[doc. web n. 10237805]

Provvedimento del 26 febbraio 2026

Registro dei provvedimenti
n. 118 del 26 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Luigi Montuori segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

Relatore la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. Il reclamo.

È pervenuto a questa Autorità un reclamo da parte del XX relativo ad un presunto trattamento illecito di dati personali da parte di XX, il quale avrebbe inviato al suo indirizzo PEC costituito presso l’Ordine XX di Napoli e presente sul pubblico elenco INI-PEC, ” … sin dal 2020, molti messaggi indesiderati e del tutto scorrelati con la mia attività professionale……, …..nonostante abbia più volte diffidato [lo stesso] dal ripetere tale comportamento”.

Il reclamante ha rappresentato inoltre che “...la diffida ad utilizzare la mia pec professionale è stata da me costantemente motivata …. con…[la] diffusione, a terzi e contro la mia volontà, di informazioni personali e riservate riguardanti me e/o i miei figli, minorenni, essendo il mio indirizzo pec letto anche da collaboratori e consulenti (commercialisti, avvocati, ecc.)...”; nonché “di aver sollecitato le controparti, per ogni comunicazione estranea alla professione di XX (cioè tutte quelle elencate) a scrivere all’indirizzo postale di residenza. Indirizzo ben noto alle controparti, comunque fornito contestualmente alle mie diffide (p.e. il 10set20) a non scrivere sulla mia pec professionale e comunque ampiamente utilizzato (…..). Pertanto, non ho indicato indirizzi pec alternativi per l’invio delle comunicazioni.”.

2. L’attività istruttoria.

In data 4 settembre 2024, questa Autorità ha chiesto al reclamante informazioni circa la natura delle comunicazioni ricevute da parte del legale e se avesse provveduto ad indicare un indirizzo PEC alternativo per l’invio delle comunicazioni.

In data 9 settembre 2024 il reclamante ha riscontrato la richiesta di informazioni, allegando una tabella dalla quale risultava, in particolare, che XX, in data 31 dicembre 2020, gli aveva inviato una comunicazione all’indirizzo PEC dichiarato dal reclamante come costituito presso l’Ordine XX di Napoli e presente sul pubblico elenco INI-PEC, avente per oggetto: "punti 10-12 della "comparsa di costituzione e risposta" del 23.6.21 a firma dI, XX".

Preso atto di questa precisazione, l’Ufficio in data 26 novembre 2024 chiedeva a XX di fornire entro 15 giorni dal ricevimento della lettera le seguenti informazioni:

- ogni elemento utile in merito al trattamento effettuato, con particolare riferimento alla base normativa di invio della PEC, ai criteri di scelta dell’indirizzo PEC del reclamante nonché alla natura degli atti contenuti in tali comunicazioni e alle relative date di invio delle stesse;

-ogni altra deduzione ritenuta rilevante ai fini della valutazione, da parte di questa Autorità, della fondatezza o meno del reclamo.

Non ottenendo riscontro nei tempi richiesti, questa Autorità, in data 15 maggio 2025, ai sensi dell’articolo 157 del Codice, rinnovava l’invito a fornire quanto richiesto entro 10 giorni dal ricevimento della richiesta.

Con nota ricevuta in data 26 maggio 2025 XX ha fornito il riscontro richiesto rappresentando, tra l’altro che: “… Lo Scrivente, nella propria qualità di legale difensore della sig.ra XX e nell'ambito di un recupero di somme, per contro della propria cliente, ha utilizzato la PEC del dott. XX per trasmettergli una diffida ad adempiere e per poi notificare il decreto ingiuntivo (entrambi allegati). Si allegano alla presente gli estratti Reginde e INIPEC da cui risultava l'indirizzo dello stesso come inserito nei pubblici registri e perciò utilizzabile allo scopo di inoltrare comunicazioni. Non si comprende il motivo della segnalazione e ci si riserva ogni azione a propria tutela contro il segnalante. L'utilizzo della PEC per la comunicazione di corrispondenza professionale e giudiziale/stragiudiziale avviene in base alla legge e non vi è alcuna violazione che possa essere imputata allo scrivente.…….”.

In data 3 giugno 2025 giungeva all’Autorità una nota del reclamante che, contestando le ragioni addotte dall’avvocato nella nota difensiva, confermava le motivazioni del reclamo.

3. L’avvio del procedimento e le memorie difensive.

Esaminati gli atti dell’istruttoria preliminare, le giustificazioni addotte da XX sono apparse non idonee a legittimarne la condotta alla stregua della disciplina in materia di protezione dei dati personali, per quanto di seguito rappresentato.

Il d.lgs. 10 ottobre 2022 n. 149 (c.d. Legge Cartabia) ha introdotto nuove disposizioni in tema di procedure di notifica di atti, fra cui le modifiche all’articolo 137 c.p.c. e alla legge 21 gennaio 1994, n. 53 recante disposizioni sulla facoltà di notificazioni di atti civili, amministrativi e stragiudiziali per gli avvocati e procuratori legali.

I correttivi apportati dalla predetta legge prevedono che l'avvocato, a far data dal 28 febbraio 2023, è obbligato a tentare la notificazione in proprio, a mezzo PEC e in tutti i casi in cui il destinatario sia titolare di un indirizzo PEC (imprese, professionisti, soggetti che abbiano scelto di avere un domicilio digitale risultante nei pubblici elenchi); inoltre l’avvocato potrà rivolgere istanza all’Ufficiale Giudiziario esclusivamente nel caso in cui il destinatario della notifica non abbia l’obbligo di dotarsi di un indirizzo PEC o quando la notificazione non vada a buon fine per cause non imputabili al destinatario.

Nel caso di specie è apparso all’Ufficio che XX avesse provveduto a notificare atti al reclamante all’indirizzo pec XX, con oggetto "notificazione ai sensi della legge n. 53 del 1994”, in data 31 dicembre 2020, quando ancora non risultava applicabile la nuova disciplina introdotta dalla riforma Cartabia.

Posto quindi che all’epoca dei fatti (31 dicembre 2020,  data della notifica) non gravava sugli avvocati (e quindi su XX) l’obbligo di effettuare la notifica tramite PEC e che la stessa poteva essere effettuata nelle forme ordinarie, nondimeno il legale ha utilizzato tale strumento inviando, peraltro, la documentazione ad un indirizzo PEC del reclamante non strettamente personale, bensì professionale, relativo cioè alla sua attività di XX, dove i dati e le informazioni trasmesse a mezzo notifica potevano essere letti anche da collaboratori e consulenti.

Ritenendo quindi possibile che XX avesse violato le disposizioni di cui agli articoli 5, comma 1, lett. a) e 6 del Regolamento, per aver effettuato – attraverso la notifica - un trattamento di dati personali del reclamante in assenza di idonea base giuridica, in data 18 novembre 2025 è stato notificato al predetto legale, e per conoscenza al reclamante, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del Regolamento,  ai sensi degli articoli 77 e segg. del Regolamento, dell’articolo 166 del Codice e degli articoli 12 e segg. del regolamento 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, nonché all’adozione dei provvedimenti correttivi e sanzionatori.

In data 17 dicembre 2025 XX ha inviato memoria difensiva, contestando i rilievi prospettati dall’Autorità circa l’assenza di idonea base giuridica, in violazione degli articoli 5, comma 1, lett. a) e 6 del Regolamento, in relazione alla notificazione effettuata a mezzo PEC al reclamante in data 31 dicembre 2020, argomentando, tra l’altro, come segue: “L'Autorità Garante fonda la propria contestazione sull'erronea convinzione che, non essendo la notifica a mezzo PEC un obbligo per l'avvocato al 31 dicembre 2020, il suo utilizzo costituisse una scelta discrezionale priva di base giuridica. Tale assunto ignora completamente la disciplina speciale in materia di notificazioni degli avvocati, che già da anni prevedeva la facoltà di utilizzare tale strumento. La Legge 21 gennaio 1994, n. 53, recante "Facoltà di notificazioni di atti civili, amministrativi e stragiudiziali per gli avvocati e procuratori legali", è stata significativamente modificata dal Decreto-Legge 18 ottobre 2012, n. 179, convertito con modificazioni dalla Legge 17 dicembre 2012, n. 221. In particolare, l'art. 16-quater di tale decreto ha introdotto l'art. 3-bis alla L. 53/1994, rubricato "Notificazioni con modalità telematica".  Tale articolo, nella sua formulazione vigente all'epoca dei fatti, disponeva inequivocabilmente: "La notificazione con modalità telematica si esegue a mezzo di posta elettronica certificata all'indirizzo del destinatario risultante da pubblici elenchi, nel rispetto della normativa, anche regolamentare, concernente la sottoscrizione, la trasmissione e la ricezione dei documenti informatici." La norma conferiva quindi all'avvocato una chiara e specifica facoltà, perfettamente equipollente alla notifica tradizionale, di eseguire notificazioni tramite PEC, a condizione che l'indirizzo del destinatario fosse estratto da "pubblici elenchi". L'Indice Nazionale degli Indirizzi di Posta Elettronica Certificata (INI-PEC), istituito presso il Ministero per lo Sviluppo Economico ai sensi dell'art. 6-bis del D.Lgs. 7 marzo 2005, n. 82 (Codice dell'Amministrazione Digitale), è pacificamente riconosciuto come XX uno di tali pubblici elenchi. Esso è stato creato proprio "al fine di favorire la presentazione di istanze, dichiarazioni e dati, nonché lo scambio di informazioni e documenti tra i soggetti di cui all'articolo 2, comma 2 e le imprese e i professionisti in modalità telematica". La giurisprudenza amministrativa e civile ha costantemente e tradizionalmente confermato che l'INI-PEC è un elenco valido ai fini delle notificazioni telematiche degli atti giudiziari” Si evidenzia inoltre che nella mail di invio della memoria difensiva XX dichiara: “Ci si rende disponibile ad essere ascoltato personalmente”; non costituendo tale dichiarazione esplicita richiesta di essere sentito dall’Autorità, l’audizione non ha avuto corso.

4. L’esito dell’istruttoria.

Esaminato il contenuto della memoria difensiva, si svolgono le seguenti considerazioni.

4.1. Questa Autorità si è occupata più volte delle notifiche via PEC, anche con riferimento alle notifiche delle violazioni al Codice della Strada, ritenendo che nel particolare caso del professionista iscritto all’INI-PEC, questo tipo di notifica poteva presentare specifiche problematiche in tema di tutela dei dati personali e, nel caso di abbinamento di un codice fiscale di una persona fisica a una PEC di chiara matrice “aziendale”, il personale deputato alla notifica del verbale di contravvenzione avrebbe dovuto procedere a notificare il verbale via posta, secondo le modalità ordinarie (sul tema in questione cfr. pagg. 73 e 74 della Relazione annuale del Garante 2020, reperibile sul sito internet istituzionale dell’Autorità - doc web n. 9676435).

Parimenti, circa le attività di notifica da parte della Pubblica Amministrazione, il Garante ha individuato le cautele da adottare se l’atto da notificare riguardi o meno l’attività imprenditoriale o professionale eventualmente svolta dal destinatario, al fine di evitare che comunicazioni avente carattere personale possano essere recapitate al domicilio digitale professionale, spesso accessibile anche ai collaboratori d’ufficio, nel rispetto del principio di limitazione della finalità del trattamento (cfr. parere del Garante sullo schema di d.P.C.M., ex art. 26, comma 15, del d.l. 16 luglio 2020, n. 76, in materia di piattaforma per la notificazione degli atti della pubblica amministrazione - 14 ottobre 2021,  reperibile sul sito internet istituzionale dell’Autorità - doc. web n. 9716841) .

Inoltre, alla stregua della disciplina in materia di protezione dei dati personali, a prescindere dalle questioni inerenti la validità delle notificazioni telematiche degli atti giudiziari, tenuto conto  della natura dell’atto da notificare, è comunque opportuna l’individuazione di misure volte ad assicurare, il rispetto dei principi di liceità, correttezza e trasparenza e di minimizzazione dei dati (art. 5, par. 1, lett. a) e c), del Regolamento) nel procedere con l’invio di atti al domicilio digitale specificamente preposto a ricevere le comunicazioni di natura personale o professionale (cfr. Provvedimento del 21 dicembre 2023, reperibile sul sito internet istituzionale dell’Autorità - doc. web n. 9976614).

4.2. Ciò premesso stante il fatto che la disciplina in materia di notificazioni precedente ai correttivi della Legge Cartabia prevedeva “la facoltà”, quindi non “l’obbligo” di utilizzare la PEC, come tra l’altro si riconosce espressamente nell’atto difensivo, la scelta del titolare del trattamento - in questo caso XX - doveva essere guidata anche dal rispetto del diritto alla protezione dei dati personali dell’interessato.

In altri termini, stante la mancanza dell’obbligo di effettuare la notifica tramite PEC secondo le modalità previste dalla citata Legge Cartabia, XX, per garantire il rispetto dei principi e delle regole in materia di protezione dei dati personali, avrebbe dovuto notificare l’atto (ovvero comunicare i dati)  ad un indirizzo strettamente personale, e non professionale, dell’odierno reclamante, al fine di evitare che i dati e le informazioni trasmessi potessero essere letti anche da collaboratori e consulenti.

Pertanto, esaminata la documentazione acquisita agli atti e valutate nel complesso le risultanze istruttorie, si ritiene confermata l’illiceità del trattamento di dati personali in argomento con violazione del principio di liceità del trattamento, di cui all’articolo 5, paragrafo 1, lettera a), del Regolamento, data l’assenza di una idonea base giuridica ai sensi dell’articolo 6 del Regolamento a fondamento della specifica comunicazione di dati ad un indirizzo del destinatario non strettamente personale.

5. Conclusioni: dichiarazione di illiceità del trattamento; applicazione delle misure di cui all’articolo 58, paragrafo 2, Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria risultino inidonee a disporre l’archiviazione del reclamo, non ricorrendo alcuno dei casi previsti dall’articolo 11 del regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da XX risulta infatti illecito, nei termini su esposti, in quanto posto in essere in violazione degli articoli 5, par. 1, lett. a) e 6 del Regolamento.

L’articolo 83, par. 5, del Regolamento, prevede che la violazione degli articoli 5 e 6 del medesimo Regolamento è punita con sanzione amministrativa pecuniaria di importo fino a venti milioni di Euro o, per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Il paragrafo 2 dell’articolo 83 del Regolamento dispone inoltre che, al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l'ammontare della stessa in ogni singolo caso, si tiene debito conto dei criteri stabiliti dalla disposizione stessa.

Sulla base dei predetti criteri, considerando che: la condotta ha esaurito i suoi effetti; la comunicazione dei dati personali del reclamante ha avuto un numero di destinatari limitato; il trattamento illecito dei dati del reclamante è avvenuto nel corso di un’attività volta ad esercitare un diritto riconosciuto dall’ordinamento; la disciplina relativa alla notifica via PEC da parte degli avvocati ha creato non poche difficoltà interpretative; non risultano eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento; non risultano sussistere eventuali fattori aggravanti, quali benefici finanziari conseguiti o perdite evitate, direttamente o indirettamente, quale conseguenza della violazione; si ritiene che nel caso di specie non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’articolo 58, par. 2, lett. i) del Regolamento.

Essendo comunque stata accertata l’illiceità del trattamento dei dati personali del reclamante, nei termini di cui in motivazione, valutate nel loro complesso le risultanze istruttorie del procedimento, si ritiene di dover irrogare al titolare del trattamento l’ammonimento di cui all’articolo 58, par. 2, lett. b), del Regolamento, per aver violato gli articoli 5, comma 1, lett. a), e 6 del Regolamento.

TUTTO CIÒ PREMESSO, IL GARANTE

DICHIARA

l’illiceità del trattamento dei dati personali dell’interessato effettuato da XX, per violazione delle disposizioni di cui agli articoli 5, comma 1, lett. a), e 6 del Regolamento;

AMMONISCE

ai sensi dell’articolo 58, par. 2, lett. b), del Regolamento, XX, per aver violato le disposizioni di cui agli articoli 5, comma 1, lett. a) e 6 del Regolamento.

DISPONE

ai sensi dell’articolo 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’articolo 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’articolo 57, par. 1, lett. u), del Regolamento.

Ai sensi degli articoli 78 del Regolamento, 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo articolo 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 26 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori