Prescrizioni del Garante n. 78 del 12/02/2026

Avv. XX: comunicazione illecita di dati personali su un debito estinto a un Comando dell’Arma dei Carabinieri

Il Garante per la protezione dei dati personali ha esaminato il trattamento effettuato da un avvocato incaricato di una posizione di recupero crediti, che aveva inviato una PEC a un Comando Stazione Carabinieri non più competente per informare della cessazione di una trattenuta sullo stipendio del reclamante. Il caso nasce da un reclamo dell’interessato e si conclude con la dichiarazione di illiceità del trattamento e con un ammonimento, senza sanzione pecuniaria.

Origine del reclamo e fatti contestati

Il reclamante ha lamentato che la comunicazione inviata il 4 novembre 2024 avrebbe reso noto a soggetti non legittimati l’esistenza di un debito a suo carico, sebbene già integralmente adempiuto. La PEC era stata indirizzata al Comando Stazione Carabinieri di XX, mentre l’interessato non prestava più servizio presso quella sede dal 1° luglio 2019. Secondo quanto emerso, la gestione della busta paga e delle relative trattenute era centralizzata presso il Centro Nazionale Amministrativo dell’Arma dei Carabinieri (CNA), indicato come l’ufficio realmente competente a ricevere la comunicazione di svincolo.

Attività istruttoria e difese dell’avvocato

Nel corso dell’istruttoria, il Garante ha chiesto chiarimenti all’avvocato sulla base giuridica del trattamento e sulle modalità della comunicazione. La professionista ha rappresentato di essere subentrata nella gestione della posizione dopo la cessione del credito e di aver “ereditato” un fascicolo contenente i dati del debitore, compreso l’indirizzo PEC utilizzato. Ha sostenuto che la comunicazione fosse funzionale a completare la procedura esecutiva, che l’indirizzo fosse desumibile da registri pubblici della PA e che l’invio fosse avvenuto all’interno dell’Arma dei Carabinieri, senza coinvolgimento di terzi estranei.

Nella memoria difensiva e in audizione ha inoltre richiamato:

• l’asserita applicabilità dell’art. 6, par. 1, lett. c), GDPR per adempimento di obblighi di legge;
• il Codice deontologico forense, con particolare riferimento a diligenza, riservatezza e correttezza nei rapporti con terzi;
• la circostanza che la comunicazione non conteneva l’importo del credito né la sua fonte;
• la successiva disponibilità a cooperare con l’Autorità e ad adottare misure preventive, come verifica dei dati di contatto e minimizzazione dei dati identificativi.

Valutazioni del Garante sulla base giuridica e sulla correttezza del trattamento

Il Garante ha ritenuto che la comunicazione integrasse un trattamento di dati personali, ai sensi dell’art. 2-ter del Codice, poiché aveva reso conoscibili a soggetti determinati informazioni relative alla sussistenza del debito, alla sua estinzione e alla modalità di pagamento. L’Autorità ha osservato che l’invio era stato effettuato a un indirizzo PEC non corretto, cioè a un ufficio non competente a ricevere quel tipo di comunicazioni, e che l’avvocato non aveva dimostrato di aver verificato con diligenza il recapito legittimo.

È stato ritenuto che il recapito corretto dovesse essere il CNA dell’Arma dei Carabinieri, richiamando la disciplina del D.P.R. 5 gennaio 1950, n. 180 e la sentenza della Corte costituzionale n. 231/1994, che individua nell’organo dell’amministrazione titolare del potere di disporre la spesa il soggetto competente per le trattenute sui dipendenti pubblici. Il Garante ha inoltre escluso che il fatto che la PEC fosse presente in fascicolo o in registri pubblici e che la comunicazione fosse finalizzata a un interesse favorevole al debitore potesse sanare l’assenza di una valida base giuridica.

Violazioni accertate

Il Garante ha concluso che il trattamento era illecito per violazione dei principi di base del trattamento e, in particolare, ha ravvisato la violazione di:

• art. 5, par. 1, lett. a), GDPR, per mancato rispetto dei principi di liceità e correttezza;
• art. 6 GDPR, per assenza di una condizione di liceità idonea a giustificare la comunicazione.

L’Autorità ha ritenuto non decisivi i richiami difensivi alla normativa processuale e alla giurisprudenza in tema di notifiche telematiche, perché attinenti alla validità delle comunicazioni a fini processuali e non ai profili di protezione dei dati personali.

Valutazione sulla gravità e scelta della misura

Pur accertando l’illiceità del trattamento, il Garante ha qualificato la violazione come “minore” ai sensi del considerando 148 GDPR e ha escluso l’applicazione della sanzione amministrativa pecuniaria. La valutazione è stata fondata su diversi elementi attenuanti, tra cui:

• assenza di dolo e presenza di sola colpa;
• cooperazione costante dell’avvocato con l’Autorità;
• misure correttive dichiarate, tra cui procedure di verifica dei dati e riduzione dei dati identificativi;
• episodicità dell’evento;
• assenza di beneficio finanziario derivante dalla condotta;
• mancanza di precedenti violazioni pertinenti.

Provvedimento finale

In esito al procedimento, il Garante ha:

• dichiarato l’illiceità del trattamento effettuato dall’avvocato per violazione degli artt. 5 e 6 GDPR;
• ammonito l’avvocato ai sensi dell’art. 58, par. 2, lett. b), GDPR;
• disposto la pubblicazione del provvedimento sul sito dell’Autorità;
• ordinato l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità.

È stato inoltre indicato che avverso il provvedimento è possibile proporre opposizione dinanzi all’autorità giudiziaria ordinaria nei termini di legge.