascosta; v., in tal senso, Provvedimento del 9 gennaio 2020, doc. web n. 9261234 e Provvedimento del 4 luglio 2013, doc. web n. 2542348 sopra citato; nonché, da ultimo, Provvedimento del 13 aprile 2023, doc. web n. 9892716), bensì mediante un unico invio, rivolto a un numero plurimo di interessati, i cui indirizzi di posta elettronica (e in taluni casi anche i nomi e i cognomi, come quello della Sig.ra XX) risultavano visibili in chiaro. Circostanza quest’ultima che ha comportato, nel caso di specie, non solo la reciproca comunicazione degli indirizzi di tutti i destinatari (tra i quali è ricompresa l’istante), ma anche la condivisione, nei termini sopra esplicitati, delle ulteriori informazioni personali relative alla situazione debitoria della reclamante contenute nella comunicazione oggetto di contestazione. Pertanto, tenuto conto che nel caso in esame è stato constatato che la predetta comunicazione è stata posta in essere in difetto del consenso dell’interessata (o comunque in mancanza di altro idoneo presupposto di liceità) e che non sono stati adottati ad opera del titolare le opportune misure sopra descritte, ne consegue che la condotta tenuta dalla Società è stata posta in essere in violazione dell’art. 6, par. 1, lett. a) del RGPD e in contrasto con i sopra richiamati i principi generali di liceità di cui all’art. 5, par. 1, lettere a) e f) del RGPD. La violazione delle disposizioni sopra richiamate può comportare l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. a) del RGPD. Al riguardo, con riferimento agli elementi da prendere in considerazione al fine di valutare se infliggere una sanzione amministrativa pecuniaria (art. 83, par. 2 del Regolamento), in primis si rileva che, in relazione alla natura e alla gravità della violazione, le operazioni di trattamento oggetto di contestazione non hanno avuto ad oggetto categorie particolari di dati personali e hanno riguardato la trasmissione di un unico messaggio di posta elettronica effettuato dalla Società in data 9 maggio 2023, riconducibile in quanto tale ad un evento isolato; Per quanto concerne l’elemento soggettivo del trasgressore, occorre tener conto della circostanza che la condotta sia stata posta in essere da Ostilia S.r.l., −come significato nelle dichiarazioni acquisite all’istruttoria− esclusivamente in ragione di un mero errore di digitazione che ha avuto luogo, peraltro, in un contesto organizzativo caratterizzato dall’assenza di dipendenti e dalle difficoltà gestionali, come descritte al par. 1 del presente provvedimento. Ai fini delle valutazioni dell’Autorità, rilevano altresì la collaborazione di Ostilia S.r.l. con l’Autorità medesima nel corso del procedimento e l’assenza di precedenti violazioni per la medesima fattispecie a carico della stessa. Va inoltre considerato che la Società è attualmente sottoposta a procedura concorsuale di concordato preventivo, ovvero alla supervisione della sezione fallimentare del Tribunale di Roma, e, pertanto, l’eventuale irrogazione di una sanzione amministrativa si porrebbe come di difficile soddisfazione e, comunque, non conseguirebbe il risultato di “rafforzare il rispetto delle norme del Regolamento, alla luce dell’art. 83, par. 2 e cons. 148 del Regolamento” (cfr. sul punto, CGUE, Prima Sezione, 26 settembre 2024, C-768/21). La natura, gravità e durata della violazione, il carattere colposo della stessa, nonché gli ulteriori elementi sopra richiamati inducono a qualificare la fattispecie in esame quale “violazione minore”, ai sensi dell’art. 83, par. 2 e del cons. 148 del Regolamento. Pertanto, conto che, ai sensi del considerando 148 del Regolamento, “in caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria”, si ritiene sufficiente ammonire il titolare del trattamento ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b) del Regolamento. Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante. TUTTO CIÒ PREMESSO, IL GARANTE a) ai sensi dell’art. 57, par. 1, lett. f) del Regolamento rileva l’illiceità del trattamento effettuato da Ostilia S.r.l. con sede in Roma (RM) p. iva n. 00903441004, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lettere a) ed f) e dell’art. 6, par. 1, lett. a) del Regolamento; b )ai sensi dell’art. 58, par. 2, lett. b) del Regolamento ammonisce Ostilia S.r.l., quale titolare del trattamento in questione, per aver effettuato, nei termini di cui in motivazione, un trattamento di dati personali in violazione della disciplina in materia di protezione dei dati personali; c) prevede, ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l'annotazione delle violazioni e delle misure adottate in conformità all'art. 58, par. 2 del Regolamento, nel registro interno dell'Autorità previsto dall'art. 57, par. 1, lett. u) del Regolamento. d) dispone, ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità. Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero. Roma, 16 gennaio 2026 IL PRESIDENTE Stanzione IL RELATORE Ghiglia IL SEGRETARIO GENERALE Montuori Scheda Doc-Web 10213865 Data 16/01/26 Argomenti Comunicazione a terzi Consenso Tipologie Ammonimento