Ordinanza ingiunzione o revoca n. 7 del 16/01/2026

Associazione Turistica Pro Loco di Cittareale - diffusione illecita dei dati dei soci e mancato riscontro al Garante

Il provvedimento riguarda una associazione che, nel contesto della convocazione dell’assemblea dei soci, ha diffuso i dati identificativi di 23 associati che avevano chiesto di visionare bilanci e verbali. La diffusione è avvenuta sia tramite affissione in bacheche/spazi pubblici comunali sia sul sito web dell’associazione. Parallelamente, l’associazione non ha risposto a una richiesta di informazioni formulata dall’Ufficio del Garante.

Origine del procedimento e fatti accertati

Alcuni soci hanno segnalato che l’avviso di convocazione dell’assemblea del 26 luglio 2024 conteneva i loro nominativi, pubblicati in modo accessibile al pubblico. Il Garante ha svolto riscontri d’ufficio e ha rilevato che, al 1° luglio 2025, il verbale della medesima assemblea risultava ancora pubblicato online. Con nota del 16 gennaio 2025, ai sensi dell’art. 157 del Codice, l’Ufficio ha chiesto chiarimenti su finalità, base giuridica e durata della pubblicazione; non avendo ottenuto risposta, ha avviato il procedimento sanzionatorio con nota del 4 luglio 2025.

Difese dell’associazione

L’associazione ha sostenuto di avere agito per garantire la massima diffusione tra i soci e la partecipazione democratica, in un contesto locale con molti soci anziani e con limitato accesso a strumenti digitali. Ha qualificato i dati diffusi come dati comuni, non sensibili, e ha affermato che il sito era consultato principalmente dai soci. Ha inoltre dichiarato di avere rimosso l’avviso sia dal sito sia dalle bacheche subito dopo la segnalazione, impegnandosi a utilizzare in futuro forme di comunicazione più riservate e ad anonimizzare i dati negli avvisi pubblici.

Valutazioni del Garante sulla liceità del trattamento

L’Autorità ha richiamato i principi di liceità, correttezza, trasparenza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR. Ha osservato che, anche in ambito associativo, la diffusione dei dati degli associati può avvenire solo quando necessaria all’esecuzione degli obblighi derivanti dal vincolo associativo e in coerenza con le finalità statutarie, oppure sulla base di un’idonea base giuridica ex art. 6 GDPR. Nel caso esaminato, tale presupposto non è risultato provato e non è emersa alcuna prestazione di consenso da parte degli interessati.

Il Garante ha ritenuto che la pubblicazione dei nominativi dei soci istanti fosse eccedente rispetto alla finalità della convocazione assembleare. L’associazione avrebbe potuto limitarsi a menzionare l’esistenza di una richiesta proveniente da un gruppo di soci, anche indicando il numero complessivo dei richiedenti, senza rendere pubblici i singoli nomi.

Violazioni contestate

Sono state quindi accertate:

• la violazione dell’art. 5, par. 1, lett. a) e c), GDPR, per trattamento non lecito, non corretto e non minimizzato;
• la violazione dell’art. 6 GDPR, per assenza di un’idonea base giuridica della diffusione;
• la violazione dell’art. 157 del Codice privacy, per mancata collaborazione con il Garante in sede istruttoria.

Il Garante ha escluso che la violazione potesse essere considerata minore ai sensi del considerando 148 GDPR.

Sanzione e criteri di quantificazione

Ai fini della quantificazione della sanzione ex art. 83 GDPR, l’Autorità ha valorizzato come elementi attenuanti:

• l’assenza di precedenti specifici;
• il carattere episodico della violazione;
• il fatto che i dati diffusi non appartenessero alle categorie particolari di cui all’art. 9 GDPR;
• il contesto associativo, senza fine di lucro e a dimensione territoriale/localistica;
• l’impegno dell’associazione ad adottare misure più rigorose in futuro.

In applicazione dei principi di effettività, proporzionalità e dissuasività, è stata determinata una sanzione amministrativa pecuniaria complessiva di 600 euro, riferita sia alla diffusione illecita dei dati sia alla mancata collaborazione con l’Autorità.

Dispositivo e conseguenze operative

Il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’Associazione;
• ordinato il pagamento di 600 euro entro 30 giorni dalla notifica;
• ricordato la facoltà di definizione agevolata con pagamento della metà della sanzione entro il termine per il ricorso;
• disposto la pubblicazione del provvedimento sul sito istituzionale dell’Autorità;
• disposto l’annotazione delle violazioni nel registro interno del Garante.

È stato inoltre indicato che il provvedimento è impugnabile davanti all’autorità giudiziaria ordinaria nei termini di legge.