Ordinanza ingiunzione o revoca n. 631 del 23/10/2025

Uso illecito di dati di tessere sanitarie da parte di una tabaccheria

Il Garante ha adottato un’ordinanza-ingiunzione nei confronti della titolare di una tabaccheria, ritenendo illecito il trattamento di dati personali contenuti in tessere sanitarie di clienti lasciate nei locali dell’esercizio. Le informazioni sono state utilizzate senza consenso per effettuare ricariche della carta prepagata Postepay Evolution e aggirare il relativo plafond.

Origine della segnalazione e attività istruttoria

Il procedimento origina da un verbale trasmesso alla Autorità dalla Guardia di finanza – Nucleo speciale tutela privacy e frodi tecnologiche, a seguito di controlli svolti dalla Guardia di finanza di Correggio. In un primo momento erano emerse movimentazioni finanziarie sospette connesse all’uso della carta prepagata intestata alla titolare, con la prospettazione che fossero stati utilizzati dati identificativi di soggetti terzi per effettuare ricariche.

Nel corso degli approfondimenti istruttori, la Guardia di finanza ha acquisito ulteriori informazioni e dichiarazioni di persone identificate in atti. Tali soggetti hanno dichiarato di non aver mai eseguito ricariche o altre operazioni di pagamento o finanziarie presso la tabaccheria; due di essi hanno inoltre riferito di aver utilizzato la tessera sanitaria nel distributore automatico di sigarette, lasciandola poi inavvertitamente nel punto vendita.

Trattamento contestato

Dall’istruttoria è emerso che la titolare deteneva presso la tabaccheria numerose tessere sanitarie altrui e, almeno in relazione a quattro interessati, ha utilizzato i dati in esse contenuti per effettuare ricariche della propria carta prepagata. Il trattamento è stato ricondotto all’esigenza di superare il limite di plafond della carta e, dunque, a una finalità estranea a quella per cui i dati erano nella disponibilità della titolare.

Il Garante ha valorizzato il fatto che i dati fossero trattati all’insaputa dei legittimi proprietari e in assenza di un’idonea base giuridica, con un uso intenzionale e consapevole delle informazioni personali.

Posizione difensiva della titolare

Nelle memorie difensive, la titolare ha sostenuto di aver conservato le tessere sanitarie solo per restituirle ai clienti che le avevano dimenticate e di non aver mai trattenuto copie dei documenti. Ha inoltre rappresentato che l’uso dei dati sarebbe avvenuto in un contesto di difficoltà operative dell’attività, anche per problemi legati alla gestione bancaria e alla disponibilità di strumenti di pagamento aziendali.

La titolare ha dichiarato di aver successivamente adottato correttivi tecnici e organizzativi, tra cui la sostituzione del distributore self-service con uno di nuova generazione, la riduzione degli smarrimenti e nuove istruzioni al personale affinché i documenti eventualmente dimenticati fossero restituiti senza trattenere dati o copie.

Il Garante ha però ritenuto le giustificazioni non idonee a escludere la violazione, evidenziando che le dichiarazioni, la documentazione e le ricostruzioni fornite non consentivano l’archiviazione del procedimento.

Valutazione giuridica del Garante

L’Autorità ha qualificato la condotta come trattamento illecito in violazione degli artt. 5, comma 1, lett. a), b), c) ed e), 6 e 13 del Regolamento (UE) 2016/679.

In particolare, il provvedimento richiama:

• il principio di liceità, correttezza e trasparenza;
• il principio di limitazione delle finalità;
• il principio di minimizzazione dei dati;
• il principio di limitazione della conservazione;
• l’obbligo di informare l’interessato ai sensi dell’art. 13 GDPR;
• la necessità di una base giuridica lecita ai sensi dell’art. 6 GDPR, con riferimento al consenso quale presupposto non ravvisabile nel caso di specie.

Il Garante richiama anche il considerando 42 del Regolamento, osservando che il consenso non può dirsi liberamente prestato se l’interessato non è posto in condizione di effettuare una scelta autenticamente libera.

Sanzione amministrativa e criteri di quantificazione

Accertata l’illiceità del trattamento, il Garante ha fatto applicazione dei poteri correttivi di cui all’art. 58, par. 2, del GDPR e dell’art. 166 del Codice privacy, disponendo una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento.

Nella determinazione dell’importo sono stati considerati i criteri dell’art. 83, par. 2, GDPR, in particolare:

• natura, gravità e durata della violazione, con riferimento all’uso intenzionale di dati di interessati ignari;
• carattere doloso o comunque consapevole della condotta;
• assenza di precedenti violazioni della disciplina privacy;
• condizioni economiche del contravventore, rilevate dal bilancio 2023;
• entità delle sanzioni irrogate in casi analoghi;
• esigenza di garantire una sanzione effettiva, proporzionata e dissuasiva.

Il Garante ha applicato un importo pari a euro 10.000,00, precisando che la violazione non poteva essere considerata minore.

Dispositivo e adempimenti conseguenti

Nel dispositivo il Garante:

• rileva l’illiceità del trattamento effettuato dalla titolare;
• ordina il pagamento della sanzione amministrativa pecuniaria di euro 10.000,00;
• ingiunge il pagamento entro 30 giorni dalla notifica del provvedimento, con avvertenza delle conseguenze esecutive in caso di mancato pagamento;
• richiama la facoltà di definizione agevolata mediante pagamento della metà della sanzione nei termini di legge;
• dispone la pubblicazione del provvedimento e dell’ordinanza-ingiunzione sul sito internet dell’Autorità;
• dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

Impugnazione

È infine indicata la possibilità di proporre opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni se il ricorrente risiede all’estero.