Ordinanza ingiunzione o revoca n. 6 del 16/01/2026

Ostilia S.r.l.: ammonimento per invio e-mail in chiaro con dati personali e informazioni debitorie

Il provvedimento riguarda Ostilia S.r.l., destinataria di un reclamo per la comunicazione a più soggetti, tramite e-mail, di dati personali della reclamante e di informazioni relative a una sua posizione debitoria connessa al servizio idrico. L’Autorità ha svolto un’istruttoria sulle modalità di trasmissione del messaggio e sui presupposti di liceità del trattamento.

Origine del procedimento e contenuto del reclamo

Il procedimento trae origine da un’istanza del 28 luglio 2023 con cui l’interessata lamentava l’invio, il 9 maggio 2023, di una comunicazione e-mail dal titolo riferito alla situazione di nuova bollettazione dei consumi idrici 2021/2022 e all’avvio di azioni giudiziarie per il recupero dei crediti. La e-mail era stata inviata a circa 37 destinatari, tra cui la reclamante, e riportava in chiaro gli indirizzi di posta elettronica dei recapiti coinvolti.

La comunicazione richiamava posizioni debitorie asseritamente vantate da Ostilia S.r.l. nei confronti dei destinatari, con riferimento ai consumi idrici dell’immobile situato nel consorzio di Campo di Mare, nonché possibili azioni giudiziarie e iscrizione a ruolo di decreti ingiuntivi.

Attività istruttoria e riscontri della società

L’Ufficio ha avviato l’istruttoria con due richieste di informazioni. La società ha rappresentato di gestire da lungo tempo le condutture idriche di Campo di Mare in forza di contratti con ACEA ATO2 e di trovarsi in un contesto organizzativo complesso, privo di dipendenti e gravato da rilevanti difficoltà finanziarie e gestionali. Ha riferito, inoltre, di non aver effettuato letture e fatturazioni per un lungo periodo, di aver subito numerosi decreti ingiuntivi e di essere sottoposta a procedura di concordato preventivo.

Con specifico riferimento all’episodio contestato, Ostilia S.r.l. ha dichiarato di aver inviato nel maggio 2023 la comunicazione a 37 destinatari per preavvertire gli utenti della necessità di regolarizzare la propria posizione, precisando che l’esposizione dei dati dei singoli destinatari sarebbe dipesa da un mero errore di digitazione.

Violazioni accertate dal Garante

Il Garante ha ritenuto che la condotta integrasse un trattamento illecito di dati personali. In particolare, ha ribadito che l’indirizzo e-mail di una persona fisica costituisce dato personale ai sensi dell’art. 4, n. 1, GDPR, anche se non riporta per esteso il nome dell’interessato.

L’Autorità ha accertato che:

• gli indirizzi di posta elettronica dei destinatari erano visibili in chiaro a tutti i soggetti coinvolti;
• la comunicazione non era stata effettuata in forma individualizzata né con accorgimenti idonei a impedire la conoscibilità reciproca dei dati, come la copia conoscenza nascosta;
• il messaggio rendeva conoscibile a terzi anche la situazione debitoria della reclamante;
• la trasmissione era avvenuta in assenza del consenso dell’interessata e senza altro idoneo presupposto di liceità.

Norme applicate e qualificazione della violazione

L’Autorità ha ravvisato la violazione dei principi di cui all’art. 5, par. 1, lett. a) e f), GDPR, relativi a liceità, correttezza, trasparenza e integrità/riservatezza, nonché dell’art. 6, par. 1, lett. a), GDPR, in tema di consenso quale base giuridica del trattamento.

È stato inoltre richiamato il fatto che il trattamento comprende anche la comunicazione o la messa a disposizione di dati personali ai sensi dell’art. 4, par. 1, n. 2, GDPR. Il Garante ha evidenziato che l’invio cumulativo e in chiaro a una pluralità di destinatari non era conforme ai principi applicabili e avrebbe richiesto l’adozione di misure idonee a evitare la divulgazione involontaria dei dati.

Valutazioni ai fini sanzionatori

Pur dando atto che la violazione poteva integrare una fattispecie sanzionabile ai sensi dell’art. 83, par. 5, lett. a), GDPR, il Garante ha valutato diversi elementi ex art. 83, par. 2:

• l’episodio ha riguardato un solo messaggio e non categorie particolari di dati;
• la condotta è stata attribuita a un errore materiale di digitazione in un contesto organizzativo problematico;
• la società ha collaborato con l’Autorità;
• non risultavano precedenti violazioni per la medesima fattispecie;
• la società è soggetta a concordato preventivo, circostanza che rendeva difficilmente esigibile una sanzione pecuniaria e non utile al rafforzamento del rispetto delle norme, secondo il richiamo alla giurisprudenza della CGUE.

Alla luce di tali elementi, la fattispecie è stata qualificata come violazione minore, per la quale il considerando 148 del GDPR consente di ricorrere all’ammonimento in luogo della sanzione pecuniaria.

Provvedimenti adottati

Il Garante ha quindi:

• rilevato l’illiceità del trattamento effettuato da Ostilia S.r.l. per violazione degli artt. 5, par. 1, lett. a) e f), e 6, par. 1, lett. a), GDPR;
• ammonito la società ai sensi dell’art. 58, par. 2, lett. b), GDPR e dell’art. 143 del Codice privacy;
• disposto l’annotazione delle violazioni e delle misure adottate nel registro interno dell’Autorità;
• disposto la pubblicazione del provvedimento sul sito istituzionale.

Rimedi impugnatori

Contro il provvedimento è ammessa opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.