Ordinanza ingiunzione o revoca n. 759 del 18/12/2025

Ordine ingiunzione per invio illecito di dati personali tramite PEC istituzionale

Il Garante ha accertato nei confronti di una professionista, qualificata come titolare del trattamento, l’illiceità della trasmissione di una comunicazione contenente dati personali della reclamante a una casella PEC istituzionale del Ministero presso cui la stessa operava. Il procedimento è stato avviato a seguito di reclamo e si è concluso con ordinanza ingiunzione e sanzione amministrativa pecuniaria.

Origine del reclamo e fatti contestati

La reclamante ha lamentato che la professionista, nell’ambito dell’esecuzione di un incarico di direzione lavori relativo all’abitazione privata della stessa, avesse inviato il 9 ottobre 2023 una comunicazione a un indirizzo PEC istituzionale non riservato al solo accesso della destinataria, ma accessibile a una pluralità di soggetti autorizzati.

La comunicazione, della quale è stata prodotta copia, riguardava vicende connesse allo svolgimento e alla revoca dell’incarico professionale e all’asserito inadempimento della reclamante. Tra i dati divulgati era desumibile anche l’indirizzo dell’abitazione privata.

Istruttoria e mancato riscontro della titolare

Con nota del 7 marzo 2025, ai sensi dell’art. 157 del Codice, l’Ufficio ha chiesto alla professionista di fornire elementi utili di valutazione. La richiesta è risultata regolarmente ricevuta, ma non è pervenuto alcun riscontro.

Successivamente, con comunicazione del 12 settembre 2025, l’Ufficio ha contestato l’illiceità del trattamento ai sensi degli artt. 5, par. 1, lett. a), e 6 GDPR, nonché la violazione degli artt. 31 GDPR, 157 e 166, comma 2, del Codice, avviando il procedimento per l’adozione di eventuali misure correttive e sanzioni. Anche a tale atto non è seguito alcun riscontro.

Valutazioni del Garante sulla liceità del trattamento

Il Garante ha rilevato che la divulgazione di dati personali tramite una PEC istituzionale, non nella esclusiva disponibilità della reclamante, non risultava sorretta da alcuna base giuridica né autorizzata dall’interessata.

L’Autorità ha inoltre ritenuto la condotta contraria al principio di correttezza, osservando che la comunicazione, per il suo contenuto personale e potenzialmente pregiudizievole, avrebbe potuto essere inviata con modalità idonee a preservarne la confidenzialità, ad esempio con raccomandata al domicilio della destinataria.

Violazione dell’obbligo di cooperazione

La mancata risposta alla richiesta di informazioni formulata dal Garante è stata qualificata come violazione dell’obbligo di cooperazione previsto dall’art. 31 GDPR e dall’art. 157 del Codice. Tale omissione è stata considerata anche come elemento aggravante ai fini sanzionatori.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha ritenuto che le violazioni non fossero di rilevanza minore, richiamando il considerando 148 GDPR. Ai fini della quantificazione della sanzione, sono stati considerati:

• la natura e gravità della violazione, per la comunicazione non autorizzata di dati personali e dell’indirizzo di abitazione tramite un account istituzionale accessibile a più soggetti;
• la mancata cooperazione con l’Autorità, quale fattore aggravante;
• l’assenza di precedenti specifici, quale fattore attenuante.

Tenuto conto dei criteri di cui all’art. 83, par. 2, GDPR e dei principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, il Garante ha determinato la sanzione in euro 1.000 per la violazione degli artt. 5, par. 1, lett. a), c), 6 GDPR e 157 del Codice.

Dispositivo

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento per violazione dei principi di correttezza e liceità;
• ordinato il pagamento della sanzione amministrativa pecuniaria di euro 1.000;
• ingiunto il pagamento entro 30 giorni dalla notifica, con avvertimento che, in mancanza, si procederà agli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981;
• richiamato la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice;
• disposto la pubblicazione del provvedimento sul sito del Garante con oscuramento dei dati identificativi delle parti, del legale della reclamante, del Ministero e dell’account utilizzato;
• disposto l’annotazione nel registro interno dell’Autorità.

Impugnazione

Avverso il provvedimento è ammesso ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all’estero.