Prescrizioni del Garante n. 242 del 29/04/2025

Agenzia delle entrate-Riscossione: ammonimento per trasmissione eccedente di dati personali in risposta a un’istanza di accesso agli atti

Il provvedimento riguarda Agenzia delle entrate-Riscossione, destinataria di un ammonimento per avere comunicato a un richiedente, nell’ambito del riscontro a un’istanza di accesso agli atti, dati personali di terzi contenuti integralmente in avvisi di deposito presso la casa comunale. Il procedimento origina da una segnalazione e si conclude con la sola misura dell’ammonimento, in considerazione del carattere episodico dell’episodio e dell’assenza di ulteriori effetti pregiudizievoli rilevanti.

Origine della segnalazione e attività istruttoria

Il Garante ha ricevuto una segnalazione il 14 dicembre 2022, poi integrata il 5 maggio 2023, con cui veniva lamentato che, nel riscontrare una richiesta di copia di cartelle esattoriali e della documentazione di notifica, l’Agenzia avesse trasmesso anche documenti non richiesti contenenti dati di soggetti terzi. In particolare, il riscontro via PEC del 14 dicembre 2022 includeva gli avvisi di deposito di atti nella casa comunale, corredati da elenchi integrali con numero progressivo, numero del documento e intestatario/legale rappresentante, consentendo al destinatario di conoscere numerose generalità di terzi.

A seguito della segnalazione, l’Autorità ha avviato l’istruttoria con richiesta di informazioni ai sensi dell’art. 157 del Codice privacy. L’Agenzia ha riconosciuto che, per errore materiale, l’operatore incaricato dell’evasione dell’istanza non aveva oscurato i dati di soggetti diversi dall’interessato e non si era attenuto alle misure di sicurezza e alle procedure interne predisposte dall’Ente.

Trattamento esaminato e disciplina applicabile

Il trattamento esaminato consiste nella comunicazione di dati personali nell’ambito del riscontro a un’istanza di accesso agli atti. Il Garante ha richiamato i principi generali di cui all’art. 5 GDPR, in particolare liceità, correttezza e minimizzazione, nonché la base giuridica dei trattamenti svolti da Agenzia delle entrate-Riscossione per finalità di riscossione, riconducibile all’art. 6, parr. 1, lett. e), e 3, GDPR, e all’art. 2-ter del Codice privacy.

È stata richiamata anche la normativa di settore sulle notifiche degli atti della riscossione, in particolare gli artt. 26 del d.P.R. n. 602/1973, 60 del d.P.R. n. 600/1973 e 140 c.p.c., nonché la Circolare n. 55 del 10 novembre 2020 dell’Agenzia, che impone il bilanciamento tra trasparenza e protezione dei dati personali e prevede l’ostensione con omissione dei dati personali non pertinenti.

Valutazioni sulle difese dell’Agenzia

Nelle memorie difensive l’Agenzia ha sostenuto che i dati già erano stati oggetto di affissione pubblica all’albo comunale e che la trasmissione integrale al richiedente sarebbe dipesa da un errore isolato di un operatore autorizzato. Ha inoltre evidenziato di avere adottato misure organizzative, attività di formazione e progetti di data governance e data protection.

Il Garante ha preso atto di tali deduzioni ma ha ritenuto che esse non escludessero l’illiceità della comunicazione successiva a un terzo, poiché l’affissione all’albo comunale è consentita solo per il tempo necessario al perfezionamento della notifica e non legittima una ulteriore diffusione indiscriminata. Le misure interne e le circostanze rappresentate non sono state considerate sufficienti a portare all’archiviazione.

Illiceità del trattamento e principi violati

L’Autorità ha accertato che l’Agenzia ha trasmesso due elenchi integrali dell’avviso di deposito presso la casa comunale del Comune di XX, relativi agli elenchi n. 5 dell’11 marzo 2013 e n. 10 del 29 maggio 2013, contenenti le generalità di alcune centinaia di persone fisiche e riferiti a 369 atti della riscossione. Tale comunicazione ha consentito a un soggetto terzo di conoscere dati relativi alle posizioni debitorie di numerosi interessati.

Il Garante ha quindi dichiarato l’illiceità del trattamento per violazione:

• dell’art. 5, par. 1, lett. a) e c), GDPR, per difetto di liceità, correttezza e minimizzazione;
• dell’art. 6, parr. 1, lett. e) e 3, GDPR, per inadeguata gestione della base giuridica nel contesto del riscontro all’istanza;
• dell’art. 2-ter del Codice privacy.

Motivi dell’ammonimento e qualificazione della violazione

Pur accertando l’illiceità del trattamento, il Garante ha ritenuto sufficiente la misura dell’ammonimento ex art. 58, par. 2, lett. b), GDPR. La decisione si fonda su diversi elementi attenuanti: il carattere episodico dell’errore, l’assenza di precedenti analoghi, la collaborazione prestata dall’Agenzia, il richiamo interno successivo al rispetto della normativa e il fatto che i dati comunicati erano dati comuni già affissi all’albo comunale e trasmessi a un solo destinatario.

Il caso è stato qualificato come "violazione minore" ai sensi del considerando 148 GDPR e delle Linee guida WP 253 del 3 ottobre 2017, fatte proprie dal Comitato europeo per la protezione dei dati con Endorsement 1/2018 del 25 maggio 2018.

Provvedimento finale e rimedi

Il Garante ha:

• dichiarato l’illiceità del trattamento;
• ammonito Agenzia delle entrate-Riscossione quale titolare del trattamento;
• disposto l’annotazione del provvedimento nel registro interno delle violazioni e delle misure adottate.

Non sono state adottate ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR, poiché la condotta aveva già esaurito i suoi effetti. Il provvedimento indica infine la possibilità di ricorso all’autorità giudiziaria ordinaria ai sensi degli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. n. 150/2011, entro i termini di legge.