Ordinanza ingiunzione o revoca n. 625 del 23/10/2025

Ordine degli Avvocati di Latina: pubblicazione online di dati personali e dati relativi a reati

Il provvedimento riguarda l’Ordine degli Avvocati di Latina, ritenuto responsabile della pubblicazione sul proprio sito istituzionale di un documento contenente dati personali e dati relativi a reati e procedimenti penali, poi indicizzato dai motori di ricerca. Il procedimento è stato avviato a seguito di reclamo dell’interessato.

Fatti e origine del reclamo

Il reclamante ha segnalato la presenza online di un file PDF accessibile dal sito dell’Ordine e rintracciabile tramite i motori di ricerca inserendo nome e cognome. Il documento, proveniente dal Tribunale di Latina, conteneva informazioni su tredici procedimenti penali e includeva:

• dati identificativi di diciotto imputati;
• nominativi di quattro avvocati difensori;
• imputazioni con riferimento alle norme penali violate;
• stato del procedimento;
• data dell’udienza;
• giudice competente.

L’Autorità ha accertato che il file era liberamente consultabile e scaricabile e che, per un periodo, i contenuti sono rimasti indicizzati dai motori di ricerca.

Attività istruttoria e difese del titolare

A fronte della richiesta di informazioni ex art. 157 Codice privacy, l’Ordine ha spiegato che la pubblicazione era collegata alla gestione dei rinvii di udienza in fase emergenziale Covid-19, in accordo con il Tribunale di Latina. Ha richiamato un decreto del Tribunale che consentiva al Consiglio dell’Ordine di pubblicare i fogli di udienza o forme equivalenti di pubblicità.

L’Ordine ha inoltre rappresentato che:

• il file era stato inviato dagli uffici giudiziari via PEC;
• il documento era stato poi caricato sul sito istituzionale;
• la successiva rimozione era stata immediata, con attivazione della deindicizzazione e cancellazione della pagina;
• la pubblicazione integrale, senza oscuramento dei dati, era dipesa da un errore umano.

In sede di memoria difensiva e audizione, ha insistito sul contesto straordinario della pandemia, sulla difficoltà organizzativa e sul fatto che l’Ordine fosse commissariato.

Valutazioni del Garante sulla base giuridica e sulla liceità della diffusione

Il Garante ha richiamato la disciplina applicabile ai soggetti pubblici, evidenziando che il trattamento è consentito se necessario per adempiere un obbligo legale o per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, ai sensi dell’art. 6, par. 1, lett. c) ed e), GDPR. Ha inoltre ricordato che la diffusione di dati personali da parte di soggetti pubblici, compresa la pubblicazione su Internet, è ammessa solo nei casi previsti dall’art. 2-ter Codice privacy.

Con specifico riguardo ai dati relativi a reati e procedimenti penali, l’Autorità ha evidenziato che il trattamento è consentito solo sotto il controllo dell’autorità pubblica o in presenza di una base normativa che preveda garanzie appropriate, ai sensi dell’art. 10 GDPR e dell’art. 2-octies Codice privacy.

Il Garante ha quindi concluso che la pubblicazione del documento, senza previo oscuramento dei dati personali, integrava una diffusione illecita e non conforme ai principi di liceità, correttezza e trasparenza, nonché di minimizzazione dei dati.

Violazioni accertate

L’Autorità ha dichiarato l’illiceità del trattamento per violazione di:

• art. 5, par. 1, lett. a) e c), GDPR;
• art. 6, parr. 1, lett. c) ed e), GDPR;
• art. 10 GDPR;
• artt. 2-ter e 2-octies Codice privacy.

Ha ritenuto che il richiamo all’errore umano e al contesto pandemico non fosse sufficiente a escludere la responsabilità del titolare, anche perché il Garante, nel periodo emergenziale, aveva già fornito indicazioni volte a prevenire trattamenti non conformi.

Gravità della violazione e criteri di quantificazione

Nel determinare la sanzione, il Garante ha considerato che:

• si trattava di una diffusione online di dati particolarmente delicati, relativi a reati;
• la pubblicazione si era protratta per un arco temporale significativo;
• il documento era indicizzato dai motori di ricerca, con ampliamento dei rischi per gli interessati;
• la condotta non appariva isolata, poiché l’Ordine pubblicava sistematicamente ruoli e rinvii di udienza ricevuti dai Tribunali.

L’Autorità ha qualificato il livello di gravità come alto, richiamando anche le linee guida EDPB 4/2022 sul calcolo delle sanzioni amministrative pecuniarie.

Sono state tuttavia valorizzate in senso attenuante:

• la buona cooperazione con l’Autorità;
• la tempestiva rimozione del contenuto non appena emersa la violazione;
• l’assenza di precedenti violazioni pertinenti.

Sanzione e misure disposte

Il Garante ha ritenuto applicabile l’art. 83, par. 5, GDPR, in combinazione con l’art. 83, par. 3, e ha determinato la sanzione amministrativa pecuniaria in euro 15.000, ritenendola effettiva, proporzionata e dissuasiva.

Ha inoltre disposto:

• la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;
• la pubblicazione del provvedimento sul sito dell’Autorità;
• l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stata infine richiamata la facoltà di definire la controversia mediante pagamento, entro 30 giorni, della metà della sanzione comminata, nonché la possibilità di proporre ricorso all’autorità giudiziaria ordinaria nei termini di legge.