Ordinanza ingiunzione o revoca n. 798 del 19/12/2024

Agenzia delle entrate-Riscossione: comunicazione illecita di dati personali in una procedura di pignoramento presso terzi

Il provvedimento riguarda l’Agenzia delle entrate-Riscossione ed è stato adottato a seguito di un reclamo del reclamante, che contestava la notifica di due atti di pignoramento presso terzi a soggetti che non avrebbero più potuto essere considerati terzi debitori. Il Garante ha ritenuto che la comunicazione dei dati sia avvenuta in assenza di un corretto riscontro della vigenza del contratto di locazione e dell’attualità della proprietà dell’immobile, con conseguente trattamento illecito.

Origine del reclamo e oggetto della contestazione

Il reclamante ha riferito che, molti anni dopo la stipula di un contratto di locazione abitativa e dopo la successiva disdetta del rapporto, nonché dopo l’alienazione dell’immobile, l’Agenzia delle entrate-Riscossione avrebbe notificato due atti di pignoramento presso terzi a due soggetti privati indicati come conduttori/terzi pignorati. Secondo il reclamante, al momento della notifica non sussisteva più alcun rapporto giuridico con tali soggetti, con la conseguenza che la trasmissione degli atti avrebbe comportato una indebita divulgazione di dati personali e di informazioni relative alla sua situazione debitoria.

Attività istruttoria e difese del titolare

Nel corso dell’istruttoria, l’Agenzia ha spiegato che il trattamento era svolto nell’ambito delle procedure esecutive di riscossione, sulla base di consultazioni puntuali dell’Anagrafe tributaria tramite il portale A.R.CO. Ha richiamato l’art. 18 del D.L. n. 112/1999, l’art. 3 del D.L. n. 193/2016, nonché la circolare interna n. 92 del 1° luglio 2015, che disciplina le verifiche da eseguire prima dell’avvio dei pignoramenti presso terzi in presenza di contratti di locazione.

L’Agenzia ha sostenuto che l’episodio fosse dovuto a un errore umano isolato dell’operatore autorizzato, che non avrebbe completato le verifiche previste, e ha rappresentato di avere già attivato iniziative interne di sensibilizzazione del personale. Ha inoltre affermato che il trattamento era stato svolto in modalità puntuale, che non risultavano ulteriori anomalie della stessa specie e che l’atto era stato revocato a seguito della dichiarazione negativa di uno dei terzi pignorati.

Valutazioni giuridiche del Garante

Il Garante ha inquadrato il trattamento come attività di riscossione svolta per finalità di interesse pubblico, soggetta agli artt. 5 e 6 GDPR, all’art. 2-ter del Codice e alla disciplina di settore, in particolare l’art. 72-bis del d.P.R. n. 602/1973. In materia di comunicazione di dati personali a terzi, ha richiamato la nozione di comunicazione prevista dall’art. 2-ter, comma 4, del Codice.

L’Autorità ha accertato che l’Agenzia ha comunicato ai terzi dati personali del reclamante sulla base di presupposti inesatti, avendo errato nell’individuazione dei soggetti come terzi debitori. L’errore derivava dalla mancata verifica della permanenza del contratto di locazione e dell’attualità della possidenza dell’immobile, verifiche che avrebbero evitato l’invio degli atti. Il Garante ha ritenuto inoltre che la circolare n. 92/2015, pur prevedendo alcuni passaggi procedurali, fosse comunque inadeguata e che il titolare non avesse dimostrato di aver introdotto ulteriori misure tecniche e organizzative sufficienti a garantire l’esattezza dei dati utilizzati.

La violazione è stata qualificata come lesione dei principi di liceità, correttezza ed esattezza di cui all’art. 5, par. 1, lett. a) e d), del GDPR, nonché della base giuridica del trattamento di cui all’art. 6, par. 1, lett. e), GDPR, oltre che dell’art. 2-ter del Codice.

Misure correttive imposte

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ordinato all’Agenzia di adottare ulteriori misure per assicurare il rispetto del principio di esattezza nei contesti analoghi. In particolare, ha richiesto:

• che l’esame del contratto di locazione sia espressamente previsto anche per i contratti registrati oltre i due anni antecedenti alla notifica della cartella di pagamento;
• che siano introdotti meccanismi procedurali per verificare e documentare l’effettivo svolgimento, da parte del dipendente, delle verifiche sulla vigenza del contratto e sull’attualità della possidenza dell’immobile.

L’Agenzia deve fornire al Garante, entro 30 giorni dalla notifica, un riscontro documentato sulle iniziative adottate.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato l’art. 58, par. 2, lett. i), GDPR e l’art. 83 GDPR, irrogando una sanzione amministrativa pecuniaria di euro 40.000. Ha osservato che, trattandosi di una condotta unitaria, opera il limite di cui all’art. 83, par. 3, GDPR, e che le violazioni contestate rientrano nell’ambito sanzionatorio dell’art. 83, par. 5.

Nella determinazione dell’importo sono stati considerati:

• il fatto che la violazione ha riguardato un solo interessato;
• il contesto di elevati volumi operativi, con 31.634 atti di pignoramento presso terzi nel periodo 1° gennaio 2023 - 30 settembre 2023;
• la natura colposa della condotta;
• la delicatezza dei dati trattati, relativi alla situazione debitoria del reclamante;
• l’assenza di precedenti violazioni pertinenti;
• la collaborazione dell’Agenzia durante l’istruttoria e le iniziative di sensibilizzazione del personale, ritenute tuttavia insufficienti.

Il Garante ha ritenuto la sanzione proporzionata, effettiva e dissuasiva.

Pubblicazione e rimedi

È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, nonché la pubblicazione del provvedimento. È stato inoltre previsto l’annotamento delle violazioni e delle misure adottate nel registro interno dell’Autorità. Contro il provvedimento è ammesso ricorso davanti all’autorità giudiziaria ordinaria nei termini di legge.