Гарант защиты персональных данных Италии: предупреждение адвокату за незаконную передачу сведений о погашенном долге через PEC

Provvedimento del 12 febbraio 2026 [10249833]

g-docweb-display Portlet

Home Provvedimenti Ammonimento Provvedimento del 12 febbraio 2026 [10249833]

Provvedimento del 12 febbraio 2026 [10249833]

Ascolta

Menù azioni

Stampa Stampa e-mail facebook linkedin twitter

Ascolta

Stampa Stampa

Condividi e-mail facebook linkedin twitter

[doc. web n. 10249833]

Provvedimento del 12 febbraio 2026

Registro dei provvedimenti

n. 78 del 12 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componenti, e il dott. Luigi Montuori, segretario generale;

VISTO il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”), come novellato dal d.lgs. del 10 agosto 2018, n. 101, recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo pervenuto.

È pervenuto, in data 16 maggio 2024, a questa Autorità un reclamo con il quale il Sig. XX ha lamentato che l’Avv. XX – in rappresentanza della Società di recupero crediti XX. - inviava, in data 4 novembre 2024, al Comando Stazione Carabinieri di XX una pec comunicando la necessità d’interrompere la trattenuta sulla sua busta paga (e quindi informando il destinatario dell’esistenza di un debito gravante sul medesimo interessato, pur integralmente adempiuto). Poiché l’interessato non prestava più servizio presso quel Comando dal 1° luglio 2019, la predetta Stazione non risultava legittimata a ricevere la comunicazione, anche perché l’erogazione della “busta paga” viene gestita in via esclusiva e centralizzata da un apposito Ufficio amministrativo, il CNA di XX (Centro Nazionale Amministrativo Carabinieri), “l’unico in grado di interrompere i pagamenti”. La suindicata Stazione di XX – “previa lettura della Nota del legale” con il conseguente pregiudizio al diritto alla protezione dei dati nonché alla reputazione del medesimo interessato (Sig. XX) - provvedeva ad inoltrare la medesima comunicazione - con “dati di natura delicata e sensibile” - al reclamante, in servizio presso il limitrofo Comando Stazione Carabinieri di XX.

2. L’attività istruttoria.

2.1. Premesso quanto sopra, l’Autorità ha chiesto, in data 4 agosto 2025, all’Avv. XX di fornire ogni elemento utile in merito al trattamento effettuato, con particolare riferimento all’eventuale base giuridica della suindicata comunicazione, ai sensi dell’articolo 6 del Regolamento.

L’Avv. XX, il successivo 20 agosto, ha fornito il riscontro richiesto, dichiarando:

- di aver ricevuto, in qualità di avvocato, il mandato di gestire la posizione debitoria del Sig. XX; - che la detta posizione debitoria “trae origine dal decreto ingiuntivo n. 425/2017 emesso dal Tribunale d’Imperia”; - di aver iniziato a seguire la detta posizione “solo a seguito della cessione del predetto credito dalla Italo SPV S.r.l. alla XX”; - la cessione è avvenuta in data 28 novembre 2020 “allorquando il relativo giudizio esecutivo … in affido al precedente legale Avv. XX di Milano si era già concluso con l’emissione di ordinanza di assegnazione, già in corso di pagamento all’epoca dell’avvenuta cessione”; - “Il Pignoramento presso terzi era stato notificato all’epoca all’Arma dei Carabinieri, in persona del legale rappresentante pro tempore, con sede in XX, XX con pec XX, sede dove effettivamente il sig. XX prestava … servizio al momento della notifica del pignoramento a marzo 2018 (circostanza indicata dallo stesso Sig. XX nel reclamo).”; - di essere subentrata, in tale procedura, solo a seguito della cessione del citato credito (avvenuta il 28 novembre 2020), in quanto nominata difensore di fiducia dalla Società XX.; - di “aver ‘ereditato’ un fascicolo che conteneva in sé già tutti i dati del debitore”, al riguardo allegando al proprio citato riscontro, la nota di trasmissione con cui l’Avv. XX (precedente legale), aveva trasmesso “al domiciliatario l’atto di pignoramento, nel quale era indicata proprio la sede di lavoro del reclamante e l’indirizzo pec XX”; - da qui è derivata la necessità di “provvedere ad una comunicazione al terzo (nel caso di specie, la Stazione di XX), peraltro favorevole al debitore, trattandosi di comunicazione di svincolo delle somme”, usando “i dati già in suo possesso, quegli stessi dati che aveva rinvenuto nel fascicolo”.

L’Avv. XX ha poi rappresentato che l’indirizzo pec in questione è presente nel registro pubblico c.d. “Indice PA”, “e, in quanto riferito all’Arma dei Carabinieri, deve intendersi legalmente utilizzabile” e che la comunicazione deve ritenersi, pertanto, “…inviata a soggetti strettamente coinvolti nella procedura legale”.

Ad avviso della XX, la comunicazione, diretta a una sede locale diversa da quella centrale (CNA), ma comunque afferente all’Arma dei Carabinieri, dovendosi gestire “internamente” alla stessa, sarebbe comunque “valida ad ogni effetto di legge”. Inoltre, la stessa ha evidenziato che - poiché anche gli addetti alla pec in questione (XX) appartengono all’Arma dei Carabinieri e sono tenuti al segreto d’ufficio e alla riservatezza della corrispondenza - non vi sarebbe stato alcun accesso abusivo ai dati del reclamante, “poichè l’iter comunicativo si è svolto all’interno di un’unica struttura pubblica (l’Arma, nel suo insieme)”.

Al fine di far valere la legittimità del proprio operato, la legale ha fatto poi riferimento ad alcune pronunce che, tuttavia, risultano riguardare non i profili della protezione dei dati in rilievo nella fattispecie, ma il valore di regolare la notifica delle comunicazioni a valenza legale inviate ad indirizzi di posta elettronica certificata della Pubblica amministrazione, in particolare pubblicati sull’Indice PA; evidenziando i principii di “autoresponsabilità” e “leale collaborazione” a cui è tenuta la PA rispetto a suddette comunicazioni e, più in generale, rispetto al processo amministrativo telematico (Tar Campania, Napoli, 15 marzo 2018 n. 1653; Tar Molise, 17 novembre 2017 n. 420; Cons. Giust. Amm., n. 217 del 2018).

Peraltro, l’Avv. XX, sempre nel medesimo riscontro del 20 agosto 2025, ha eccepito che la sua comunicazione, oggetto di doglianza (quella del 4 novembre 2024), non conteneva alcun dato particolare o relativo all’origine e/o importo del debito rimborsato dal Sig. XX.

2.2. Il Sig. XX, nella nota integrativa e di replica del 21 agosto 2025, ha evidenziato che l’Avv. XX “Qualora avesse voluto informare anche l’interessato, così come vuol far intendere, avrebbe dovuto scrivere o contattare lo scrivente in via prettamente personale con l’indirizzo di residenza già utilizzato per le notifiche del decreto ingiuntivo e dell’Atto di precetto. Atti in cui l’indirizzo compariva in evidenza: XX residente a XX, XX.”

Peraltro, secondo il reclamante, l’Avv. XX, al momento dell’invio della comunicazione de qua (4 novembre 2024), conosceva l’indirizzo del CNA; infatti la stessa aveva “in tempi pregressi” contattato il medesimo CNA (precisamente, in data 17 luglio 2020) inviando la ‘Nota di precisazione del credito’ ex art. 553 c.p.c. (all. n.1 alla citata replica ) “per rendere esecutivo il pignoramento mediante l’addebito del quinto stipendiale della busta paga”. Inoltre, “non si comprende” - ha evidenziato il XX - perché, successivamente, in data 22 novembre 2024 l’Avv. “sollecitò” proprio il CNA “Per interrompere i pagamenti, bypassando il Comando territoriale di XX, in precedenza interpellato …” (all. n. 2 alla citata replica).

Con riguardo all’indirizzo pec del Comando di XX, già utilizzato dall’Avv. XX ed utilizzato poi anche dall’Avv. XX, ciò - secondo il XX - sarebbe un “errore inescusabile”, anche in quanto non si trattava di un domicilio da lui “eletto/dichiarato”.

2.3. Dagli atti dell’istruttoria preliminare e dalle dichiarazioni rese da entrambe le parti, anche ai sensi dell’articolo 168, comma 1, del Codice, è risultato che l’Avv. XX - in rappresentanza della Società di recupero crediti XX. - inviava, in data 4 novembre 2024, una comunicazione a mezzo pec, segnalando la necessità d’interrompere la trattenuta sulla sua busta paga (e quindi informando il destinatario della pec dell’esistenza di un debito gravante sul medesimo interessato, pur integralmente adempiuto) al Comando Stazione Carabinieri di XX, che peraltro non era più sede di lavoro dell’odierno reclamante da circa 5 anni.

Ciò premesso, l’utilizzo della pec istituzionale della detta Stazione (XX) per l’invio di comunicazioni personali, relative al signor XX, non è apparso conforme alla normativa in materia di protezione dei dati personali.

La circostanza evidenziata dall’Avv. XX che tale indirizzo pec - per il cui tramite è avvenuta la presunta violazione - risultava già indicato nel fascicolo “ereditato” dall’Avvocato XX ed è stato utilizzato dalla medesima solo a seguito della cessione del credito nei confronti del Sig. XX, non è parsa rilevare quale scusante, poiché la legale, subentrando nella pratica creditizia, avrebbe dovuto aggiornare, in base ai principio di correttezza del trattamento, il dato di contatto in suo possesso, verificando l’indirizzo corretto e legittimo a cui poter comunicare la cessazione della posizione debitoria.

Inoltre, l’Ufficio ha considerato che l’indirizzo della Stazione Carabinieri di servizio del dipendente non risultava essere quello competente a ricevere siffatte comunicazioni, in base alla normativa di riferimento che, di contro, prevede quanto segue: “Per gli impiegati e salariati delle Amministrazioni dello Stato anche ad ordinamento autonomo, il sequestro ed il pignoramento di stipendi, salari e retribuzioni equivalenti, pensioni, indennità che tengono luogo di pensione, ed altri assegni di quiescenza si eseguono presso il Ministero del tesoro, Ispettorato generale per il credito ai dipendenti dello Stato, in persona dell'Ispettore generale capo dell'ufficio.” (cfr. art. 3, D.p.r. 5 gennaio 1950 n. 180 recante “Approvazione del testo unico delle leggi concernenti il sequestro, il pignoramento e la cessione degli stipendi, salari e pensioni dei dipendenti dalle pubbliche Amministrazioni.”).

È stato poi considerato che la Corte Costituzionale con sentenza del 6 - 10 giugno 1994, n. 231 (in G.U. 1a s.s. 15/06/1994, n. 25) ha dichiarato l'illegittimità costituzionale del citato art. 3, “nella parte in cui prevede che i sequestri e i pignoramenti a carico dei dipendenti dello Stato si eseguono presso l'Ispettorato generale per il credito ai dipendenti dello Stato del Ministero del tesoro, anziché presso l'organo dell'amministrazione che è titolare del potere di disporre la spesa". Nella fattispecie, “l'organo dell'amministrazione che è titolare del potere di disporre la spesa" sembrava doversi ritenere il suindicato Centro Nazionale Amministrativo (CNA)- Comando Generale dell’Arma dei Carabinieri, con sede in XX, in XX, indirizzo di posta elettronica certificata: XX.

L’Ufficio ha inoltre constatato come l’Avv. XX non avesse dichiarato, né dimostrato, di avere verificato diligentemente l’indirizzo corretto a cui scrivere (quello suindicato del CNA), che peraltro - per quanto allegato dal reclamante (v. “Nota di precisazione del credito” del 17 luglio 2000 a cura dell’avvocato, contenuta nella replica del XX del 21 agosto 2025) - sembrava già conosciuto dalla medesima al tempo della comunicazione oggetto di doglianza; né di aver richiesto ed acquisito il consenso dell’interessato all’invio di siffatte comunicazioni all’indirizzo pec della Stazione di XX, la quale peraltro, da almeno 5 anni, non era più la sede di servizio dell’interessato. Inoltre, tale recapito pec, per quanto in atti, non risultava esser stato eletto dal reclamante.

Sulla base di tali risultanze istruttorie, appariva, insomma, che i dati personali di natura economico-finanziaria del reclamante erano stati comunicati con modalità tali da renderli disponibili ad uno o più soggetti diversi dal personale del CNA dell’Arma dei Carabinieri, preposto al trattamento di tali dati, in presunta assenza di un’idonea base giuridica, oltre che in possibile violazione dei principi di liceità e correttezza del trattamento.

Infine, l’Ufficio:

a) riteneva inconferenti i riferimenti giurisprudenziali citati dall’Avv. XX, non attinenti alla protezione dei dati personali, ma prettamente processualistici (come quello della rimessione in termini) con particolare riferimento alla validità della notifica degli atti a valenza giudiziaria, effettuata contattando indirizzi pec della PA;

b) non riteneva rilevanti, in funzione scusante, né il contenuto ‘favorevole’ (all’interessato) della comunicazione elettronica in questione (posizione debitoria cessata), in quanto il Regolamento protegge i dati personali a prescindere dalla loro accezione positiva o negativa e dal loro riflesso per l’immagine e la dignità dell’interessato (v. art. 4, punto 1, Regolamento), né l’assenza in detta comunicazione di dati particolari (cfr. art. 9 Regolamento).

3. L’avvio del procedimento e le memorie difensive.

Sulla base delle risultanze dell’istruttoria preliminare, riassunte al punto 2, l’Ufficio ha quindi notificato, in data 20 ottobre 2025, all’Avv. XX, in qualità di titolare del trattamento, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del Regolamento, ai sensi degli articoli 77 e segg. del Regolamento, dell’articolo 166 del Codice e degli articoli 12 e segg. del regolamento 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, nonché all’adozione dei provvedimenti correttivi e sanzionatori (pubblicato sulla Gazzetta Ufficiale n. 106 dell' 8 maggio 2019 e reperibile nel sito web dell’Autorità, https://www.garanteprivacy.it/web/guest/home), indicando, oltre agli avvisi di rito sul diritto di difesa, che:

a) l’oggetto del procedimento riguardava il trattamento dei dati personali del Sig. XX da parte dell’Avv. XX, consistente nella comunicazione – in rappresentanza della Società di recupero crediti XX. - della necessità d’interrompere la trattenuta sulla sua busta paga (e quindi dell’informazione relativa all’esistenza di un debito gravante sul medesimo interessato, pur integralmente adempiuto), all’indirizzo pec del Comando Stazione Carabinieri di XX, dove egli non prestava servizio da circa 5 anni, in presunta assenza delle condizioni di liceità del trattamento e in presunta violazione dei principi applicabili al trattamento dei dati personali, con particolare riguardo a quelli di liceità e correttezza;

b) le disposizioni presumibilmente violate nel caso di specie, risultavano: l’articolo 5, par. 1, lett. a), del Regolamento, per non avere il titolare trattato i dati del reclamante in modo lecito e corretto, nonché l’articolo 6 del medesimo Regolamento, per aver il titolare effettuato il trattamento sopra descritto in assenza delle condizioni di liceità previste dalla detta disposizione;

c) le disposizioni sanzionatorie, relative alle predette presunte violazioni, erano rinvenibili nell’articolo 83, paragrafo 5, lett. a), del Regolamento, a norma del quale le violazioni delle disposizioni relative ai principi di base del trattamento sono soggette alle sanzioni amministrative pecuniarie fino a venti milioni di euro, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Con la memoria del 19 novembre scorso, l’ Avv. XX ha dichiarato che, “in via preliminare, intende fornire piena cooperazione con l’Autorità, fornendo tutte le informazioni utili alla più agevole ed esaustiva comprensione degli eventi e, pertanto: b) comunica e ribadisce la disponibilità a fornire ulteriori informazioni eventualmente utili per chiarire natura e portata della vicenda; c) provvede ad adottare misure utili a prevenire eventi simili a quello contestato (procedura di verifica dei dati di contatto degli interessati; ulteriori misure di minimizzazione dei dati identificativi degli interessati) …”

In funzione scusante rispetto alla contestata violazione, il medesimo legale ha rilevato quanto segue:

- “… Secondo il reclamante la violazione della normativa in tema di protezione dei dati personali sarebbe stata determinata dal prosieguo di un pignoramento presso terzi …In proposito, la Suprema Corte afferma, con orientamento consolidato, che la disciplina dettata a tutela dell’interesse alla riservatezza dei dati personali è derogabile quando il relativo trattamento sia esercitato per la difesa di un interesse giuridicamente rilevante e che ciò costituisce “chiara conferma della peculiare rilevanza attribuita dal legislatore al diritto di agire e di difendersi in giudizio, diritto che, costituzionalmente garantito, legittima la previsione di deroghe rispetto al regime ordinario, al fine di assicurarne l’effettiva tutela”; (Cass. Sez. Un. 8/02/2011, n. 3034). Può ritenersi, dunque, in prima analisi, alla luce del costante orientamento giurisprudenziale, che nel caso di specie, la comunicazione dell’Avv. XX - avendo portato a compimento una procedura di pignoramento presso terzi quale “forma di esecuzione prevista dall’ordinamento” - non ha determinato una violazione della normativa in tema di protezione dei dati personali; … L’Avv. XX ha trattato dati personali per adempiere a obblighi previsti da norme di legge (processuali; art. 543 e s.s. c.p.c.), di talchè il trattamento è fondato sull’art. 6, par. 1, lett. c) del Regolamento. Il Codice Deontologico Forense integra e rafforza tali obblighi, imponendo doveri di segretezza, riservatezza e diligenza. Segnatamente, il Codice deontologico forense obbliga l’Avvocato a porre in essere tutti i comportamenti funzionali alla tutela non solo del suo assistito ma anche della controparte e ad aggiornare i dati personali (“art. 12 – Dovere di diligenza: l’avvocato deve svolgere la propria attività con coscienza e diligenza, assicurando la qualità della prestazione professionale”; Titolo V - Rapporti con terzi e controparti - Art. 63 – Rapporti con i terzi 1. L’avvocato, anche al di fuori dell’esercizio del suo ministero, deve comportarsi, nei rapporti interpersonali, in modo tale da non compromettere la dignità della professione e l’affidamento dei terzi”). “

- “In osservanza degli obblighi imposti dal codice di rito e deontologico, l’Avv. XX diligentemente comunicava al Comando di XX, la cessazione della posizione debitoria del XX, affinchè si interommpessero le trattenute sullo stipendio e fossero aggiornati i dati personali acquisiti dal Comando all’atto della ricezione di notifica del pignoramento presso terzi. Il Comando di XX era la sede di lavoro in quel tempo del XX per cui la situazione debitoria dello stesso XX era nota già prima della comunicazione pec dell’Avv. XX del 4/11/2024. Dunque, la pregressa situazione debitoria del XX era già da tempo nota al Comando di XX, al quale, invece, veniva correttamente comunicata, nel novembre 2024, tramite la Pec oggetto di reclamo, l’intervenuta modificazione oggettiva del pregresso debito, id est l’avvenuto pagamento del debito e, dunque, la sua estinzione. …” .

Inoltre l’Avv. XX, nella detta memoria, ha evidenziato che: “L’invio della nota Pec è stato effettuato comunque ad una pertinenza dell’Arma dei Carabinieri e non ad un Ente o Organizzazione estranei alla vicenda processuale. … La casella Pec destinataria della comunicazione dell’Avv. XX era riconducibile ad una struttura direttamente interessata dalla procedura legale e pur sempre gestita dal personale interno dell’Arma dei Carabinieri; in definitiva, l’iter comunicativo si era svolto all’interno della medesima struttura (l’Arma dei Carabinieri) sicchè nessun soggetto terzo o estraneo alla procedura giudiziaria attivata aveva avuto accesso ai dati personali (peraltro già noti al Comando). Infine, l’indirizzo Pec utilizzato dalla professionista era stato indicato nella missiva di accompagnamento dell’Avv. XX nonché evinto dal registro Pubblico delle Pec della PA.”

Peraltro, nella medesima sede, l’Avv. XX ha rappresentato che:

- “La comunicazione inviata al Comando di XX e non conteneva indicazioni in merito all’importo del credito e alla fonte giuridica dello stesso ed utilizzava il solo Codice NDG (0324272227) in osservanza del principio di minimizzazione dei dati personali … , … del principio di “limitazione delle finalità”, essendo i dati trattati per finalità determinate, esplicite e legittime; “minimizzazione dei dati”, adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità; “esattezza” essendo la comunicazione funzionale all’aggiornamento dei dati personali attesa l’intervenuta estinzione del debito.

- …. La richiesta del XX appare eccessiva considerato che lo stesso reclamante, nel riscontro del 5/11/2024, nel giorno successivo alla comunicazione del 4/11/2024 per cui è reclamo, invitava “cordialmente” l’Avv. XX a fornirgli ulteriori dettagli sulla procedura esecutiva, indicando il CNA di XX quale Ente idoneo a ricevere le comunicazioni; il Sig. XX esordiva utilizzando un informale saluto (“Salve Avvocato”) e parimenti concludeva la comunicazione ringraziando per l’atteso riscontro (“Si ringrazia ed attendo suo riscontro …”). Dal tenore letterale della nota pec del XX si evince la mancanza di qualsivoglia pregiudizio o turbamento in danno del futuro reclamante il quale - lungi dal denunciare una violazione dei dati personali - si limitava a richiedere chiarimenti e ad indicare l’indirizzo del CNA di XX ritenuto corretto per la comunicazione di cessazione del debito (“Salve Avvocato” (…) sono a chiederle dettagli ulteriori della pratica (…) informazioni necessarie per poter trasmettere dati precisi al CNA di XX (…) Nondimeno, il XX, a fronte di tale piana e interlocutoria comunicazione, invocava, nel successivo reclamo del 16/05/2025, di aver subito “conseguenze nefaste a discapito della reputazione”;

- sussisterebbe “un ulteriore profilo di infondatezza del reclamo. Il XX, nel periodo maggio-giugno 2025, ha persino comunicato, presso l’ordine degli Avvocati di appartenenza della XX, un esposto con il quale ne ha denunciato infondatamente l’operato professionale e, infine, con ulteriori diffide, ha intimato all’Avv. XX di restituirgli personalmente la somma di € 669,64 che lo stesso XX avrebbe pagato in eccedenza rispetto al debito contratto, indicando finanche il proprio codice Iban al fine di agevolare il pagamento. Il carattere eccessivo, pretestuoso e ripetitivo del reclamo (art. 11 del regolamento 1/2019 e 57, par. 4 del Reg. UE 2016/679) conferma, a sommesso avviso della resistente, la necessità di archiviazione della procedura…;

- “la Caserma di XX a seguito della pec del 04/11/2024, non ha fornito alcun riscontro allo stesso Avv. XX, affinchè reindirizzasse la sua comunicazione al CNA – Comando generale dell’arma dei Carabinieri, bensì inoltrava la nota della professionista al comando dei CC ove era in servizio il XX, rendendo nota così, seppur in modo implicito, la sua pregressa (ma superata) condizione debitoria. La condotta del citato Comando finisce per acquisire un’efficacia causale determinate in termini di impatto sulla sfera dei dati personali del XX, interrompendo ogni nezzo eziologico rispetto alla comunicazione del professionista;”;

- “ … anche in una logica attenuante, la condotta della resistente XX ha esaurito i suoi effetti nella sola ed isolata comunicazione del 4 novembre 2024 e, in ogni caso, tali effetti sono stati prontamente rimossi. “

Nella memoria de qua, il titolare, destinatario del reclamo, ha eccepito l’infondatezza delle violazioni contestate da quest’Autorità, “- con specifico riferimento all’asserita violazione dell’art. 5 par. 1, lett. a) Reg. UE 2016/679 per aver effettuato il trattamento in violazione del principio di correttezza ….; - in merito all’asserita violazione dell’art. 6 Reg. UE 2016/679 per aver effettuato il trattamento in assenza delle condizioni di liceità”, rappresentando di aver trasmesso “la comunicazione Pec del 4/11/2024, dovendo adempiere ad un obbligo legale … (essendo) nel caso di specie l’Avvocato incaricato di un’attività di recupero crediti”; ed evidenziando che: “ nella denegata ipotesi in cui l’Ufficio dovesse ritenere che il reclamo proposto sia fondato e che la violazione contestata sia imputabile all’Avv. XX, non sussistono … presupposti per infliggere sanzioni amministrative pecuniarie …”

In merito a quanto disposto, sotto il profilo oggettivo del trattamento in esame, dall’articolo 83, par. 2, nello specifico alla lettera a), del Regolamento, l’Avv. XX ha rilevato, in funzione attenuante, quanto segue: “- il trattamento consiste in un fatto isolato che ha riguardato una sola persona (il solo reclamante Sig. XX), ha avuto una durata molto limitata nel tempo (la condotta della XX ha esaurito i suoi effetti nella sola ed isolata comunicazione del 4 novembre 2024) ed aveva l’obiettivo (meritevole) di salvaguardare gli interessi dell’interessato (comunicazione volta a far cancellare i vincoli posti sulla sua retribuzione) …” .

Sotto il profilo soggettivo (art. 83, par. 2 lett. b), ad avviso del medesimo titolare, “è evidente l’assenza di un atteggiamento intenzionale dell’Avv. XX quale titolare del trattamento che, per contro, intendeva tutelare, con tempestività, gli interessi dell’esecutato XX e completare diligentemente l’azionata procedura esecutiva. L’insussistenza del carattere doloso della presunta violazione si evince dalle stesse affremazioni del reclamante che, seppure definendolo “inescusabile”, qualifica come “errore” la condotta dell’Avv. XX (Cfr. nota di replica - del 21 agosto 2025, riportata nella comunicazione del Garante di avvio del procedimento); la non intenzionalità della presunta violazione, oltre che evidente, è pacifica e incontestata tra le parti della procedura di reclamo.”

Nella citata memoria è stato altresì rilevato che:

- in ordine alle “misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati” (art. 83, par. 2 lett. c), “ ... la professionista resistente, subito dopo aver acquisito conoscenza dell’evento, si è prontamente attivata per attenuare le eventuali conseguenze negative della comunicazione per cui è reclamo.”, ed in particolare “per adottare misure utili a prevenire eventi simili a quello contestato, anche mediante la verifica regolare, presso fonti ufficiali e attendibili, dei dati degli interessati.”; - Il grado di responsabilità del titolare è minimo, in ragione dei motivi sopra indicati e della scarsa offensività della condotta …”;

- in ordine alle “eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento” ex art. 83, par. 2, lett. e), “l’Avv. XX, pur svolgendo con continuità la propria attività professionale nel settore del recupero crediti, non ha subito, ad oggi, nessun provvedimento o istruttoria del Garante (né, invero, di altre Autorità) per violazioni pertinenti. …”;

- in ordine alle “categorie di dati personali interessate dalla violazione”, ex art. 83, par. 2, lett. g), “assume … rilevanza sotto il profilo “attenuante”, anche in ragione del solo trattamento dei dati identificativi, senza alcuna indicazione di importo del debito, fonte dello stesso ecc..

- con riferimento agli “eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso” ex art. 83, par. 2, lett. g), “… la notevole rilevanza, in funzione attenuante, dei “benefici finanziari conseguiti” dal XX grazie alla comunicazione dell’Avv. XX e conseguentemente delle “perdite evitate, direttamente o indirettamente, quale conseguenza della violazione”.

“Per questi motivi”, nelle medesima suindicata nota del 19 novembre u.s., l’Avv. XX, riservandosi di formulare ulteriori elementi difensivi - ha chiesto “l’archiviazione del procedimento ai sensi dell’art. 11 del regolamento n. 1/2019… In via subordinata, qualificare il caso in esame come “violazione minore” ai sensi dell’art. 83, par. 2 e cons. 148 del Regolamento e per l’effetto applicare, in sostituzione della sanzione amministrativa pecuniaria, il semplice ammonimento, ai sensi dell'articolo 58, par. 2, lettere b) del Regolamento.”

In data 4 dicembre scorso si è svolta l’audizione del suindicato titolare del trattamento, nell’ambito della quale l’Avv. XX, richiamando le argomentazioni già dedotte nella memoria difensiva, ha evidenziato che: “il reclamante, dopo la ricezione della comunicazione pec lamentata, ha inviato una cordiale pec all’Avv. XX il 5 novembre 2024 in cui chiedeva dettagli sulla pratica finanziaria adempiuta e quindi cessata, in modo da potersi interfacciare direttamente con il CNA, senza lamentare alcuna violazione della normativa in materia di protezione dei dati. Ciò, in totale serenità e cordialità; … ha poi inviato in data 1° giugno 2025 (citata al punto 2.7 della pagina 9 della memoria del 1(9) novembre 2025), successiva al reclamo presentato il 16 maggio 2025, una diffida ad adempiere chiedendo la restituzione di una parte del credito asseritamente riferibile all’Avv. XX, senza lamentare alcuna violazione della normativa in materia di protezione dei dati ….”.

La XX ha pertanto contestato “funditus la fondatezza del reclamo e ancor prima la supposta violazione di alcun diritto fondamentale del reclamante”.

4. L’esito dell’istruttoria.

Dagli atti della istruttoria preliminare e da quelli successivamente acquisiti nel procedimento, è risultato confermato che l’Avv. XX ha posto in essere una comunicazione di dati personali dell’interessato (la sussistenza di un debito economico; la sua estinzione; la modalità estintiva individuata nel pagamento del debito stesso), consistente nel “dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato in qualunque forma, anche mediante la loro messa a disposizione …” (arg. ex art. 2-ter del Codice), errando nel trattamento dell’indirizzo elettronico destinatario della missiva, ossia inviando la detta comunicazione di cessazione del debito (gravante sul reclamante) ad un indirizzo diverso da quello normativamente previsto. Ciò, peraltro, è avvenuto in difetto di un’idonea base giuridica, quale in particolare il consenso dell’interessato, che avrebbe potuto legittimare la scelta di un diverso recapito.

Risultano, pertanto, violati:

a) l’articolo 5, par. 1, lett. a), del Regolamento, per non avere il titolare trattato i dati del reclamante in modo lecito e corretto;

b) l’articolo 6 del medesimo Regolamento, per avere il titolare effettuato il trattamento sopra descritto in assenza delle condizioni di liceità previste dalla detta disposizione.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimento.

Alla luce di quanto complessivamente accertato, il Garante ritiene che le dichiarazioni del titolare del trattamento (fra cui quelle riguardanti: gli obblighi posti dalla normativa processual-civilistica e dal Codice deontologico forense in capo all’avvocato, tenuto “a porre in essere tutti i comportamenti funzionali, segnatamente, alla tutela non solo del suo assistito ma anche della controparte e ad aggiornare i dati personali”; i profili contrattuali relativi ad eventuali pretese restitutorie formulate dal reclamante-interessato; il comportamento asseritamene non sempre coerente che il reclamante avrebbe tenuto nei confronti dell’Avv. XX: v. memoria difensiva cit.), nonché la documentazione fornita nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultino pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo alcuno dei casi previsti dall’articolo 11 del regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dall’Avv. XX risulta infatti illecito, nei termini su esposti, in quanto posto in essere in violazione degli articoli 5 e 6 del Regolamento.

Sulla base dei criteri indicati dall’articolo 83 del Regolamento - considerando: l’assenza di dolo, ossia della volontà di offendere il diritto della protezione dei dati del reclamante (poiché all’Avv. XX è risultato imputabile un elemento soggettivo meramente colposo); la cooperazione, costante ed efficiente, del titolare de quo con l’Autorità; le misure che il medesimo titolare ha dichiarato di aver adottato “utili a prevenire eventi simili a quello contestato (procedura di verifica dei dati di contatto degli interessati; ulteriori misure di minimizzazione dei dati identificativi degli interessati”; l’episodicità del trattamento in questione; la non ravvisabilità di alcun beneficio finanziario derivante dalla sua condotta e la mancanza di precedenti violazioni pertinenti commesse dal medesimo titolare - si ritiene che, nel caso di specie, sia configurabile una violazione ‘minore’ e che non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’articolo 58, par. 2, lett. i) del Regolamento, anche in base al Considerando n. 148 del Regolamento stesso.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali nei termini di cui in motivazione, si ritiene di dover adottare nei confronti dell’Avv. XX un provvedimento d’ammonimento di cui all’articolo 58, par. 2, lett. b) del Regolamento, per aver violato gli articoli 5 e 6 del Regolamento.

Si ritiene, infine, che ricorrano i presupposti di cui all’articolo 17 del regolamento del Garante n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

DICHIARA l'illiceità del trattamento dei dati effettuato dall’Avv. XX, per violazione delle disposizioni di cui agli articoli 5 e 6 del Regolamento, nei termini di cui in motivazione;

AMMONISCE l’Avv. XX, per avere effettuato un trattamento di dati personali in violazione degli articoli 5 e 6 del Regolamento;

DISPONE

a) ai sensi dell’articolo 154-bis, comma 3, del Codice e dell’articolo 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

b) ai sensi dell’articolo 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’articolo 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’articolo 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’articolo 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo articolo 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 12 febbraio 2026

IL PRESIDENTE

Stanzione

IL RELATORE

Ghiglia

IL SEGRETARIO GENERALE

Montuori

Scheda

Doc-Web

10249833

Data

12/02/26

Argomenti

Consenso e-mail

Avvocati

Tipologie

Ammonimento