Ordinanza ingiunzione o revoca n. 765 del 12/12/2024

Agenzia delle Dogane e dei Monopoli: trattamento illecito dei dati debitori del legale rappresentante nel rinnovo di una concessione

Il provvedimento riguarda l’istruttoria svolta dall’Agenzia delle Dogane e dei Monopoli per il rinnovo della concessione relativa a una rivendita speciale di generi di monopolio. Il Garante ha esaminato il trattamento dei dati personali del rappresentante legale della società richiedente, in particolare l’acquisizione e la comunicazione alla società delle sue pendenze fiscali personali.

Origine del reclamo e fatti contestati

Il reclamo è stato presentato ai sensi dell’art. 77 GDPR dal legale rappresentante della società, che contestava il preavviso di rigetto dell’istanza di rinnovo. L’Ufficio dei Monopoli aveva ritenuto ostative alcune pendenze fiscali e/o morosità verso l’Agente della riscossione, riferite però alla persona fisica del rappresentante legale e non alla società.

Il reclamante evidenziava inoltre che la PEC inviata dall’Agenzia alla società era circolata internamente tra più soggetti aziendali. L’Agenzia, a seguito della nota difensiva della società, aveva poi adottato un atto di archiviazione del preavviso di rigetto, ritenendo che le morosità non fossero rilevanti ai fini del rinnovo.

Quadro normativo di riferimento

Il Garante ha richiamato i principi di:

• liceità, correttezza e trasparenza, ex art. 5, par. 1, lett. a), GDPR;
• minimizzazione dei dati, ex art. 5, par. 1, lett. c), GDPR;
• protezione dei dati fin dalla progettazione e per impostazione predefinita, ex art. 25 GDPR;
• basi giuridiche del trattamento da parte di soggetti pubblici, ex art. 6, par. 1, lett. c) ed e), GDPR;
• necessità di una base giuridica idonea nella normativa nazionale, ex art. 2-ter del Codice privacy.

Sono stati inoltre richiamati:

• l’art. 19 della l. n. 1293/1957, sulla concessione delle rivendite di generi di monopolio;
• l’art. 2, comma 4-ter, del d.m. 21 febbraio 2013, n. 38, che impone al richiedente una dichiarazione sulle eventuali violazioni fiscali o morosità;
• l’art. 80, comma 4, del d.lgs. n. 50/2016, quale parametro di riferimento per le fattispecie debitorie rilevanti.

Valutazioni del Garante sul trattamento

L’Autorità ha ritenuto che la circolare ADM n. 28/2021 avesse consentito un’acquisizione in via sistematica e generalizzata anche di dati non pertinenti, riferiti alle posizioni personali del legale rappresentante, senza distinguere adeguatamente tra debiti della società e debiti del soggetto fisico.

Secondo il Garante, la disciplina di settore autorizza controlli sulle imprese concessionarie e non giustifica l’estensione automatica alle vicende debitorie private del rappresentante legale, che costituisce un distinto centro di imputazione di obbligazioni. Il trattamento è stato quindi ritenuto non conforme ai principi di liceità, correttezza, trasparenza e minimizzazione, oltre che privo di idoneo presupposto normativo.

Il Garante ha inoltre osservato che i dati trattati, pur non rientrando nelle categorie particolari di cui all’art. 9 GDPR, presentavano una particolare delicatezza perché attinenti alla situazione debitoria dell’interessato e alla sua sfera privata.

Rilievo della circolare n. 14/2023

Nel corso dell’istruttoria l’Agenzia ha rappresentato di aver successivamente adottato la circolare n. 14/2023, che ha in parte rivisto l’impostazione della circolare n. 28/2021. Tale nuova circolare ha eliminato i controlli a carico del legale rappresentante, limitandoli a ipotesi residuali e imponendo, in caso di dubbi, di corrispondere direttamente con il soggetto interessato senza coinvolgere terzi.

Il Garante ha preso atto di questa evoluzione, ma ha rilevato che essa non sana la violazione già consumata nel caso concreto.

Esito del procedimento e sanzione

Il Garante ha ritenuto non archiviabile il procedimento e ha confermato l’illiceità del trattamento, rilevando la violazione degli artt. 5, par. 1, lett. a) e c), 6 e 25 GDPR e dell’art. 2-ter del Codice privacy.

Ai fini sanzionatori ha considerato:

• la gravità media della violazione;
• il limitato lasso temporale di applicazione della circolare n. 28/2021;
• la cooperazione dell’Agenzia;
• l’attivazione di misure correttive e organizzative prima dell’istruttoria;
• la circostanza che l’interessato fosse stato ascoltato e che il preavviso di rigetto fosse poi stato archiviato;
• una precedente violazione pertinente commessa dall’Agenzia.

La sanzione è stata determinata in euro 40.000,00, ai sensi dell’art. 83 GDPR e dell’art. 166 del Codice.

Dispositivo e adempimenti

Il Garante ha:

• ordinato all’Agenzia delle Dogane e dei Monopoli il pagamento di euro 40.000,00;
• ingiunto il pagamento entro 30 giorni dalla notificazione, salvo definizione agevolata della controversia nei termini previsti dall’art. 166, comma 8, del Codice;
• disposto la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante;
• disposto la pubblicazione del provvedimento ai sensi dell’art. 154-bis, comma 3, del Codice;
• ordinato l’annotazione nel registro interno dell’Autorità.

È stato inoltre indicato che avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero.