[doc. web n. 10103672]

Provvedimento del 19 dicembre 2024

Registro dei provvedimenti
n. 798 del 19 dicembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, “Regolamento generale sulla protezione dei dati” (di seguito “Regolamento”);

VISTO il decreto legislativo 30 giugno 2003, n. 196, recante Codice in materia di protezione dei dati personali (di seguito, “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “Regolamento n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal Segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali (doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo.

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il sig. XX ha lamentato la violazione della normativa in materia di protezione dei dati personali da parte dell’Agenzia delle entrate–Riscossione – Direzione provinciale di XX (“Agenzia” o “Ader”), in merito alla notifica di due atti di pignoramento presso terzi datati XX (procedure esecutive nn. XX e XX) rispettivamente a due soggetti privati (i sigg.ri XX e XX) con i quali il reclamante aveva stipulato, diversi anni prima, un contratto di locazione ad uso abitativo poi oggetto di disdetta, in relazione ad un immobile successivamente alienato. Al reclamo sono stati allegati una serie di atti, tra cui il contratto di locazione, con durata dal XX al XX, registrato in data XX presso l’Agenzia delle entrate - Direzione Provinciale di XX (XX), la disdetta intervenuta in data 1/8/2016, nonché il contratto di compravendita (registrato il XX) con cui il reclamante ha successivamente alienato il medesimo bene immobile.

Il reclamante ha quindi lamentato che al momento della notifica dei due atti di pignoramento non sussisteva più alcun rapporto giuridico con i terzi pignorati in questione, con la conseguenza che l’Agenzia avrebbe illecitamente comunicato a questi ultimi dati e informazioni ad esso riferiti.

2. L’attività istruttoria.

Nel riscontrare la richiesta di informazioni formulata da questo Dipartimento (con nota del 4 maggio u.s.) l’Agenzia, con nota del 18 maggio 2023, ha dichiarato, in particolare, che:

“l’art.18 del D.L. n. 112/1999, prevede che, i Concessionari della riscossione sono abilitati ad accedere anche per via telematica a tutti i dati rilevanti a tali fini, anche se detenuti da Uffici Pubblici con facoltà di prendere visione e di estrarre copia degli atti riguardanti i beni dei debitori iscritti a ruolo e i coobbligati, nonchè di ottenere, in carta libera, le relative certificazioni. Inoltre, i concessionari, per i medesimi fini, sono altresì autorizzati ad accedere alle informazioni disponibili presso il sistema informativo del Ministero delle finanze e presso i sistemi informativi degli altri soggetti creditori, salve le esigenze di riservatezza e segreto opponibili in base a disposizioni di legge o di regolamento” (p. 2);

“Nell’ambito delle attività istruttorie prodromiche al pignoramento (…), è stata effettuata da un dipendente di Ader, autorizzato al trattamento dei dati personali con abilitazione ad operare, una consultazione puntuale dei dati dell’Anagrafe Tributaria, mediante accesso al portale A.R.CO. on-line in data 12/09/2022” (p. 3);

“nella sezione “Atti del Registro (…) è stato rilevato l’atto XX registrato presso l’U.T. di XX il XX, nel quale il contribuente figura come Dante Causa (Locatore) in Negozio di “LOCAZIONE DI IMMOBILE AD USO ABITATIVO””. Al riguardo, l’Agenzia ha altresì precisato che “i dati esposti nella sezione d’interesse (Atti del Registro), sono limitati alla mera elencazione dei negozi giuridici registrati (…) mentre non è ricavabile dalla stessa fonte, la durata e/o la scadenza del contratto” (p. 3);

“Tale informazione riferita all’area “Atti del Registro”, sulla scorta delle linee guida diramate nel tempo dall’Agenzia delle entrate e dal Ministero delle Finanze (…) (Circolare n.98E del 20/11/200[1]; Circolare 215 del 27/11/2000), è stata individuata tra quelle che rivestono carattere di “primaria importanza” a salvaguardia del credito erariale” (p. 4);

“Le operazioni di trattamento in esame, che non sono riconducibili a processi decisionali automatizzati di cui all’art 22 del GDPR sono state svolte dall’operatore in modalità puntuale per il codice fiscale del debitore con l’ausilio degli strumenti e applicativi in uso rispettivamente all’Ufficio Morosità Rilevanti (…) e all’Ufficio Procedure presso Terzi (…)” (p. 4);

la Circolare del Gruppo Equitalia n.92 del 1/7/2015 prevede che “nel caso di canoni di locazione risultanti da contratto registrato nei due anni antecedenti alla notifica della cartella di pagamento, la procedura esecutiva sul bene immobile/mobile registrato, debba essere sempre avviata, previo esame del contratto di locazione medesimo e conferma dell'attuale possidenza da parte del debitore del bene immobile/mobile registrato ceduto in locazione” (p. 5);

“Per i contratti registrati oltre i due anni, invece, se il bene immobile/mobile registrato risulta ancora di proprietà del debitore, prima di procedere esecutivamente, si prevede l’invio al terzo locatario di richiesta di dichiarazione stragiudiziale ai sensi dell’art. 75 bis del DPR 602/73” (p. 5);

“Nel caso in esame, la Direzione Regionale XX ha segnalato anomalie nelle verifiche previste rispetto alle modalità precedentemente descritte ed in uso” e “Ad esito della verifica richiesta alla Direzione Regionale XX, che ha [evidenziato] l’anomalia segnalata, il DPO ha provveduto a richiedere, in data 12.05.2023 alla Direzione Centrale Strategia di Riscossione, uno specifico intervento di sensibilizzazione del personale alla corretta applicazione della normativa interna per i risvolti associati alla protezione dei dati personali” (p. 6);

“La circostanza della cessazione del contratto è stata in seguito rilevata ed acquisita con il riscontro negativo fornito dal terzo ad esito della procedura (…) e posta a corredo della eventuale domanda di definizione per inesigibilità della quota secondo i requisiti previsti dalla vigente normativa. Si evidenzia, pertanto, che la dichiarazione negativa resa dal terzo ha avuto l’effetto di porre fine alla procedura presso terzi in parola, come da comunicazione della Direzione Regionale XX del 12.05.2023” (p. 6);

“non sono state registrate altre anomalie della specie trattata” (p. 6).

Sulla base degli elementi acquisiti, l’Ufficio ha notificato all’Agenzia, con nota del 15 settembre 2023, ai sensi dell’art. 166, comma 5, del Codice, l’avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento, contestando all’Agenzia la violazione degli artt. 5, par. 1, lett. a) e d), e 6, par. 1, lett. e), del Regolamento, nonché dell’art. 2-ter del Codice, in quanto, avendo omesso di verificare la vigenza e l’attualità della possidenza in capo al reclamante del bene immobile, ha notificato - anche in difformità rispetto alle indicazioni contenute nella richiamata Circolare n. 92 del 10/7/2015 - i due atti di pignoramento presso terzi in questione a soggetti che, non essendo più conduttori dell’immobile (ormai alienato) già di proprietà del reclamante, non potevano rivestire la qualifica di terzi pignorati.

In tale contesto, l’Ufficio ha invitato l’Agenzia a produrre scritti difensivi o documenti ovvero a chiedere di essere sentita dall’Autorità (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla legge n. 689 del 24 novembre 1981). L’Agenzia, con nota dell’11 ottobre 2023, ha trasmesso le proprie memorie difensive, rappresentando, in particolare, che:

- “Il trattamento specifico contestato attiene alla gestione dei pignoramenti ai sensi del 72-bis” del d.P.R. 29 settembre 1973, n. 602, “contenenti l’ordine di pagare direttamente all’agente della riscossione rivolto al terzo debitore, individuato sulla scorta delle informazioni acquisite dalla anagrafe tributaria ovvero dalla anagrafe dei rapporti finanziari” (p. 2);

- “Le principali attività del trattamento in questione attengono al reperimento delle informazioni desunte da banche dati - a norma dell’art. 18 del D.L. n. 112/1999 e dell’art. 3 del decreto-legge 22 ottobre 2016, n. 193 - effettuato dai soli operatori dotati di specifico profilo abilitativo e nello svolgimento delle conseguenti procedure esecutive di riscossione ovvero per la predisposizione e notifica dei pignoramenti presso terzi” (p. 2);

- “Nell’ambito di queste complesse procedure, si innesta la circolare interna n. 92 del 1/07/2015 avente lo scopo di fornire specifiche indicazioni riguardanti la procedura esecutiva mobiliare presso il debitore nonché la valenza da attribuire ad alcune “Aree di informazione” scaturenti dall’interrogazione di Anagrafe Tributaria” (p. 2);

- “la Direzione regionale XX, caratterizzata dalla presenza di elevati volumi operativi, ha posto in essere nel periodo 1.01.2023 al 30.09.2023 n 31.634 atti di pignoramento presso terzi” (p. 3);

- “il trattamento è da considerarsi su larga scala e per lo stesso è stata infatti effettuata apposita valutazione di rischio (…) per la quale l’Ente, tenuti in considerazione i dati trattati, le modalità di trattamento definite e le misure di sicurezza, sulla base delle analisi effettuate, non ha ravvisato rischi residuali significativi per i diritti e le libertà degli interessati” (p. 3);

- “nonostante le diverse misure di sicurezza previste e poste in essere da AdeR, nella vicenda oggetto di reclamo si è verificata una violazione dei dati personali relativa ad un unico soggetto interessato, ascrivibile a mero errore umano. Infatti, la violazione è occorsa in conseguenza della mancata verifica della vigenza e dell’attualità dei rapporti in essere prima di eseguire due pignoramenti presso terzi, ad esito delle risultanze derivanti dalla consultazione puntuale dei dati dell’Anagrafe Tributaria, mediante accesso al portale A.R.CO, realizzando una comunicazione a soggetti terzi di dati personali del reclamante” (cfr. p. 3). Al riguardo, sulla base di quanto segnalato dalla Direzione regionale XX, l’Agenzia ha dichiarato che “si è verificato un errore isolato commesso dall’operatore autorizzato al trattamento che, per mera negligenza, nelle fasi propedeutiche all’attivazione dei pignoramenti citati, non ha completato i controlli necessari, in particolare, per confermare gli elementi previsti dalla normativa interna dell’Ente volti ad accertare la persistenza del rapporto di locazione tra il terzo pignorato e il contribuente risultante dall’archivio dell’Anagrafe tributaria” (p. 4);

- “La circolare interna n. 92 del 2015, per quanto di specifico interesse, con riferimento ai contratti di locazione dal lato attivo, stabiliva infatti che “nel caso di canoni di locazione risultanti da contratto registrato nei due anni antecedenti alla notifica della cartella di pagamento, la procedura esecutiva sul bene immobile/mobile registrato, debba essere sempre avviata, previo esame del contratto di locazione medesimo e conferma dell'attuale possidenza da parte del debitore del bene immobile/mobile registrato ceduto in locazione. Per i contratti registrati oltre i due anni, invece, se il bene immobile/mobile registrato risulta ancora di proprietà del debitore, prima di procedere esecutivamente, si prevede l’invio al terzo locatario di richiesta di dichiarazione stragiudiziale ai sensi dell’art. 75 bis del DPR 602/73” (p. 3);

- “le operazioni di trattamento oggetto della violazione sono state svolte in modalità puntuale e non massiva dall’operatore autorizzato per il codice fiscale del debitore interessato” (pp. 3 e 4);

- “la procedura di pignoramento presso terzi nei confronti del debitore è stata attivata (…) senza il preventivo svolgimento da parte dell’operatore delle attività di verifica che sono esplicitamente previste dalla normativa interna e dalle procedure sopra citate” (p. 4);

- “I dati personali del contribuente interessato, riportati nei documenti trasmessi a due soggetti terzi pignorati, appartengono alla categoria dei dati comuni di cui [all’] art. 4 del GDPR e sono riferibili a: nome e cognome, data e luogo di nascita, residenza, codice fiscale e posizione debitoria” (p. 4);

- “gli stessi atti [di pignoramento presso terzi] sono stati notificati ai Terzi in data 08/02/2023 ma prontamente revocati il 25/02/2023 a seguito di una dichiarazione negativa resa da uno dei terzi pignorati” (p. 4);

- “Come in precedenza comunicato dalla competente Direzione regionale XX non sono stati registrati altri errori operativi della specie in esame” (p. 4);

- la violazione è “ascrivibile esclusivamente alla negligente disapplicazione, da parte dell’operatore autorizzato, delle verifiche previste dalla circolare interna n. 92 del 2015 dell’Ente per quanto riferibile ai controlli propedeutici all’attivazione dei pignoramenti presso terzi”. Verifiche che l’operatore non ha posto in essere “per mera colpa”. L’errore va quindi ricondotto “a uno di quei “fattori umani” non sempre totalmente misurabili, prevedibili e/o prevenibili che, in quanto tali, collocano il loro verificarsi in quella percentuale di “rischio residuo” mai del tutto eliminabile, a dispetto di qualsiasi “adeguata” misura tecnico-organizzativa di cui possa essersi dotato il titolare del trattamento” (p. 5);

- “il trattamento in questione è stato prontamente interrotto dalla Direzione regionale XX a esito della dichiarazione negativa resa dal terzo a seguito di richiesta specificamente prevista nell’atto di pignoramento presso terzi” (p. 5);

- “il Responsabile della protezione dati ha provveduto a richiedere, in data 12/05/2023, alla Direzione centrale Strategie e Servizi di Riscossione uno specifico intervento di sensibilizzazione del personale alla corretta applicazione della normativa interna con particolare riferimento agli aspetti connessi alla protezione dei dati personali e alle possibili conseguenze negative sui diritti e le libertà degli interessati”; la predetta Direzione “ha trasmesso, per il tramite delle Reti territoriali dell’Ente, una nota (…) finalizzata a richiamare l’attenzione delle Direzioni regionali sulla necessità di prevenire potenziali rischi per i diritti e le libertà dei cittadini interessati”. Nello specifico “è stata richiamata l’attenzione degli operatori al rispetto delle verifiche obbligatorie previste dalla circolare n. 92 del 2015 nelle attività di trattamento connesse all’analisi delle possidenze dei contribuenti attraverso la consultazione dell’Anagrafe Tributaria nel trattamento di pignoramento presso terzi” (p. 6);

- le “misure tecniche ed organizzative generali adottate dall’Ente” si articolano in “un complesso “Sistema di Gestione per la Protezione dei dati personali” (anche “SGPD”), presente in apposita sezione della Intranet”, “una periodica e generalizzata attività di formazione e sensibilizzazione del personale”, “un articolato sistema di policies e procedure”, “la revisione periodica della documentazione e dell’adeguatezza delle misure tecniche e organizzative implementate”, “l’implementazione di progetti (…) strutturati per supportare una gestione attiva e partecipata dei processi integrati di data governance e data protection” (p. 7);

- l’Agenzia delle entrate - Riscossione “applica il codice deontologico dei concessionari e degli ufficiali di riscossione ai sensi dell’art. 8, comma 3, del D. Lgs. 112/1999 con cui sono definiti gli obblighi di correttezza a cui gli stessi devono attenersi nella gestione delle procedure” ed “è certificata ISO 27001 e ISO 9001” (p. 9);

- “l’Ente ha ritenuto, salvo diverso parere dell’Autorità, che il verificarsi di una “distrazione”, per semplice stanchezza e/o per altre condizioni personali dell’operatore autorizzato, nell’omettere l’attuazione di alcuni controlli previsti dalle procedure interne, non possa costituire un indice della mancanza nell’Ente medesimo di adeguate misure tecniche-organizzative prescritte dall’art. 32 del Regolamento” (p. 9).

3. Esito dell’attività istruttoria.

3.1. Normativa applicabile.

La normativa in materia di protezione dei dati personali impone l’applicabilità, ad ogni trattamento, dei principi elencati dall’art. 5 del Regolamento, tra cui quelli di “liceità e correttezza”, nonché di “esattezza” secondo cui, in particolare, i dati personali devono essere “esatti e, se necessario, aggiornati” e “devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono stati trattati” (art. 5, par. 1, lett. a) e d), del Regolamento).

Con particolare riferimento al caso di specie, si evidenzia che il trattamento dei dati personali è stato posto in essere dall’Agenzia per finalità di riscossione, nell’ambito dell’esecuzione di un compito di interesse pubblico e trova la sua base giuridica nella disciplina di settore del diritto nazionale (art. 6, parr. 1, lett. e), e 3, del Regolamento, art. 2-ter del Codice, e spec. art. 72-bis del d.P.R. n. 602/1973).

Inoltre, per quanto attiene, in particolare, la comunicazione di dati personali a terzi, posto che l’art. 2-ter, comma 4, del Codice chiarisce che per “comunicazione” si intende “il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato, dal rappresentante del titolare nel territorio dell'Unione europea, dal responsabile o dal suo rappresentante nel territorio dell'Unione europea, dalle persone autorizzate, ai sensi dell'articolo 2-quaterdecies, al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile, in qualunque forma, anche mediante la loro messa a disposizione, consultazione o mediante interconnessione”, il medesimo articolo dispone altresì che “La base giuridica prevista dall' articolo 6, paragrafo 3, lettera b), del regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” e che “La diffusione e la comunicazione di dati personali, trattati per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, a soggetti che intendono trattarli per altre finalità sono ammesse unicamente se previste ai sensi del comma 1 o se necessarie ai sensi del comma 1-bis” (commi 1 e 3).

In tale ottica, al fine di garantire un trattamento corretto e trasparente nel rispetto dell’interessato, tenendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati, è opportuno che il titolare del trattamento metta in atto misure tecniche e organizzative adeguate (art. 24 del Regolamento).

3.2. Valutazioni.

Dall’accertamento compiuto sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché dalle successive valutazioni dell’Ufficio, risulta che l’Agenzia, in violazione dei principi di liceità, correttezza ed esattezza (art. 5, par. 1, lett. a) e d), e 6, par. 1, lett. e), del Regolamento, nonché art. 2-ter del Codice ha illecitamente comunicato ai sigg.ri XX e XX i dati personali riferiti al reclamante, in quanto i predetti soggetti sono stati erroneamente qualificati quali terzi debitori dello stesso sulla base di due inesatti presupposti, ossia la vigenza del contratto di locazione stipulato nel XX, e la permanenza della proprietà, in capo al reclamante, del bene immobile precedentemente locato.

Come risulta dagli atti e, in particolare, dalle dichiarazioni rese dal titolare del trattamento, tale erroneo convincimento è maturato in quanto non sono state effettuate le necessarie verifiche sulla vigenza del contratto di locazione e sull’attualità della possidenza dell’immobile, al fine di individuare correttamente i beni pignorabili, prima dell’avvio della procedura esecutiva, in violazione dell’art. 5, par. 1, lett. d), del Regolamento. Risulta, infatti, che, nonostante il consistente lasso di tempo trascorso dalla registrazione del contratto di locazione alla notifica dei due atti di pignoramento in questione (ossia dal XX al 2023) – non sono state accertate preventivamente non solo la vigenza del rapporto locatizio, nel frattempo cessato, tra il reclamante e i sigg.ri XX e XX, ma anche l’attualità della possidenza, in capo al reclamante, dell’immobile ormai alienato; verifica che avrebbe evitato la comunicazione a terzi lamentata dal reclamante.

Inoltre, si aggiunga che, al fine di verificare l’attualità delle informazioni ricavabili dall’applicativo ARCO, riferibili ai canoni di locazione risultanti dal contratto precedentemente registrato, nella citata circolare n. 92/2015 sono individuate misure per dare attuazione al principio di esattezza dei dati da utilizzare nell’ambito dei pignoramenti dei canoni percepiti dal debitore. Tali misure, prevedono, con specifico riferimento agli adempimenti necessari ai fini dell’avvio di una procedura esecutiva per i contratti registrati oltre i due anni, “l’invio al terzo locatario di richiesta di dichiarazione stragiudiziale ai sensi dell’art. 75 bis del DPR 602/73” nel caso in cui “il bene immobile/mobile registrato risult[i] ancora di proprietà del debitore, prima di procedere esecutivamente”, (invio peraltro non effettuato nel caso di specie); ciò, senza tuttavia richiamare, anche per tale fattispecie, “l’esame del contratto di locazione medesimo” che viene richiesto, invece, espressamente solo “nel caso di contratto registrato nei due anni antecedenti alla notifica della cartella di pagamento”, pur a fronte di un minor lasso di tempo intercorso rispetto all’avvio della procedura. Da tale esame si sarebbe, infatti, potuto evincere che la durata del contratto di locazione era in origine fissata sino al 31 gennaio 2020, salva la disdetta poi intervenuta già nell’agosto 2016.

Al riguardo, si osserva, inoltre, che il titolare del trattamento non ha comprovato di aver posto in essere ulteriori misure tecniche e organizzative volte a sollecitare e verificare, prima dell’avvio dell’azione esecutiva, il rispetto, da parte dei dipendenti, delle predette indicazioni fornite nella circolare per assicurare l’esattezza dei dati necessari al fine di individuare i beni da pignorare. Tali indicazioni, infatti, seppur parzialmente inadeguate, avrebbero in ogni caso evitato l’indebita comunicazione di dati lamentata nel reclamo.

Da quanto sopra osservato deriva, pertanto, l’inadeguatezza e l’insufficienza delle indicazioni di cui alla richiamata circolare e, più in generale, delle misure adottate al fine di assicurare il pieno rispetto del principio di esattezza nel trattamento dei dati effettuato nell’ambito dei pignoramenti che, nel caso in esame, avrebbe evitato l’indebita comunicazione a terzi di dati relativi alla situazione debitoria del reclamante, anche con potenziale pregiudizio alla sua reputazione, in violazione dei principi di liceità, correttezza e di esattezza di cui agli artt. 5, par. 1, lett. a) e d), e 6, par. 1, lett. e), del Regolamento, nonché dell’art. 2-ter del Codice.

4. Conclusioni.

Alla luce delle valutazioni sopra richiamate, tenuto conto delle dichiarazioni rese dal titolare del trattamento nel corso dell’istruttoria ˗ della cui veridicità si può essere chiamati a rispondere ai sensi dell’art. 168 del Codice ˗ si osserva che gli elementi forniti dal titolare del trattamento nelle memorie difensive, seppur meritevoli di considerazione, non consentono di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del Regolamento del Garante n. 1/2019, non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

Pertanto, si confermano le valutazioni preliminari dell’Ufficio e si rileva l’illiceità del trattamento di dati personali effettuato dall’Agenzia delle entrate - Riscossione sul presupposto che il trattamento dei dati personali del reclamante - e, in particolare, la comunicazione degli stessi a terzi - è stato posto in essere in maniera non conforme ai principi di liceità, correttezza, e di esattezza, in assenza di un idoneo presupposto normativo, in violazione degli artt. 5, par. 1, lett. a) e d), 6, par. 1, lett. e) del Regolamento e dell’art. 2-ter del Codice.

5. Misure correttive (art. 58, par. 2, lett. d) del Regolamento).

Dall’istruttoria condotta è emersa, in particolare, l’inadeguatezza delle misure adottate dall’Agenzia nell’ambito delle procedure esecutive per assicurare il pieno rispetto del principio di esattezza nel trattamento dei dati personali riferiti, in particolare, a contratti di locazione.

L’art. 58, par. 2, lett. d), del Regolamento prevede che il Garante ha il potere correttivo di “ingiungere al titolare del trattamento […] di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine”.

In tale quadro, in ragione dell’illiceità del trattamento effettuato, si ritiene necessario ingiungere all’Agenzia, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ove non vi abbia già provveduto, di adottare ulteriori misure per assicurare il rispetto del principio di esattezza in contesti analoghi a quello in esame, quantomeno prevedendo che:

- con riferimento agli adempimenti necessari ai fini dell’avvio di una procedura esecutiva, l’esame del contratto di locazione sia espressamente previsto anche per i contratti di locazione registrati oltre i due anni antecedenti alla notifica della cartella di pagamento;

- siano introdotti meccanismi procedurali volti a comprovare l’esecuzione, da parte del dipendente, delle previste verifiche sulla vigenza dei contratti di locazione e sull’attualità della possidenza dell’immobile.

Ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, l’Agenzia dovrà, inoltre, provvedere a comunicare a questa Autorità le iniziative intraprese al fine di dare attuazione a quanto sopra ordinato ai sensi del citato art. 58, par. 2, lett. d) del Regolamento entro trenta giorni dalla notifica del presente provvedimento.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i) e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del Regolamento del Garante n. 1/2019).

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. Considerato che, nel caso di specie, tutte le violazioni, relative agli artt. 5 e 6 del Regolamento, nonché 2-ter del Codice, sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

La predetta sanzione amministrativa pecuniaria inflitta, in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto complessivamente conto del fatto che:

la violazione, che ha riguardato un solo interessato, è avvenuta in un contesto organizzativo caratterizzato dalla presenza di elevati volumi operativi, nell’ambito del quale la Direzione regionale XX ha posto in essere nel periodo 1.01.2023 al 30.09.2023 n. 31.634 atti di pignoramento presso terzi e nell’ambito del contesto in esame, non sono stati registrati altri errori operativi della specie in esame (cfr. nota dell’11 ottobre 2023, pp. 3 e 4; art. 83, par. 2, lett. a), del Regolamento);

la condotta ha natura colposa (art. 83, par. 2, lett. b), del Regolamento);

il trattamento in questione ha avuto ad oggetto dati personali che, ancorché non appartenenti alle categorie particolari di cui all’art. 9 del Regolamento o coincidenti con quelli relativi a condanne penali o reati di cui all’art. 10 del Regolamento, attengono comunque alla sfera della vita privata dell’interessato e presentano una connotazione di particolare sensibilità e delicatezza, riguardando la situazione debitoria dell’interessato (art. 83, par. 2, lett. g), del Regolamento);

si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60).

Ciò premesso, si reputa che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze attenuanti:

non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento o precedenti provvedimenti di cui all’art. 58 del Regolamento (art. 83, par. 2, lett. e), del Regolamento);

il titolare del trattamento ha prestato collaborazione all’Autorità nel corso dell’istruttoria, anche provvedendo a sensibilizzare tutti i dipendenti in merito alla corretta applicazione della disciplina in materia di trattamento dei dati personali e ai connessi adempimenti, in particolare richiamando l’attenzione degli operatori al rispetto delle verifiche obbligatorie previste dalla Circolare n. 92 del 2015; ciò, tuttavia, come sopra illustrato, in maniera non sufficiente ad assicurare il pieno rispetto del principio di esattezza in tale contesto (cfr. nota del 18 maggio 2023, p. 6; art. 83, par. 2, lett. f), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 40.000 (quarantamila) per la violazione degli artt. 5, par. 1, lett. a) e d), e 6, par. 1, lett. e), del Regolamento, nonché dell’art. 2-ter del Codice, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito internet del Garante. Ciò in considerazione della circostanza che il trattamento ha riguardato, nel caso di specie, dati personali inesatti, con la conseguente indebita comunicazione a terzi di informazioni caratterizzate da particolare sensibilità e delicatezza, quali quelle inerenti alle condizioni debitorie del reclamante, in assenza di adeguate misure idonee a ridurre i rischi per i diritti e le libertà degli interessati.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) e 83, dichiara illecita la condotta tenuta dall’Agenzia delle entrate-Riscossione, con sede in Via Giuseppe Grezar, n. 14, 00142 Roma, C.F. 13756881002, descritta nei termini di cui in motivazione, consistente nella la violazione degli artt. 5, par. 1, lett. a) e d), e 6, par. 1, lett. e), del Regolamento, nonché dell’art. 2-ter del Codice;

ORDINA

all’Agenzia delle entrate-Riscossione, in persona del legale rappresentante pro tempore, con sede in Via Giuseppe Grezar, n. 14, 00142 Roma, C.F. 13756881002, di pagare la somma di euro 40.000 (quarantamila).

INGIUNGE

- alla predetta Agenzia, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 40.000,00 (quarantamila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. n. 689/1981. Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento - sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

- alla predetta Agenzia, ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, di adottare ulteriori misure per assicurare il rispetto del principio di esattezza nel contesto in esame, fornendo, altresì, al Garante, entro il medesimo termine, ai sensi degli artt. 58, par. 1, lett. a), del Regolamento e 157 del Codice, un riscontro adeguatamente documentato in merito alle iniziative intraprese al fine di dare attuazione a quanto ordinato.

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

- ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi degli artt. 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 19 dicembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi