Prescrizioni del Garante n. 310 del 21/05/2025

Ammonimento per comunicazione illecita via PEC di atti esecutivi

Il provvedimento riguarda un avvocato che, nell’ambito di una procedura esecutiva e della trasmissione di atti collegati a un decreto ingiuntivo/ordinanza di assegnazione, avrebbe inviato via PEC documentazione contenente dati personali della reclamante anche a soggetti non legittimati a conoscerla. Il procedimento è stato avviato a seguito di reclamo dell’interessata e si è svolto mediante richiesta di informazioni, memorie difensive e audizione del titolare del trattamento.

Origine del reclamo e fatti contestati

La reclamante ha rappresentato che la notifica di atti relativi alla procedura esecutiva era stata comunicata anche ad altri dipendenti dell’ente coinvolto, estranei al procedimento. In particolare, il dato contestato non era tanto la comunicazione verso il destinatario principale dell’atto, quanto l’invio a ulteriori soggetti inseriti in copia o comunque raggiunti dalla funzione di risposta alla PEC.

Istruttoria e difese del titolare

L’Autorità ha chiesto chiarimenti sui criteri di individuazione dei destinatari della PEC e su ogni elemento utile alla valutazione del reclamo. L’avvocato ha dedotto che:

• la notifica originaria era stata eseguita regolarmente;
• la successiva comunicazione era stata inviata al terzo pignorato e ai soggetti già presenti nei destinatari della PEC originaria;
• l’uso della funzione "rispondi" aveva determinato l’inclusione automatica dei destinatari già presenti nel messaggio precedente;
• i soggetti coinvolti erano già a conoscenza della vicenda esecutiva;
• non sarebbero stati trattati dati di cui all’art. 10 GDPR.

Valutazione del Garante sulla violazione

Il Garante ha ritenuto le giustificazioni non idonee a escludere la violazione. Dalla documentazione acquisita è risultato che i dati personali della reclamante erano stati comunicati anche a soggetti che non avevano titolo a conoscerli. L’Autorità ha quindi accertato la violazione:

• del principio di liceità e correttezza del trattamento ex art. 5, par. 1, lett. a), GDPR;
• dell’art. 6 GDPR, per assenza di una base giuridica idonea a legittimare le ulteriori comunicazioni.

È stato inoltre osservato che l’utilizzo della funzione "rispondi" denotava una scarsa diligenza nella selezione dei destinatari legittimi delle comunicazioni.

Esiti del procedimento: ammonimento e mancata sanzione pecuniaria

Il Garante ha dichiarato l’illiceità del trattamento e ha ammonito l’avvocato ai sensi dell’art. 58, par. 2, lett. b), GDPR. Pur richiamando il regime sanzionatorio dell’art. 83, par. 5, GDPR, ha escluso l’applicazione di una sanzione amministrativa pecuniaria, valorizzando nel complesso le seguenti circostanze:

• la condotta aveva già esaurito i propri effetti;
• il numero dei destinatari era limitato;
• il trattamento era avvenuto nell’ambito dell’esercizio di un diritto riconosciuto dall’ordinamento;
• la disciplina delle notifiche via PEC presentava difficoltà interpretative;
• non risultavano precedenti violazioni pertinenti;
• non emergevano vantaggi finanziari o perdite evitate derivanti dalla violazione.

Adempimenti finali e rimedi

Il provvedimento dispone l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019 e dell’art. 57, par. 1, lett. u), GDPR. È inoltre indicata la proponibilità dell’opposizione davanti all’autorità giudiziaria ordinaria nei termini previsti dagli artt. 78 GDPR, 152 Codice privacy e 10 d.lgs. 150/2011.