[doc. web n. 10213452]

Provvedimento del 27 novembre 2025

Registro dei provvedimenti
n. 705 del 27 novembre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal Sig. XX nei confronti di XX, XX e il Sig. XX;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. Il reclamo presentato dinanzi all’Autorità e l’attività istruttoria.

Con reclamo presentato in data 29 novembre 2021 all’Autorità, il Sig. XX ha lamentato la violazione della disciplina di protezione dei dati, in particolare l’illecito trattamento della registrazione di una conversazione tra lo stesso e il sig. XX: quest’ultimo, infatti, in base a quanto rappresentato, avrebbe registrato una conversazione tenuta con il reclamante in data 1 aprile 2019, senza informarlo di ciò, e successivamente avrebbe comunicato la predetta registrazione a XX e a XX (di seguito, le Società).

Sempre in base a quanto lamentato nel reclamo, le Società avrebbero successivamente prodotto la citata registrazione nel giudizio di opposizione all’omologazione al concordato preventivo relativo a XX.

In data 26 ottobre 2022, l’Ufficio ha inviato una richiesta di informazioni, ai sensi dell’art. 157 del Codice, alle Società, a seguito della quale queste ultime, tramite l’Avv. Muzii, in data 19 novembre 2022, hanno presentato il proprio riscontro e, in tale occasione, hanno rappresentato che:

“in data 12 settembre 2019, XX presentava innanzi al Tribunale di Milano istanza volta a dichiarare il fallimento della società XX, la quale, il 24 ottobre 2019, proponeva davanti al medesimo Tribunale, un ricorso prenotativo di concordato ai sensi dell’art. 161, comma 6, L.F., e successivamente richiedeva di accedere a concordato preventivo con continuità aziendale indicando, quale Assuntore, la società XX, quasi integralmente posseduta dall’Amministratore Unico della medesima XX” (v. nota 19/11/2022, p. 2);

“il 9 aprile 2020, il Tribunale di Milano accoglieva la domanda di concordato, dichiarando l’apertura della procedura ai sensi dell’art. 163 bis L.F.” (v. nota cit., p. 2);

“a seguito della richiesta di omologazione del concordato promossa da XX, XX e XX, creditori dissenzienti […], proponevano opposizione” (v. nota cit., p. 3);

a sostengo dell’opposizione delle Società, “veniva prodotta in giudizio la registrazione vocale della conversazione intercorsa in data 1° aprile 2019 tra il signor XX ed il signor XX, nonché la relativa trascrizione” (v. nota cit., p. 4);

“XX e l’Assuntore XX si costituivano in giudizio chiedendo omologarsi il concordato preventivo proposto ed il Tribunale di Milano, con decreto […] del 1° giugno 2021 […], rigettava le opposizioni. XX e XX proponevano appello dinanzi alla Corte D’Appello di Milano, dalla stessa rigettato, nonché conseguente ricorso dinanzi alla Corte di Cassazione” (v. nota cit., p. 4);

“contestualmente XX e XX richiedevano a XX il pagamento del credito scaturente la mala gestio di XX da parte dell’organo gestorio della società, nonché dal Signor XX, sia in proprio, sia attraverso la propria società XX, che svolgeva una vera e propria attività di direzione e controllo della predetta XX” (v. nota cit., p. 4);

“in data 12 luglio 2022, tutte le controversie allora pendenti tra XX e XX, XX in concordato preventivo, XX ed i Signori XX e XX, venivano definite in via transattiva” (v. nota cit., p. 4);

“la copia della registrazione è stata consegnata dallo stesso Signor XX, presente alla conversazione, ed utilizzata dall’Avv. Lorenzo Muzii […] solo ai fini di difendere in giudizio gli interessi delle [Società]” (v. nota cit., p. 4, 5);

"era doverosa, ai fini di una corretta e compiuta difesa tecnica delle [Società], la produzione nel giudizio di opposizione al concordato preventivo della registrazione e della relativa trascrizione, perché detta registrazione concorreva a provare, nel più ampio contesto del contenzioso, la legittimità dell’opposizione all’omologa del concordato preventivo da parte di XX e XX, in ragione dell’affectio societatis ravvisabile nei comportamenti tenuti dal [reclamante] e della presenza di plurimi atti di gestione dallo stesso compiuti in XX, sia in proprio, sia attraverso la propria società XX" (v. nota cit., p. 5);

“la registrazione fonografica di una conversazione fra più persone attuata da uno dei presenti e versata in atti in sede giudiziale rappresenta una prova ex art. 2712 c.c. utilizzabile, trattandosi di registrazione operata da una persona «protagonista» della conversazione stessa e legittimata a rendere testimonianza nel processo. […] il consenso, pertanto, non è necessario, qualora il trattamento dei dati sia realizzato per far valere o difendere un diritto” (v. nota cit., p. 5, 6);

“la Giurisprudenza è concorde nel ritenere che la previsione di cui al Regolamento […] e successive modifiche, circa la generale operatività del principio della necessità del consenso del titolare dei dati personali ai fini del loro trattamento subisca una deroga nel caso in cui sia necessario esercitare in giudizio il diritto di difesa […]. La deroga trova piena applicazione anche con riferimento all’obbligo, in capo al titolare del trattamento dei dati personali, di fornire l’informativa ai sensi degli artt. 13 e 14 del Regolamento […], nelle ipotesi in cui il trattamento sia connesso alla difesa di un diritto in sede giudiziaria” (v. nota cit., p. 6);

“in caso di produzione in un giudizio civile di documenti contenenti dati personali, ancorché effettuata al di fuori dei limiti consentiti per il corretto esercizio del diritto di difesa, non vi è lesione del diritto alla riservatezza in assenza di elementi fattuali oggettivamente indicativi di una effettiva lesione dell'interesse protetto, trattandosi di informazioni la cui cognizione è normalmente riservata e circoscritta ai soli soggetti professionalmente coinvolti nella vicenda processuale, sui quali incombe un obbligo di riservatezza” (v. nota cit., p. 6);

"sarebbe risultato fonte di responsabilità professionale dell’Avv. Lorenzo Muzii (oltre che una compressione indebita del diritto alla difesa delle scriventi) non utilizzare la registrazione, o espungerne dei contenuti” (v. nota cit., p. 6);

“la registrazione della conversazione è stata consegnata dall’interessato Signor XX alle [Società], che l’hanno inoltrata allo [studio dell’Avv. Muzii]” (v. nota cit., p. 7);

“la conversazione, quale mezzo di prova ex art. 2712 c.c., è stata prodotta integralmente nel giudizio di opposizione all’omologa di concordato, così da non ledere l’autenticità della stessa (requisito necessario ai fini di un giudizio), al fine di provare il coinvolgimento del [reclamante] in ordine a (i) l’amministrazione di fatto della Società XX, (ii) la presenza dell’affectio societatis e (iii) il conflitto di interessi […] nel voto in adunanza dei creditori, con riferimento alla cessione del credito alla Società XX” (v. nota cit., p. 7);

“gli artt. 6 e 9, comma 2, lett. F, del Regolamento […], prevedono espressamente la facoltà di derogare il principio in ordine alla necessità di preventivo consenso del titolare dei dati personali ai fini del loro trattamento, nelle ipotesi in cui si debba esercitare il diritto di difesa” (v. nota cit., p. 7).

In data 19 settembre 2023, è stata inviata un’ulteriore richiesta di informazioni, ai sensi dell’art. 157 del Codice, alle Società che, il 17 ottobre 2023 hanno inviato, separatamente, per il tramite dell’Avv. Muzii, il medesimo riscontro nel quale è stato dichiarato che:

“la produzione in giudizio della registrazione è stata effettuata per opporsi all’ammissione della società XX, debitore delle [Società], al concordato preventivo” (v. nota 17/10/2023 cit., p. 2);

“XX e XX hanno ritenuto che l’interesse del [reclamante] fosse inferiore all’interesse che le stesse, e altri vari creditori, avevano a sentir revocare l’ammissione di XX al concordato prevenivo, sull’assunto che lo stesso era stato votato da una maggioranza di creditori, viziata per effetto di un atto di cessione di credito nullo e/o illecito” (v. nota cit., p. 3);

“gran parte delle contestazioni che formavano oggetto dell’opposizione e, in sede di gravame, del reclamo, si incentravano sulla posizione e sulle attività [del reclamante], ritenuto l’artefice non solo della cessione fittizia del credito, ma anche di attività di sostanziale gestione di XX” (v. nota cit., p. 4);

“le [Società] hanno prodotto numerosa documentazione nel giudizio di opposizione […]. Tra i vari documenti prodotti, un ruolo molto importante lo ha ricoperto proprio la registrazione oggetto del presente procedimento” (v. nota cit., p. 4, 5);

“nel caso di specie, il diritto che si andava a tutelare non era solo il credito delle scriventi, ma più in generale le ragioni dell’intera massa dei creditori, in particolare di quelli che, con il loro voto contrario, avevano espresso parere negativo alla votazione. Votazione avvenuta, peraltro, senza che i creditori votanti fossero stati preventivamente messi a conoscenza delle modalità con cui era avvenuta la cessione” (v. nota cit., p. 7).

Sempre in data 19 settembre 2023, l’Ufficio ha inviato una richiesta di informazioni, ai sensi dell’art. 157 del Codice, anche al sig. XX il quale, in data 16 ottobre 2023, ha presentato il proprio riscontro e ha rappresentato che:

“XX conferma di aver realizzato la Registrazione e di averla depositata: nel procedimento penale […], avviato contro di lui su denuncia-querela [del reclamante] (di seguito: “Causa Penale”) […]); nella causa civile […], promossa contro di lui, avanti il Tribunale di Venezia, sezione specializzata in materia di impresa, da[l reclamante] (di seguito: “Causa Civile”)” (v. nota 16/10/2023 cit., p. 1);

“XX effettuò la Registrazione per difendersi dalle accuse d[el reclamante] poi sfociate nella Causa Penale e nella Causa Civile. La base giuridica del trattamento è, ai sensi dell’art 6 Reg. […], il legittimo interesse del Titolare, e la finalità è da ravvisarsi nel diritto di difesa in giudizio da parte di XX” (v. nota cit., p. 1);

“riguardo la consegna della Registrazione alle Società – precisa: - di avere ricevuto la richiesta del legale delle Società di poter acquisire la Registrazione depositata nella Causa Penale per, poi, produrla nel procedimento di concordato preventivo di XX, di cui era parte anche XX, in qualità di creditore della procedura concorsuale, interessato a sostenere le difese delle Società, che avevano rilevato l’abusività dell’iniziativa concorsuale, allegando che ne era artefice [il reclamante]; - di avere risposto al legale delle Società: a) che la Registrazione era stata depositata nella Causa Penale; b) di non avere la competenza per valutare la liceità dell’acquisizione della Registrazione inserita nel fascicolo penale; c) di contattare il suo difensore nella Causa Penale per chiedergli – valutati i profili e i presupposti di liceità della trasmissione – l’autorizzazione; - di aver saputo che il suo difensore nella Causa Penale [Avv. Calori] autorizzò il difensore delle Società ad acquisire copia della Registrazione depositata nella Causa Penale, rimettendo al difensore delle Società la valutazione dei presupposti di liceità dell’utilizzo della Registrazione in sede civile” (v. nota cit., p. 2);

“XX - essendo tenuto alla riservatezza insita nella Causa Penale e per tutelare al meglio la sua strategia difensiva e i suoi diritti di difesa – non aveva alcun obbligo di disclosure verso [il reclamante], al quale non comunicò che terzi gli avevano chiesto di poter acquisire la Registrazione depositata nella Causa Penale” (v. nota cit., p. 2).

Il 18 gennaio 2024, l’Ufficio ha inviato un’ulteriore richiesta, ai sensi dell’art. 157 del Codice, al sig. XX. In data 18 gennaio 2024, l’Avv. Matteo Sergio Calori, informato dal sig. XX, ha comunicato che:

“l’assistito XX effettuò la registrazione ambientale/file audio – tra presenti: XX da una parte e il [reclamante] dall’altra, entrambi presenti nello stesso luogo e attraverso propri mezzi (il proprio telefono cellulare) - per difendersi dalle accuse avanzate da[l reclamante] e XX a seguito della presentazione da parte degli stessi soggetti di una denuncia/querela da cui scaturì il procedimento penale sopra indicato. Tale registrazione venne depositata a cura di questo difensore, quale attività di indagine difensiva, al pubblico ministero nel corso delle indagini preliminari del procedimento penale su indicato”;

“in data, che non ricordo, venni contattato dal difensore di fiducia di XX e di XX, parti processuali nel procedimento di concordato preventivo di XX (di cui era parte lo stesso XX, quale creditore della procedura concorsuale), interessato a sostenere le difese delle società che rappresentava e che avevano rilevato “l’abusività” dell’iniziativa concorsuale, riferendomi che ne era artefice il [reclamante]. Tale difensore delle due società mi chiese di poter trasmettergli il file audio della registrazione ambientale, già depositata nel procedimento penale, per utilizzarla esclusivamente nel procedimento di concordato preventivo di XX”;

“dopo essermi sincerato con il mio assistito e controllato personalmente che quanto rappresentatomi dal collega fosse vero, decisi di trasmettere a quest’ultimo, e a nessun altro, il file audio della registrazione precisandogli che la registrazione era già stata depositata nel procedimento penale. Contestualmente, lo autorizzai ad utilizzare il file audio esclusivamente nell’ambito della procedura concordataria per cui aveva ricevuto mandato difensivo dalle società da lui assistite”.

Il 31 gennaio 2024, l’Ufficio ha inviato una ulteriore richiesta di chiarimenti all’Avv. Calori, relativamente alla quale lo stesso, in data 4 febbraio 2024, ha precisato che:

“la richiesta del difensore delle società XX e XX, pertanto, è giunta all’attenzione dello scrivente su indicazione del proprio assistito XX […] il sottoscritto ha trasmesso copia della registrazione audio al Collega difensore delle predette società solo dopo aver verificato, in primo luogo, che la condivisione del file audio con il Collega fosse conforme alla normativa a tutela dei dati personali […] e, comunque, dopo essersi sincerato con il proprio assistito circa l’opportunità di procedere in tal senso” (v. nota 4/02/2024 cit., p. 2, 3);

“XX e XX, quali creditori dissenzienti, avevano proposto opposizione all’omologazione del concordato promosso da XX per una serie di ragioni, […] a sostegno delle quali era stata valutata strategica la produzione in giudizio della registrazione audio della conversazione intercorsa in data 1° aprile 2019 proprio tra XX e [il reclamante]” (v. nota cit., p. 3);

“secondo la linea difensiva di XX, infatti, la causa del dissesto della società sarebbe stata interamente imputabile all’asserita negligenza professionale di XX” (v. nota cit., p. 3);

“anche XX aveva quindi tutto l’interesse a dimostrare l’infondatezza delle accuse di negligenza professionale mosse a suo carico dal management di XX per giustificare il dissesto della società e, quindi, la domanda di ammissione al concordato” (v. nota cit., p. 4);

“la registrazione di una conversazione tra presenti, ove connessa al legittimo esercizio del diritto di difesa, riceve copertura dalla scriminante dell’esercizio di un diritto ex art. 51 c.p. che assume una portata generale nell’ordinamento e non è limitata al mero ambito penalistico. Non solo: detta condotta è riconosciuta ormai pacificamente come pienamente legittima dalla giurisprudenza, laddove la tutela della libertà personale, sotto il profilo della sfera privata e della riservatezza delle comunicazioni, cede il passo al diritto di difesa di cui all’art. 24 Cost. Di conseguenza, l’utilizzo di una registrazione tra presenti nell’ambito di un procedimento giudiziario è ben ammissibile, assumendo la valenza di prova documentale ai sensi dell’art. 234 c.p.p. e dell’art. 2712 c.c.” (v. nota cit., p. 4);

“la piena legittimità della registrazione audio effettuata tra presenti all’insaputa di uno di questi e del suo successivo utilizzo a fini difensivi in sede giudiziale offre quindi anche la base giuridica che ha giustificato la trasmissione della registrazione della conversazione tra XX e [il reclamante] al difensore delle società XX e XX Ai sensi dell’art. 6, comma 1, lett. f) Regolamento […], infatti, la liceità del trattamento dei dati personali è giustificata dalla necessità di tutelare un legittimo interesse del Titolare (XX) o di terzi (le società XX e XX), in questo caso consistente nell’esercizio del diritto di difesa in giudizio” (v. nota cit., p. 5);

“l’art. 6 cit. consente il trattamento dei dati anche qualora sia necessario per la tutela di un interesse anche di soggetti terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che richiedono la protezione dei dati personali […]. In questo caso, non può di certo ritenersi che fosse prevalente l’interesse alla protezione dei dati personali [del reclamante]: posto, infatti, che dalla registrazione audio non emergono dati personali c.d. sensibili o sensibilissimi, in ogni caso l’utilizzo di detto file audio è stato contenuto esclusivamente alla sede giurisdizionale, con l’esclusione di qualsiasi forma di divulgazione incontrollata. Tra l’altro, si consideri altresì che nonostante l’utilizzo di detta registrazione audio la domanda di omologazione del concordato di XX è stata accolta e, quindi, rimane dubbio quale potrebbe essere il danno patito dal [reclamante]” (v. nota cit., p. 5);

“ai fini della legittimità del trattamento dei dati nel caso in specie, infatti può ben invocarsi l’eccezione di cui all’articolo 2-undecies [del Codice], secondo cui i diritti di cui agli articoli dal 15 al 22 del GDPR non possono essere esercitati con richiesta al titolare del trattamento ovvero con reclamo ai sensi dell'articolo 77 del Regolamento se da essi possa derivare un pregiudizio effettivo e concreto «allo svolgimento delle investigazioni difensive o all’esercizio di un diritto in sede giudiziaria». […] nel caso in specie la trasmissione di copia della registrazione audio al Collega difensore delle società XX e XX non poteva ritenersi vincolato al previo consenso di XX, atteso che una simile attività di disclosure avrebbe certamente pregiudicato la linea difensiva dei creditori nell’ambito del procedimento concordatario a carico di XX” (v. nota cit., p. 7);

“l’art. 5 delle «Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101 – 19 dicembre 2018» […] prevede che nei rapporti con i terzi e con la stampa possono essere rilasciate informazioni non coperte da segreto qualora sia necessario per finalità di tutela dell’assistito” (v. nota cit., p. 7);

“il diritto di difesa di cui all’art. 24 Cost. […] quale principio supremo del nostro ordinamento democratico, non incontra deroghe purché, qualora debba essere bilanciato con la tutela del diritto alla riservatezza, sia esercitato nei limiti strettamente necessari e con le opportune cautele. E ciò è quanto si è verificato nel caso in specie” (v. nota cit., p. 8).

In data 18 aprile 2024, l’Ufficio ha inviato una nuova richiesta di informazioni, ai sensi dell’art. 157 del Codice, all’Avv. Lorenzo Muzii, legale delle Società anche nell’ambito del giudizio di opposizione all’omologazione del concordato preventivo, alla quale lo stesso legale ha fornito il proprio riscontro, in data 15 maggio 2024. In tale occasione ha evidenziato che:

“il file audio [della registrazione della conversazione tra XX e XX] fu consegnato allo scrivente dall’Avv. Calori con email in data 22 aprile 2021” (v. nota 15.05.2025, p. 1);

“il file [audio della registrazione della conversazione in oggetto] fu trasmesso dall’Avv. Calori, quale difensore del Signor XX. Pertanto, è corretto, ad avviso di chi scrive, precisare che fu consegnato dal Signor XX per il tramite del proprio legale” (v. nota, p. 2);

“il deposito della registrazione era necessario ai fini di una corretta e compiuta difesa tecnica nel ricorso ex art. 180 l.f., perché detta registrazione concorreva a provare, nel più ampio contesto del contenzioso, la legittimità dell’opposizione all’omologa del concordato preventivo da parte di XX e XX” (v. nota cit., p. 2);

“il diritto che si andava a tutelare non era solo il credito delle [Società], ma più in generale le ragioni dell’intera massa dei creditori, in particolare di quelli che, con il loro voto contrario, avevano espresso parere negativo alla votazione” (v. nota cit., p. 3);

“la registrazione è stata consegnata dal Signor XX, per il tramite del proprio avvocato, dietro richiesta del sottoscritto” (v. nota cit., p. 3);

“la registrazione è stata prodotta nel contesto della strategia difensiva definita dal sottoscritto unitamente alle proprie assistite” (v. nota cit., p. 3);

“l’interesse del [reclamante] è da ritenere decisamente inferiore al maggiore interesse che i creditori di XX avevano a non subire un concordato che, secondo le tesi difensive delle ricorrenti (mie assistite) era del tutto illegittimo. Detta registrazione aveva lo scopo di far emergere la sostanziale riconducibilità a[l reclamante] delle scelte adottate da XX” (v. nota cit., p. 3).

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della Società.

Il 3 giugno 2024, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione delle presunte violazioni del Regolamento nei confronti degli Avv.ti Calori e Muzii per i trattamenti da questi ultimi effettuati nell’ambito della fornitura delle prestazioni professionali, con riferimento agli artt. 5, par. 1, lett. a), 6, del Regolamento, poste in essere in concorso (v. art. 5 l. n. 689 del 1981 “quando più persone concorrono in una violazione amministrativa, ciascuna di esse soggiace alla sanzione per questa disposta, salvo che sia diversamente stabilito dalla legge”).

Con memorie difensive inviate in data 25 giugno 2024, l’Avv. Calori ha rappresentato che:

- “per il Garante per la Protezione dei dati Personali, la tabella B allegata al Regolamento n° 2/2019, espressamente stabilisce che le comunicazioni (ai residenti in Italia) delle presunte violazioni ex art. 166 del Codice privacy devono avvenire «entro 120 giorni dall’accertamento della violazione»” (v. nota 25/06/2025 cit., pp. 1, 2);

- “come statuito dal Tribunale ordinario di Roma, XVIII Sezione civile, sentenza del 13.02.2023, le richieste di chiarimenti costituiscono atto tipico di approfondimento istruttorio, prodromico alla contestazione, in quanto necessario al Garante della Privacy per formare il proprio convincimento sulla possibilità di una violazione e, quindi, sulla necessità di contestarla formalmente, provocando il contraddittorio. Ed anche le richieste di chiarimenti (cioè quegli atti che servono a completare il quadro “pre-istruttorio”) devono essere fatte nel termine stabilito per la contestazione, il quale sarebbe altrimenti, per quest’altra via, prolungato, virtualmente usque ad æternum. L’applicazione del termine di 120 giorni per la contestazione, cioè si estende alle richieste di chiarimenti o di ulteriori elementi che il Garante può rivolgere al titolare o al responsabile del trattamento, nell’ottica di una interpretazione costituzionalmente orientata della normativa (primaria e regolamentare), sia sotto il profilo dell’art. 24 Cost., sia sotto quello dell’art. 117 Cost. e con l’intermediazione 6 CEDU” (v. nota cit., p. 2);

- “giusta il raffronto tra il reclamo e tutte le risposte acquisite agli atti del procedimento, tra cui la comunicazione del Sig. XX del 13 ottobre 2023, già con la pec dell’Avv. Calori del 18 gennaio 2024 è verosimile ritenere che il Garante avesse un quadro sufficientemente chiaro della possibile sussistenza di una o più violazioni. Ed è pertanto dal 18 gennaio 2023 che dovrebbe decorrere il termine di 120 giorni per la conclusione del procedimento, con potere (e onere) del Garante di chiedere informazioni supplementari e/o chiarimenti, entro gli stessi 120 giorni, ovvero entro il 17 maggio 2024” (v. nota cit., pp. 2, 3);

- “era ben noto al reclamante […], al momento della presentazione del reclamo innanzi a Cod. Autorità, che il Sig. XX avesse tutto l’interesse a sostenere la pretesa delle Società XX e XX” (v. nota cit., p. 3);

- “un’azione risarcitoria contro il [reclamante], infatti, avrebbe permesso alla massa dei creditori un soddisfacimento maggiore rispetto a quello conseguente alla procedura concorsuale avviata. È quindi evidente come lo stesso reclamo avanzato dal reclamante innanzi a Cod. Autorità Garante rivestisse anch’esso il carattere della pretestuosità” (v. nota cit., p. 3);

- “il Sig. XX, pertanto, ha dovuto difendersi anche in questo procedimento amministrativo, senza che vi fossero gli estremi giuridici per un’azione nei suoi confronti, circostanza che avrebbe giustificato l’applicazione dell’art. 11 del Regolamento 1/19, già durante l’istruttoria preliminare. Ed è in questo contesto che si inserisce l’azione svolta dal difensore del XX in ambito penale, Avv. Matteo Sergio Calori” (v. nota cit., p. 4);

- nella comunicazione del 18 gennaio 2024, l’Avv. Calori “ha indicato quanto segue: «Dopo essermi sincerato con il mio assistito e controllato personalmente che quanto rappresentatomi dal collega fosse vero, decisi di trasmettere a quest’ultimo, e a nessun altro, il file audio della registrazione» […] la dicitura «decisi di trasmettere» è impropria. Fu infatti il Sig. XX ad autorizzare espressamente ed in proprio l’impiego di quella registrazione da parte dell’Avv. Muzii, già con la mail da lui inviata il mattino di giovedì 22 aprile 2021 in risposta alla richiesta di trasmissione del Legale delle due Società. E che il XX abbia così deciso in autonomia lo dimostra anche la circostanza per cui, pur essendo solo in copia conoscenza nella mail dell’Avv. Muzii, ciononostante ha risposto prontamente ed in senso positivo alla richiesta” (v. nota cit., p. 4);

- “quindi fu proprio una decisione del cliente e non del suo avvocato quella di acconsentire all’impiego dei documenti provenienti dalla parte e di acconsentire alla trasmissione della registrazione: per cui, a fronte del «sì» all’invio di XX, espresso prima nella mail [del 22 aprile 2021] e poi ribadito nel colloquio occorso tra costui e l’Avv. Calori […], l’Avv. Calori ha correttamente puntualizzato, nella mail di trasmissione [del 22 aprile 2021], che l’invio venisse effettuato, «in qualità di difensore di fiducia di XX nel procedimento penale» e «per quanto di mia competenza». E ciò conformemente alle prescrizioni del Codice Deontologico Forense” (v. nota cit., p. 4);

- visti gli artt. 2-quater del Codice e l’art. 4 co. 1 delle Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101 -19 dicembre 2018, “l’art. 33 del Codice Deontologico Forense (“c.d.f.”) prevede che: «1. L’avvocato, se richiesto, deve restituire senza ritardo gli atti ed i documenti ricevuti dal cliente e dalla parte assistita per l’espletamento dell’incarico e consegnare loro copia di tutti gli atti e documenti»” (v. nota cit., p. 5);

-  “sia i Consigli di disciplina che la giurisprudenza si sono espressi costantemente nel senso che sussiste, in capo all’avvocato, il dovere di consegnare al cliente tutta la documentazione e gli atti di causa, pena una sanzione disciplinare per violazione del mandato professionale ex art. 10 del c.d.f.. (Dovere di fedeltà) che prescrive, a sua volta, che l'avvocato deve adempiere fedelmente il mandato ricevuto, svolgendo la propria attività a tutela dell'interesse della parte assistita e nel rispetto del rilievo costituzionale e sociale della difesa” (v. nota cit., p. 5);

- “in virtù del combinato disposto di questi articoli, la Giurisprudenza disciplinare ha statuito che l'avvocato deve espletare il mandato ricevuto con diligenza e impegno, che assicurino la costante tutela degli interessi a lui affidati e che il ritardato o il negligente compimento degli atti inerenti al mandato ricevuto è sanzionabile disciplinarmente, ove la mancanza sia riferibile ad una particolare trascuratezza non scusabile e rilevante, indipendentemente dal fatto che ne derivi un pregiudizio agli interessi della parte assistita (cfr. ex multis, C.N.F. 29/03/2003, n. 40). La mancata trasmissione su espressa richiesta del cliente, in questo caso, ne avrebbe anche pregiudicato le ragioni creditorie, di modo che, se l’Avv. Muzii non avesse provveduto come gli era stato detto di fare, avrebbe arrecato anche un concreto pregiudizio agli interessi del XX” (v. nota cit., p. 5);

- “il Sig. XX ha deciso di voler tutelare la propria posizione creditoria nel procedimento di concordato mediante la trasmissione all’Avv. Muzii della registrazione, autorizzandola a mezzo mail” (v. nota cit., p. 5);

- “il cliente ha voluto anche interfacciarsi, prima dell’invio (cui aveva già consentito […]), con il proprio difensore nella causa penale, in primis perché era l’Avv. Calori ad essere materialmente in possesso della registrazione, ed era perciò colui il quale materialmente avrebbe potuto «girarla», ma anche per discutere con questi della produzione in quel diverso giudizio” (v. nota cit., p. 5);

- “cliente ed avvocato si sono così confrontati e, ferme restando le indicazioni fornite dall’Avv. Calori circa la necessità di contemperare gli interessi alla difesa propri del XX con quelli del terzo [reclamante] e le spiegazioni rese al cliente sulla delicata materia della limitazione dei diritti dell’interessato in relazione all’esercizio di un diritto in sede giudiziaria, il Sig. XX ha reputato che in quel contesto fosse preminente la necessità di difendere la propria posizione personale e per questo motivo ha coscientemente confermato di voler acconsentire alla trasmissione” (v. nota cit., p. 5);

- “ciononostante, proprio in virtù di quanto rappresentato dall’Avv. Calori al Sig. XX, ovvero che, come statuito dalla Cass. Civ. 20384/21: «l'utilizzo processuale della fonoregistrazione non è precluso dal c.d. Codice Privacy se si tratti di far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento (art. 13, comma 5, lett. b ed art. 26, comma 4 lett. c)», il Sig. XX, in qualità di creditore avente interesse all’opposizione, ha disposto che l’Avv. Calori trasmettesse la registrazione all’Avv. Muzii, ma solo per utilizzarla in quel preciso procedimento” (v. nota cit., p. 6);

- “per questo motivo l’Avv. Calori, sempre in qualità di difensore del Sig. XX, ha espressamente indicato nella mail che l’utilizzo dovesse essere limitato al procedimento di omologa e negato il suo impiego per fini diversi” (v. nota cit., p. 6);

- “la trasmissione, pertanto, è stata effettuata nel rispetto dei principi fondamentali in materia di protezione dei dati personali, quali la necessità e la minimizzazione (Regolamento […], art. 5), declinati nei seguenti termini: i dati personali richiesti erano effettivamente necessari al XX ed al terzo per azionare quel diritto in concreto in giudizio, non erano altrimenti ottenibili con altri mezzi e, infine, non erano sovrabbondanti, nel senso che sono stati comunicati solo quei dati che erano pertinenti e utili nel caso concreto” (v. nota cit., p. 6);

- “l'avvocato che tratti i dati dei clienti con mezzi automatizzati è tenuto a comunicare i dati del suo cliente al collega alle seguenti condizioni: - il cliente ha espresso il suo consenso al trattamento dei suoi dati personali o il trattamento è necessario per l'esecuzione di un contratto a cui il cliente è parte o l'esecuzione delle misure precontrattuali adottate a richiesta del cliente; - e il trattamento è stato effettuato con mezzi automatizzati” (v. nota cit., p. 7);

- pertanto, come già chiarito da Consiglio Nazionale, Commissione CNF in materia di privacy, se il suo cliente richiede la trasmissione dei suoi dati ad un collega, l'avvocato dovrà trasferirli in formato strutturato comunemente usato e leggibile da una macchina, se non voglia commettere un illecito (Linee Guida del 22 maggio 2018)” (v. nota cit., p. 7);

- “in presenza di un siffatto obbligo, che trova fondamento sia nel contratto d’opera professionale che si instaura tra cliente e avvocato - con il quale il professionista viene incaricato di curare gli interessi della parte in merito ad una determinata questione giuridica -, che nel canone di cui all’art. 10 del codice deontologico forense - per il quale «l’avvocato deve adempiere fedelmente il mandato ricevuto, svolgendo la propria attività a tutela dell’interesse della parte assistita e nel rispetto del rilievo costituzionale e sociale della difesa» -, tenuto conto dell’armonizzazione fra la protezione dei dati personali accordata dal GDPR e dalla normativa nazionale di adeguamento e la tutela del segreto professionale dell’avvocato, realizzata con le Regole deontologiche del 5 gennaio 2019, l’Avvocato Calori, nel caso di specie, non avendo potuto decidere finalità e modalità dei trattamenti dei dati, non ha agito in qualità di Titolare autonomo del trattamento” (v. nota cit., p. 7);

- “l’Avv. Calori ha agito, pertanto, in qualità di mero esecutore materiale delle operazioni di trattamento pianificate e controllate dal XX, assumendo la qualifica di soggetto autorizzato al trattamento. Egli, infatti, non ha avuto alcun margine di autonomia in fase di trasmissione della registrazione, ma si è limitato ad attenersi alle decisioni ed istruzioni del cliente” (v. nota cit., p. 7);

- “né del resto l’Avv. Calori, in qualità di difensore nel procedimento penale, potrà essere considerato, in relazione al procedimento civile di omologa del concordato, responsabile del trattamento” (v. nota cit., p. 8);

- “nella vicenda occorsa il cliente, Sig. XX ha stabilito non solo le finalità del trattamento (esercitare e difendere un diritto in sede giudiziaria), ma anche e soprattutto le specifiche modalità di esecuzione dello stesso, attribuendo compiti ben precisi, anche dal punto di vista tecnico, all’Avv. Calori, e privandolo, in questo modo, di qualsiasi margine discrezionalità al riguardo, sì da negare che lo stesso possa aver agito quale autonomo titolare dei dati personali” (v. nota cit., p. 8);

- “e posto che l’Avv. Calori nemmeno avrebbe potuto opporsi alla espressa richiesta di trasmissione del XX per non incorrere in illeciti civili e disciplinari, dovrà ritenersi che la sua condotta sia, altresì, scriminata dagli obblighi cui lo stesso era parimenti sottoposto in virtù del proprio mandato professionale” (v. nota cit., p. 8);

- “non si ravvisano, pertanto gli estremi per la comminazione di una sanzione ai sensi dell’art. 83 del GDPR” (v. nota cit., p. 9);

- “non sussiste l’elemento soggettivo del dolo e/o della colpa” (v. nota cit., p. 10);

- “va valutata altresì l’assenza di precedenti violazioni pertinenti commesse dall’Avv. Calori” (v. nota cit., p. 10);

- “va valutata la cooperazione nell’interazione con l’Autorità di controllo” (v. nota cit., p. 10);

- “deve essere tenuta in considerazione la natura dei dati trattati, consistenti in dati comuni” (v. nota cit., p. 10);

- “deve considerarsi l’attenuante della necessità di dare corso al mandato professionale assunto con conseguente rispetto delle norme di deontologia forense, in grado di condizionare l’operato dell’Avv. Calori” (v. nota cit., p. 10).

In data 3 luglio 2024, l’Avv. Muzii ha presentato scritti difensivi e in tale occasione ha dichiarato che:

- “ha ritenuto doveroso, nell’adempimento del proprio dovere professionale di diligenza e di difesa tecnica del proprio assistito, di cui all’art. 12 del Codice di Deontologia Forense, depositare la registrazione” (nota 3/07/2025, pp. 6, 7);

- “il diritto alla riservatezza […] non può essere valutato alla stregua di un diritto assoluto ma, anzi, deve cedere il passo ad altri e diversi diritti tutelati dal nostro ordinamento e ciò, in particolare, qualora il trattamento di tali dati venga attuato dal titolare per l'esercizio di un diritto in sede giudiziaria” (v. nota cit., p. 7);

- “in caso di produzione in un giudizio civile di documenti contenenti dati personali, ancorché effettuata al di fuori dei limiti consentiti per il corretto esercizio del diritto di difesa, non vi è lesione del diritto alla riservatezza in assenza di elementi fattuali oggettivamente indicativi di una effettiva lesione dell'interesse protetto, trattandosi di informazioni la cui cognizione è normalmente riservata e circoscritta ai soli soggetti professionalmente coinvolti nella vicenda processuale, sui quali incombe un obbligo di riservatezza (Cassazione penale sez. III, 29/03/2019, n.23808)” (v. nota cit., p. 8);

- “l’uso della registrazione è da inquadrare come fondato sul perseguimento di un legittimo interesse” (v. nota cit., p. 8);

- “sarebbe risultato fonte di responsabilità professionale dell’Avv. Lorenzo Muzii (oltre che una compressione indebita del diritto alla difesa delle scriventi) non utilizzare la registrazione, o espungerne dei contenuti” (v. nota cit., p. 8);

- “nella valutazione della prevalenza dell’interesse all’uso della registrazione rispetto alla prevalenza del diritto alla riservatezza del [reclamante], occorre tener presente che la registrazione era stata già utilizzata in sede penale […]. Era quindi, a parere di chi scrive, un documento già diffuso o comunque reso disponibile non solo all’autorità procedente, ma potenzialmente ad ogni soggetto che avesse avuto interesse ad assistere all’udienza penale (che come noto è pubblica)” (v. nota cit., p. 8);

- “non appare concretamente ravvisabile un’ipotesi di concorso in senso giuridico, ossia una cooperazione finalizzata al raggiungimento di un obiettivo comune” (v. nota cit., p. 9);

- “lo scrivente aveva l’esigenza professionale di utilizzare la registrazione nel ricorso ex art. 180 l.fall. (cosa che poi ha fatto). La stessa esigenza non l’aveva XX e tanto meno l’avv. Calori. Nel momento in cui ha chiesto la registrazione all’Avv. Calori, l’Avv. Muzii perseguiva un obiettivo - professionale – proprio: la tutela delle proprie clienti. In particolare, l’Avv. Muzii non aveva alcun interesse ad agevolare in qualche modo XX e tanto meno l’Avv. Calori” (v. nota cit., p. 9);

- “se mai fosse ravvisabile un «concorso», ciò sarebbe limitato, sicuramente quanto alla sfera dello scrivente, ad un mero fatto oggettivo, da considerarsi solo ed esclusivamente per l’effetto deterministico che hanno avuto i comportamenti (indipendenti) posti in essere dell’avv. Calori e dell’Avv. Muzii: senza la consegna della registrazione da parte dell’Avv. Calori, lo scrivente non l’avrebbe potuta produrre in giudizio. Tale […] interpretazione degli eventi, impone di effettuare l’indagine sul comportamento dell’Avv. Muzii senza collegarlo alla sfera soggettiva dell’Avv. Calori (o di XX)” (v. nota cit., p. 9);

- “la trasmissione è avvenuta da parte di un professionista (l’Avv. Calori), informato in forma scritta del contesto nell’ambito del quale sarebbe stata utilizzata la registrazione; pertanto, lo scrivente aveva ragionevole motivo di ritenere che XX (e per egli il proprio avvocato) avessero valutato la legittimità della trasmissione. Tant’è che l’autorizzazione all’utilizzo era contornata di vincoli, segno, o quanto meno sintomo, che il consenso all’uso era stato ponderato a dovere” (v. nota cit., p. 10);

- “escludendo in radice il dolo, si rileva […] che non è ravvisabile alcuna colpa nel comportamento dello scrivente” (v. nota cit., p. 11);

- “non c’è stata alcuna conseguenza derivante dall’asserita e contestata violazione, ed in ogni caso si tratta di un evento che si è risolto nel contesto del giudizio in opposizione all’omologazione del concordato preventivo” (v. nota cit., p. 11).

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

All’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita nella complessa istruttoria effettuata, risulta che l’Avv. Calori e l’Avv. Muzii, in qualità di titolari, hanno effettuato, in concorso, alcune operazioni di trattamento riferite alla registrazione della conversazione tra il reclamante e il Sig. XX del 1° aprile 2019, che risultano non conformi alla disciplina in materia di protezione dei dati personali.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

3.1 Obiezioni procedurali.

Preliminarmente, relativamente a quanto osservato dall’Avv. Calori in merito alla trasmissione della notifica delle violazioni ai sensi dell’art. 166 comma 5 del Codice oltre il termine di 120 giorni dall’accertamento delle violazioni della disciplina di protezione dei dati personali (v. nota del 25/06/2024, pp. 1, 2), si osserva come il predetto termine di 120 giorni, previsto dal regolamento interno n. 2 del 2019 per la comunicazione delle presunte violazioni, decorra dall’acquisizione e dalla valutazione di tutti gli elementi indispensabili per la verifica della violazione della disciplina di protezione dei dati personali, condizioni che, nel caso di specie, si sono realizzate solo a seguito della ricezione del riscontro dell’Avv. Muzii del 15 maggio 2024.

Infatti, come chiaramente sostenuto dalla giurisprudenza, il termine per la notifica degli estremi della violazione “non coincide con quello in cui viene acquisito il fatto nella sua materialità da parte dell'autorità cui è stato trasmesso il rapporto, ma va individuato nel momento in cui detta autorità abbia acquisito e valutato tutti i dati indispensabili ai fini della verifica dell'esistenza della violazione segnalata, ovvero in quello in cui il tempo decorso non risulti ulteriormente giustificato dalla necessità di tale acquisizione e valutazione” (tra le molte, v. Corte di cass. sent. n. 38510/2021).

La fase di istruttoria preliminare, tra l’altro, è, per sua natura, destinata a consentire all’Autorità di raccogliere tutti gli elementi pertinenti che confermino (o meno) l’esistenza di una violazione e di decidere come deve proseguire il procedimento (v. CGUE 30/01/2025, causa C-510/23, con riferimento ai procedimenti instaurati dall’Autorità Garante della Concorrenza e del Mercato).

La durata dell’istruttoria - e ciò è connaturato nella struttura e nella funzione della stessa - dipende pertanto dalla complessità degli accertamenti da effettuare, circostanza che, nel caso di specie, come dimostrano le numerose richieste di informazioni effettuate dall’Ufficio in relazione ai diversi soggetti coinvolti, a vario titolo, nel trattamento dei dati in esame, risulta ampiamente comprovata.

Sostenere il contrario, porterebbe a qualificare come del tutto superflua (per non dire addirittura inutile) l’attività istruttoria svolta dall’Autorità a seguito di istanze con le quali viene lamentata la violazione della disciplina di protezione dei dati personali.

L’attività istruttoria preliminare ha invece proprio il fine di verificare la presenza degli elementi idonei a qualificare una violazione e ad avviare il procedimento, nei confronti dei soggetti ritenuti responsabili, mediante la notifica delle predette violazioni ai sensi dell’art. 166 comma 5 del Codice.

Ciò deve anche essere considerato alla luce della particolare delicatezza dei dati trattati nel caso di specie, seppur rientranti nella categoria dei c.d. dati comuni, in quanto relativi alla registrazione di una conversazione, avvenuta all’insaputa dell’interessato, nonché della necessità di acquisire elementi idonei a valutare l’eventuale contributo causale fornito, da ciascuna delle parti coinvolte, alla commissione di eventuali violazioni.

Considerato altresì che, con la notifica delle violazioni, è stata contestata la condotta di trattamento posta in essere, in concorso, dall’Avv. Calori e dall’Avv. Muzii e che la stessa notifica è stata trasmessa in data 3 giugno 2024, risulta evidente il rigoroso rispetto del termine per la contestazione delle violazioni.

In proposito, si osserva, inoltre, come l’ultimo riscontro dell’Avv. Calori sia del 4 febbraio 2024 e che, anche qualora si ritenesse che i trattamenti effettuati dai due avvocati non siano stati posti in essere in concorso, la corretta ricostruzione del quadro complessivo, sentendo le parti coinvolte così riconoscendo il più ampio diritto di difesa, si è potuto avere solo successivamente all’esame del riscontro dell’Avv. Muzii del 15 maggio 2024.

3.2 Trattamento effettuato in assenza di una idonea condizione di liceità del trattamento.

Nel merito, è emerso che l’Avv. Calori, difensore del Sig. XX in sede penale, con e-mail del 22 aprile 2021, ha trasmesso all’Avv. Muzii, legale della XX e XX, dietro specifica richiesta dell’Avv. Muzii stesso, il file audio della registrazione della conversazione avvenuta tra il reclamante e il Sig. XX in data 1° aprile 2019; registrazione effettuata all’insaputa del reclamante e senza che alla conversazione partecipassero rappresentanti delle due Società.

Ciò, nell’ambito della strategia difensiva posta in essere dall’Avv. Muzii per le Società in merito alla procedura di opposizione alla omologazione del concordato preventivo richiesto da XX: l’opposizione alla omologazione di concordato preventivo ex art. 180 l. fall. è stata presentata dalle Società e da altri soggetti tra i quali, però, non rientrava il sig. XX che, seppure creditore di XX, non si è opposto in giudizio alla omologazione.

In proposito, si precisa che l’istruttoria, effettuata a seguito della presentazione del reclamo in esame, non ha preso in considerazione il trattamento relativo alla produzione in giudizio della registrazione della conversazione tra il reclamante e il Sig. XX, in quanto in proposito trova applicazione l’art. 160-bis del Codice (“La validità, l'efficacia e l’utilizzabilità nel procedimento giudiziario di atti, documenti e provvedimenti basati sul trattamento di dati personali non conforme a disposizioni di legge o di Regolamento restano disciplinate dalle pertinenti disposizioni processuali”).

Il trattamento oggetto del procedimento amministrativo e del presente provvedimento è pertanto quello che è stato posto in essere nella fase precedente alla produzione in giudizio della registrazione, quindi quello consistente nella consegna della registrazione in questione da parte dell’Avv. Calori e della conseguente ricezione della registrazione da parte dell’Avv. Muzii che l’aveva espressamente richiesta.

In materia di registrazione di conversazione tra presenti, si osserva come, per orientamento consolidato della giurisprudenza, la registrazione è ritenuta pienamente legittima a condizione che la stessa sia effettuata da uno degli interlocutori, per finalità di difesa di un proprio diritto in giudizio e sempre che tale registrazione non sia destinata alla diffusione o alla comunicazione sistematica (v. Cass. n. 7239 dell'8 giugno 1999; Cass. n. 31342 del 16 marzo 2011; Cass. pen., sez. III, n. 18908 del 13 maggio 2011; Cass. pen., sez. III, n. 43898 del 3 ottobre 2012; Cass. pen. n. 10079 dell’8 marzo 2024 “la registrazione fonografica di un colloquio, svoltosi tra presenti o mediante strumenti di trasmissione, ad opera di un soggetto che ne sia partecipe, o comunque sia ammesso ad assistervi, non è riconducibile, quantunque eseguita clandestinamente, alla nozione di intercettazione, ma costituisce forma di memorizzazione fonica di un fatto storico, della quale l'autore può disporre legittimamente, anche a fini di prova nel processo secondo la disposizione dell'art. 234 cod. proc. pen., salvi gli eventuali divieti di divulgazione del contenuto della comunicazione che si fondino sul suo specifico oggetto o sulla qualità rivestita dalla persona che vi partecipa (ex plurimis, Sez. 2, n. 40148 del 06/07/2022, Rv. 283977; Sez. 2, n. 12347 del 10/02/2021, Rv. 280996; Sez. U, n. 36747 del 28/05/2003, Rv. 225465)”).

La ratio della legittimità della registrazione di cui sopra si basa, a detta della stessa Corte di Cassazione, nella circostanza che “chi conversa accetta il rischio che la conversazione sia documentata mediante registrazione”, fermo restando che la comunicazione della suddetta registrazione può comportare la violazione del diritto alla protezione dei dati personali se effettuata per scopi diversi “dalla tutela di un diritto proprio o altrui” (v. Cass. pen, cit., n. 18908/2011; confermata anche da Cass. pen., n. 24288 del 10 giugno 2016).

Risulta evidente come, nel caso di specie, non ricorrano i presupposti che la giurisprudenza ha ritenuto necessari affinché sia legittima la produzione in giudizio di una registrazione di una conversazione: ciò in quanto, nel caso in esame, la registrazione è stata prodotta in giudizio da un soggetto diverso rispetto ai presenti alla conversazione e in un procedimento (opposizione all’omologazione) nel quale il sig. XX non era parte.

Si precisa, in proposito, che le condotte esaminate relativamente alla registrazione della conversazione (comunicazione e ricezione) sono state poste in essere dagli Avv.ti Calori e Muzii, in qualità di autonomi titolari del trattamento (art. 4 (7) del Regolamento) e nello svolgimento dell’attività difensiva.

Gli stessi avvocati, infatti, proprio avendo assunto la difesa rispettivamente del Sig. XX e delle Società, hanno rivestito, relativamente alla documentazione in loro possesso fornita dagli assistiti in virtù o in correlazione del mandato ricevuto, il ruolo di titolari del trattamento, stabilendo le finalità e i mezzi del trattamento nell’ambito della strategia difensiva dei propri clienti.

Proprio le Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere un diritto in sede giudiziaria, pubblicate ai sensi dell’art. 20, comma 4, del d. lgs. 10 agosto 2018 n. 101, richiamate tra l’altro dall’Avv. Calori negli scritti difensivi del 25 giugno 2024, individuano le condizioni che l’avvocato deve rispettare nel trattamento di dati che effettua come titolare nell’adempimento delle sue funzioni.

Tale ricostruzione qualificatoria è ripresa anche dalla commissione del Consiglio Nazionale Forense in materia di privacy nel documento del 22 maggio 2018 “Il GDPR e l’avvocato” - richiamato peraltro dall’Avv. Calori nella nota del 25 giugno 2024-, nel quale, alla domanda “quando l’avvocato è titolare”, viene precisato tra l’altro che “L’avvocato sarà titolare del trattamento di tutte le informazioni che vengono allo stesso fornite dagli assistiti in virtù o in correlazione del mandato ricevuto” (p. 14).

Non risulta dunque conforme alla disciplina di protezione dei dati personali attribuire, nel caso di specie, il ruolo di autorizzato agli avvocati, come invece sostiene l’Avv. Calori (v. nota cit., 25/06/2025, p. 7) che ritiene di avere agito “in qualità di mero esecutore materiale delle operazioni di trattamento pianificate e controllate dal XX”). Così ragionando, infatti, si priverebbe la professione di avvocato della sua essenza, nonché della sua rilevanza sul piano di effettività dell’esercizio del diritto di difesa.

Inoltre, si osserva come l’art. 33 del Codice deontologico forense disponga sia che “l’avvocato, se richiesto, deve restituire senza ritardo gli atti ed i documenti ricevuti dal cliente e dalla parte assistita per l’espletamento dell’incarico e consegnare loro copia di tutti gli atti e documenti, anche provenienti da terzi, concernenti l’oggetto del mandato e l’esecuzione dello stesso sia in sede stragiudiziale che giudiziale, fermo restando il disposto di cui all’art. 48, terzo comma, del presente codice” (comma 1) sia che “l’avvocato può estrarre e conservare copia di tale documentazione, anche senza il consenso del cliente e della parte assistita” (comma 3).

Si precisa altresì che il riferimento inserito dall’Avv. Calori al passaggio del documento del 22 maggio 2018 del Consiglio Nazionale Forense non avvalora la sua ricostruzione.

Infatti, è necessario precisare che quanto indicato dall’Avv. Calori nella predetta nota del 25 giugno 2024 (“pertanto, come già chiarito dal Consiglio Nazionale, Commissione CNF in materia di privacy, se il suo cliente richiede la trasmissione dei suoi dati ad un collega, l'avvocato dovrà trasferirli in formato strutturato comunemente usato e leggibile da una macchina, se non voglia commettere un illecito (Linee Guida del 22 maggio 2018)”) è un passaggio inserito, dal Consiglio Nazionale Forense nel documento “Il GDPR e l’avvocato”, nel punto relativo all’esercizio del diritto alla portabilità di cui all’art. 20 del Regolamento; in proposito la commissione del Consiglio Nazionale Forense precisa che, in materia di protezione dati, “il diritto alla portabilità attribuisce agli interessati la facoltà di esigere dal titolare del trattamento la trasmissione dei loro dati ad un altro titolare, senza che il primo si possa opporre. L’art. 20 del GDPR attribuisce all’interessato il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora: a) il trattamento si basi sul consenso o su un contratto e b) il trattamento sia effettuato con mezzi automatizzati. Ciò significa che l'avvocato che tratti i dati dei clienti con mezzi automatizzati (per esempio, adottando un gestionale informatico o anche solo tenendo uno schedario sotto forma di foglio di calcolo) è tenuto a comunicare i dati del suo cliente al collega alle seguenti condizioni: - il cliente ha espresso il suo consenso al trattamento dei suoi dati personali o il trattamento è necessario per l'esecuzione di un contratto a cui il cliente è parte o l'esecuzione delle misure precontrattuali adottate a richiesta del cliente; - e il trattamento è stato effettuato con mezzi automatizzati”.

Da tale passaggio, risulta chiaro il riconoscimento dell’avvocato come titolare del trattamento e, quindi, come destinatario naturale delle istanze di esercizio del diritto alla portabilità che il cliente dovesse presentare.

Individuate le operazioni di trattamento oggetto del provvedimento e chiarito, di conseguenza, che, nel caso di specie, gli avvocati hanno agito come titolari del trattamento, si precisa che le condotte poste in essere sono state effettuate in concorso ex art. 5 della l. n. 679 del 1981 (“quando più persone concorrono in una violazione amministrativa, ciascuna di esse soggiace alla sanzione per questa disposta, salvo che sia diversamente stabilito dalla legge”).

Non è degna di pregio l’obiezione dell’Avv. Muzii (v. nota 3/07/2024, p. 9) in merito alla impossibilità di ravvisare un’ipotesi di concorso in senso giuridico.

La violazione della disciplina di protezione dei dati personali, infatti, è stata posta in essere dai due avvocati che hanno effettuato, nello svolgimento della professione forense, operazioni di trattamento che si sono concretizzate nella comunicazione e nella (conseguente) ricezione della registrazione della conversazione citata, in assenza di un’idonea condizione di liceità del trattamento, quindi in violazione dell’art. 6 del Regolamento che costituisce corollario del principio di liceità del trattamento (art. 5 par. 1 lett. a) del Regolamento) per quanto riguarda i dati c.d. comuni.

Appare evidente quindi il contributo causale di entrambi all’effettuazione di un trattamento di dati personali, in assenza di un’idonea condizione di liceità del trattamento per la tutela delle posizioni creditorie del Sig. XX e delle Società.

In proposito, si evidenzia che l’Avv. Muzii aveva indicato il motivo specifico per il quale chiedeva la registrazione della conversazione e cioè la produzione nel giudizio di opposizione ex art. 180 l. fall. che le Società hanno poi posto in essere nel contesto del concordato preventivo di XX 
Risulta evidente come ad entrambi gli avvocati dovessero essere chiari i contorni dell’illiceità della condotta che stavano ponendo in essere, vista anche la professionalità e la competenza richieste per lo svolgimento della professione di avvocato.

3.3 Violazione del principio di correttezza.

La condotta dell’Avv. Calori e dell’Avv. Muzii si pone inoltre in contrasto con il principio di correttezza (art. 5 par. 1 lett. a) del Regolamento).

Ciò considerato che, per quanto riguarda l’Avv. Calori, quest’ultimo non si è limitato alla (lecita) produzione, per esigenze di difesa, nei giudizi in cui era parte il proprio assistito (Sig. XX) della registrazione della conversazione alla quale lo stesso ha partecipato, ma ha anche accolto la richiesta dell'Avv. Muzii, mettendogli a disposizione copia della registrazione medesima, nella consapevolezza che sarebbe stata prodotta nel giudizio di opposizione alla omologazione attivato dalle Società e altri soggetti tra i quali non compariva il Sig. XX.

Relativamente all’avv. Muzii, si sottolinea come lo stesso, chiedendo ed acquisendo copia della registrazione all’Avv. Calori al fine di produrla nel giudizio di opposizione alla omologazione nel quale il Sig. XX non era parte, ha posto in essere una condotta in concorso con quanto effettuato dall’Avv. Calori stesso.

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Alla luce di quanto complessivamente rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dai titolari del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che risultino pertanto inidonee a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento posto in essere dagli Avv.ti Calori e Muzii risulta infatti illecito, nei termini su esposti, in quanto posto in essere, in concorso ex art. 5 l. n. 689 del 1981, in violazione degli artt. 5, par, 1, lett. a), 6, del Regolamento.

In relazione alla fattispecie in esame deve osservarsi tuttavia che l’assenza, allo stato, di precedenti specifici a carico degli Avv.ti Calori e Muzii, le peculiarità del caso concreto derivanti dalla novità della fattispecie in esame e dalla delicatezza del contesto societario caratterizzato da una procedura concorsuale in cui gravitano diverse esigenze di tutela delle diverse posizioni in campo, costituiscono tutti elementi che inducono a qualificare l’infrazione come “violazione minore” (art. 83, par. 2, e Considerando 148 del Regolamento).

Si ritiene, quindi, che, relativamente al caso in esame, occorra ammonire i titolari del trattamento, ai sensi degli artt. 143 del Codice e 58, par. 2, lett. b), del Regolamento, per aver effettuato trattamenti in violazione degli artt. 5, par, 1, lett. a), e 6, del Regolamento, in concorso ex art. 5 l. n. 689 del 1981, in violazione degli artt. 5, par, 1, lett. a), 6, del Regolamento, nei termini indicati in motivazione.

Si ritiene, infine, che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019.

TUTTO CIÒ PREMESSO, IL GARANTE

a) ai sensi dell’art. 57, par. 1, lett. f), del Regolamento rileva l’illiceità del trattamento effettuato dall’Avv. Lorenzo Muzii, residente in XX, CF XX, e dall’Avv. Matteo Sergio Calori, residente XX, C.F. XX, descritto nei termini di cui in motivazione, per la violazione, in concorso ex art. 5 l. n. 689 del 1981, degli artt. 5, par, 1, lett. a), e 6, del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. b), del Regolamento ammonisce l’Avv. Lorenzo Muzii e l’Avv. Matteo Sergio Calori, quali titolare del trattamento in questione, per aver effettuato, in concorso ex art. 5 l. n. 689 del 1981, trattamenti in violazione di quanto prescritto dagli artt. 5, par, 1, lett. a), e 6, del Regolamento;

c) ritiene che ricorrano i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 27 novembre 2025

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori