Prescrizioni del Garante n. 705 del 27/11/2025

Trattamento illecito di una registrazione audio trasmessa tra difensori

Il Garante per la protezione dei dati personali ha esaminato il reclamo di un interessato relativo alla registrazione, effettuata all’insaputa del medesimo, di una conversazione del 1° aprile 2019 e alla successiva circolazione del file audio tra due avvocati nell’ambito di un contenzioso societario e concorsuale. Il procedimento ha riguardato in particolare la trasmissione del file dall’avvocato che assisteva il soggetto presente alla conversazione all’avvocato delle società che intendevano utilizzarlo in un giudizio di opposizione all’omologa di concordato preventivo.

Origine del procedimento e attività istruttoria

Il reclamo è stato presentato il 29 novembre 2021. Il reclamante ha lamentato che il terzo, presente al colloquio, avesse registrato la conversazione senza informarlo e avesse poi comunicato la registrazione alle società, che a loro volta l’avrebbero prodotta in giudizio.

L’Ufficio ha svolto una complessa istruttoria, inviando richieste di informazioni alle società, al soggetto che aveva effettuato la registrazione e ai due avvocati coinvolti. Dalle difese è emerso che il file audio era stato inizialmente usato in un procedimento penale e poi richiesto dal difensore delle società per l’opposizione all’omologazione del concordato preventivo di una società debitrice. Le difese hanno insistito sul fatto che l’uso processuale fosse giustificato dal diritto di difesa e dal legittimo interesse, e che l’eventuale comunicazione non richiedesse il consenso dell’interessato.

Oggetto del trattamento scrutinato

Il Garante ha precisato che il trattamento oggetto del provvedimento non era la produzione in giudizio del file, ma la fase precedente, cioè la consegna della registrazione da parte dell’avvocato del soggetto che aveva partecipato alla conversazione e la conseguente ricezione da parte dell’avvocato delle società che l’aveva espressamente richiesta.

L’Autorità ha richiamato l’art. 160-bis del Codice, osservando che la validità e utilizzabilità degli atti in giudizio restano regolate dalle norme processuali, e ha quindi delimitato il proprio esame alle operazioni di comunicazione e ricezione del dato personale.

Qualificazione degli avvocati come titolari del trattamento

Secondo il Garante, entrambi i professionisti hanno agito come titolari autonomi del trattamento ai sensi dell’art. 4, n. 7, GDPR, poiché hanno stabilito finalità e mezzi del trattamento nell’ambito della rispettiva strategia difensiva. Non è stata accolta la tesi secondo cui l’avvocato che trasmette il file sarebbe un mero esecutore materiale delle decisioni del cliente o un soggetto autorizzato privo di autonomia.

L’Autorità ha richiamato anche le Regole deontologiche per i trattamenti effettuati per investigazioni difensive o per far valere un diritto in sede giudiziaria, nonché il documento del CNF del 22 maggio 2018, osservando che tali fonti presuppongono l’avvocato come titolare del trattamento rispetto alle informazioni ricevute in virtù del mandato.

Violazione degli artt. 5 e 6 GDPR

Nel merito, il Garante ha ritenuto che la comunicazione del file audio dall’avv. Calori all’avv. Muzii, e la sua ricezione, fossero avvenute in assenza di un’idonea condizione di liceità del trattamento. In particolare, ha contestato la violazione:

• dell’art. 5, par. 1, lett. a), GDPR, sotto il profilo del principio di liceità;
• dell’art. 6 GDPR, per mancanza di una base giuridica idonea a giustificare la comunicazione del dato.

L’Autorità ha sottolineato che la registrazione era stata effettuata da un soggetto diverso dai difensori coinvolti nel procedimento amministrativo e che la sua trasmissione avveniva per l’uso in un giudizio nel quale il reclamante non era parte. Ha quindi escluso che si potesse automaticamente estendere alla comunicazione tra difensori la legittimità riconosciuta dalla giurisprudenza alla registrazione effettuata da uno degli interlocutori per finalità difensive.

Violazione del principio di correttezza

Oltre alla mancanza di una base giuridica, il Garante ha ravvisato anche una violazione del principio di correttezza. L’avv. Calori, pur potendo legittimamente utilizzare la registrazione nei giudizi in cui difendeva il proprio assistito, ha accolto la richiesta dell’avv. Muzii mettendo a disposizione il file, sapendo che sarebbe stato utilizzato in un procedimento diverso. L’avv. Muzii, dal canto suo, ha richiesto e acquisito la registrazione proprio per produrla nel giudizio di opposizione all’omologa.

Secondo il Garante, il contributo causale di entrambi ha determinato un trattamento non conforme alla disciplina privacy.

Obiezioni procedurali e termine di contestazione

L’avv. Calori aveva eccepito la tardività della notifica delle violazioni ex art. 166, comma 5, del Codice, sostenendo che il termine di 120 giorni dovesse decorrere da una data anteriore. L’Autorità ha respinto l’obiezione, affermando che il termine decorre dal momento in cui l’Ufficio acquisisce e valuta tutti gli elementi indispensabili per verificare la violazione. Nel caso concreto, ciò è avvenuto solo dopo il riscontro dell’avv. Muzii del 15 maggio 2024.

Il Garante ha quindi ritenuto tempestiva la contestazione trasmessa il 3 giugno 2024.

Valutazione complessiva e qualificazione come violazione minore

Pur accertando l’illiceità del trattamento, l’Autorità ha considerato:

• l’assenza di precedenti specifici a carico dei due avvocati;
• la novità della fattispecie;
• la delicatezza del contesto, caratterizzato da una procedura concorsuale con posizioni contrapposte;
• la natura dei dati trattati, qualificati come dati comuni.

Tali elementi hanno portato il Garante a qualificare la violazione come minore ai sensi dell’art. 83, par. 2, GDPR e del considerando 148.

Provvedimento finale

In dispositivo, il Garante ha:

• rilevato l’illiceità del trattamento effettuato dall’avv. Lorenzo Muzii e dall’avv. Matteo Sergio Calori, in concorso ex art. 5 l. n. 689/1981;
• accertato la violazione degli artt. 5, par. 1, lett. a), e 6 GDPR;
• ammonito entrambi i professionisti ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice.

Non è stata irrogata una sanzione pecuniaria. Il provvedimento è impugnabile dinanzi all’autorità giudiziaria ordinaria nei termini di legge.