[doc. web n. 10292539]

Provvedimento del 14 luglio 2026

Registro dei provvedimenti
n. 524 del 14 luglio 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”), come novellato dal d.lgs. del 10 agosto 2018, n. 101, recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. Il reclamo pervenuto. 

È pervenuto a questa Autorità, l’11 aprile 2025, il reclamo della Signora XX, che di seguito si ripropone sintetizzato rispetto a quanto d’interesse dell’Autorità, tenuto conto che la reclamante ha lamentato varie violazioni di carattere civilistico, oltre a quelle in materia di protezione dei dati personali. In particolare, la reclamante ha rappresentato: 

- di essersi recata il 20 novembre 2024, presso lo studio dell'avvocato XX per una consulenza legale su un contenzioso immobiliare;  - che l'avv. XX le avrebbe chiesto ed ottenuto la relativa documentazione, senza chiarire se l’avrebbe assistita e con quali modalità;  - che non le era stato fatto firmare alcun consenso al trattamento dei dati personali comuni e sensibili, né le era stata consegnata l'informativa sul trattamento dei dati;   - che il 2 dicembre 2024, la reclamante avrebbe appreso dal notaio incaricato che l'Avv. XX si sarebbe presentato al rogito il 4 dicembre successivo, senza averla avvisata.

La reclamante ha dichiarato di ritenere tale condotta scorretta e poco professionale, essendo avvenuta in mancanza di un mandato, di un preventivo scritto (con il dettaglio delle attività effettuate e dei relativi costi) nonché – ciò che rientra nella competenza dell’Autorità - della firma di documenti relativi al trattamento dei dati “sensibili”, aggiungendo di aver tenuto un’infruttuosa corrispondenza (telefonica ed epistolare) con l’Avv. XX al riguardo.

Alla luce di quanto sopra, la Sig.ra XX ha chiesto al Garante di assumere “ogni opportuno provvedimento”.
                    
2. L’attività istruttoria.        

2.1. L’Autorità, il 19 settembre 2025, ha avviato l’istruttoria preliminare inviando una richiesta d’informazioni all’Avv. XX. Questi, con nota del 6 ottobre 2025, ha rappresentato di aver ricevuto la signora XX presso il suo studio, “fornendo subito visione dell'informativa privacy mediante indicazione di una copia cartacea che tengo sempre a disposizione in sala d'attesa.” Il legale ha peraltro osservato che, a suo avviso, il Regolamento non prevederebbe che “l'informativa debba necessariamente essere scritta” e che nell'ambito dell'organizzazione del suo Studio legale, “ritenendo di adempiere sempre agli obblighi imposti dalla legge, h(a) adottato, in alcuni casi, modalità semplificate ma comunque efficaci allo scopo.”

Il medesimo legale inoltre ha specificato che l'incarico è consistito, oltre al ricevimento in studio, in assistenza ad un rogito notarile già fissato e per il quale era stata redatta dal notaio stesso una bozza di atto, e non ha richiesto alcuna attività quali scritti a terzi o divulgazione di dati personali; e che non era stato redatto nemmeno un mandato, non avendo ravvisato la necessità di atti giudiziari. 

L’Avv. XX ha precisato che “ …Assunto l'incarico scrivevo a controparte e nel contempo intrattenevo con quest'ultimo una corrispondenza telefonica e riuscivo ad avere dal notaio ... la data per la stipula definitiva ... Ritengo a questo punto di aver considerato l'urgenza della soluzione attivandomi in ogni modo per poter raggiungere lo scopo richiesto dalla cliente.”

Nell’allegare copia della procura alle liti prevista in caso di atti giudiziari nonchè “copia fotografica della stanza d'attesa dove si vede appesa al muro la normativa sulla privacy”, XX ha chiesto “quindi se in altri casi debba ulteriormente adempiere a qualche altro incombente”, manifestando la “più completa disposizione al fine di collaborare per la migliore gestione di questa incresciosa situazione. “
           
2.2. Nell’ambito dell’istruttoria preliminare avviata, tenuto conto del suddetto riscontro inviato dall’Avv. XX, l’Ufficio del Garante, il 9 febbraio u.s., al fine di ricostruire più chiaramente la vicenda e di verificare l’effettiva portata del trattamento dei dati personali degli interessati, ha chiesto al legale di fornire ogni elemento utile a ricostruire i momenti d’interazione avuta con la reclamante, prima della stipula del rogito notarile (il 4 dicembre 2024), specificando le relative date e se la detta interazione fosse stata diretta o mediata da terzi (segreteria o altro Avvocato). 

L’Avvocato, con nota del 3 marzo 2026, ha dato seguito a tale richiesta d’informazioni integrative, rappresentando che “ … Ho ricevuto la cliente i giorni 20/11/2024, 27/11/2024 e 11/12/2024. Il timore della cliente era che avendo sottoscritto un preliminare di vendita il venditore potesse stipulare altro contratto con altro cliente. Vi era pertanto urgenza di contattare controparte e tentare di far fissare al più presto per il rogito del contratto definitivo ..  Il 04/12/24 si perveniva quindi al contratto definitivo davanti al notaio …. Stante l'urgenza e non essendovi atti giudiziari da fare, non chiedevo alla cliente i dati sensibili  …”  

Il legale ha aggiunto che “L'altro cenno della questione è stato un avviso da parte mia, su richiesta esplicita della cliente, senza ovviamente far cenno alle sue problematiche, che avrei applicato le tariffe previste dal DM 55/2014 come modificato dal DM 147/2022, ciò l'ha sentito anche la collega di studio ...  Nessuna altra interazione è avvenuta con terze persone né i suoi problemi sono stati da me discussi con altri se non con controparte e con il notaio. “, rinnovando la sua disponibilità per quanto potesse ulteriormente occorrere a questa Autorità.
        
2.3. In replica al riscontro fornito dall’Avv. XX, la Sig.ra XX, il 9 marzo 2026, ha fatto pervenire ulteriori osservazioni, precisando che: “La relazione professionale intercorsa con l’Avv. XX è stata estremamente limitata. Ho avuto con lui soltanto due incontri nell’arco di una settimana prima del rogito e ho scambiato alcune brevi comunicazioni via e-mail, alle quali in alcuni casi non ho nemmeno ricevuto risposta. In nessuna occasione mi è stato sottoposto o richiesto di sottoscrivere: – un mandato professionale; – un’informativa sul trattamento dei dati personali ai sensi della normativa vigente … “

2.4. Dagli atti dell’istruttoria preliminare e dalle dichiarazioni rese da entrambe le parti, anche ai sensi dell’articolo 168, comma 1, del Codice – ferma restando l’estraneità dei profili contrattuali, e, più in generale, civilistici, rispetto alle competenze del Garante - è venuta in rilievo la seguente possibile criticità in materia di trattamento dei dati personali. 

In particolare, l’Avv. XX, con nota del 6 ottobre 2025, ha dichiarato di aver fornito subito (in occasione del primo ricevimento dell’interessata) visione dell'informativa privacy mediante indicazione di una copia cartacea tenuta a disposizione in sala d'attesa, allegando copia di una fotografia dell’informativa in questione. Il legale ha osservato peraltro che la disciplina vigente non prevederebbe alcun obbligo di rilascio dell’informativa, sicchè ha ritenuto legittimo, utilizzare, in alcuni casi, modalità informative semplificate, ma comunque efficaci allo scopo. 

Tuttavia, anche tenuto conto di quanto asserito dalla reclamante che ha costantemente negato, in ogni sua nota inviata all’Autorità (v. sopra), la ricezione dell’informativa, l’Ufficio riteneva non sussistenti evidenti elementi idonei a comprovare - in applicazione del generale principio di accountability (artt. 5, par. 2, e 24, Regolamento) - il rilascio dell’informativa alla medesima, non risultando, in atti, alcun modulo (cartaceo od elettronico) firmato, né per presa visione, né per accettazione o altra prova dell’avvenuta ricezione. 

L’Ufficio valutava altresì di non poter ritenere sufficiente, in funzione probatoria, neanche la copia fotografica del testo informativo asseritamente esposto nella sala d’attesa dello studio legale, allegata dall’Avv. XX nel suo riscontro a quest’Ufficio, senza alcun ulteriore elemento e documento, poiché non risultava accertabile in che circostanza (tempo e luogo) tale testo fosse stato sottoposto all’interessata e se fosse stata così garantita l’effettiva conoscibilità della medesima.                         

Inoltre, il caso in esame non appariva rientrare nell’unica esenzione dall’obbligo di informativa prevista dall’articolo 13, par. 4, del Regolamento, per la raccolta di dati personali effettuata direttamente presso l’interessato, in base alla quale il titolare può non rilasciare l’informativa “se e nella misura in cui l’interessato dispone già delle informazioni”.
   
3. L’avvio del procedimento e le memorie difensive. 

Sulla base delle risultanze dell’istruttoria preliminare, riassunte al punto 2, l’Ufficio ha quindi notificato, in data 15 aprile 2026, all’Avv. XX, in qualità di titolare del trattamento, nonché alla Signora XX, in qualità d’interessata, l’avvio del procedimento per l’adozione dei provvedimenti di cui agli articoli 58, paragrafo 2, e 83 del Regolamento, ai sensi degli articoli 77 e segg. del Regolamento, dell’articolo 166 del Codice e degli articoli 12 e segg. del regolamento 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, nonché all’adozione dei provvedimenti correttivi e sanzionatori (pubblicato sulla Gazzetta Ufficiale n. 106 dell' 8 maggio 2019 e reperibile nel sito web dell’Autorità, https://www.garanteprivacy.it/web/guest/home), indicando, oltre agli avvisi di rito sul diritto di difesa, che:

a) l’oggetto del procedimento riguardava il trattamento dei dati personali della Sig.ra XX da parte dell’avv. XX, in presunta assenza dell’informativa per il trattamento dei dati e – in via strettamente connessa - in presunta violazione del principio di liceità;

b)  le disposizioni presumibilmente violate nel caso di specie, risultavano, in particolare: - l’articolo 13 del Regolamento, in combinato disposto con gli articoli 5, par. 2 e 24 del medesimo Regolamento, per aver il titolare effettuato il trattamento dei dati personali della medesima interessata in assenza di informativa; l’articolo 5, par. 1, lett. a), del Regolamento, per non avere il titolare trattato i dati della reclamante in modo lecito; 

Con memoria del 13 maggio scorso, l’Avvocato ha dichiarato che: 

- la dott.ssa XX sarebbe giornalista con diverse pubblicazioni su quotidiani, servizi su varie reti locali e profili social in cui pubblicizza la propria attività professionale, essendo anche titolare di una pagina su You Tube in cui è lei stessa titolare del trattamento e che il profilo professionale della dott.ssa XX e l’uso massivo dei media come protagonista di pubblicazioni, “fanno desumere una certa sensibilità in relazione al trattamento dati personali e consapevolezza dei propri diritti”; 

- la dott.ssa XX avrebbe richiesto l’appuntamento e si sarebbe spontaneamente presentata presso il suo studio legale in data 20 novembre 2025 accompagnata dalla madre che, per sua volontà, ha assistito all’incontro; la medesima avrebbe avuto accesso e occasione di attesa nella sala d’aspetto in cui figura l’informativa sul trattamento dei dati personali in cui viene indicato come titolare del trattamento lo stesso dominus e vengono precisati i dati trattati, le finalità e la base giuridica; 

- come premesso, si sarebbe trattato di un incarico svolto e definito in un tempo molto limitato (circa 14 giorni), vista l’urgenza posta dalla stessa interessata che ha richiesto l’azione diretta dell’avvocato de quo;  

- l’operazione professionale effettuata riguardava una compravendita immobiliare; quindi, anche ai sensi dell’art. 4 del Regolamento, egli avrebbe trattato esclusivamente dati comuni (anagrafici e di contatto) dell’interessata, non avendo avuto alcuna necessità di trattare alcun dato particolare o giudiziario della stessa. Tali dati comuni sarebbero stati conferiti direttamente dall’interessata per sua espressa comunicazione e volontà (peraltro ribadita più volte come documentato dalle mail scambiate dalla dott.ssa XX con l’avvocato medesimo e con il Notaio: docc. 1, 2 e 3) e il loro trattamento avrebbe per base giuridica il suddetto incarico professionale regolarmente adempiuto.;

- la dott.ssa XX non avrebbe mai esercitato i diritti spettanti in qualità d’interessata, in termini di richiesta di trasmissione di copia dell’informativa o di diritto di accesso ex art. 15 del Regolamento; le sue doglianze sarebbero  iniziate soltanto dopo aver ricevuto la parcella e la diffida dell’Avvocato incaricato dall’avv. XX per la tutela dei propri diritti; tali circostanze “fanno desumere una volontà della dott.ssa XX, non tanto di protezione dei propri diritti al trattamento dati personali, quanto una volontà ritorsiva nei confronti del professionista, volontà non meritevole di avallo alcuno. “.

Con specifico riguardo all’obbligo di informativa sul trattamento dei dati personali, l’Avv. XX ha rappresentato che: ” Pur nella consapevolezza che l’accountability del Titolare del trattamento postula la necessità del Titolare di poter dimostrare di aver assolto agli obblighi di legge (art. 5 c. 2 Gdpr), non si può non rilevare che la richiesta di formalizzare la presa visione di un documento, rischia di trasformare l’incombente (non formalizzato dalla stessa norma) in una probatio diabolica.” 

Il medesimo ha poi aggiunto che, a suo avviso:

- l’articolo 13 del Regolamento impone che l’informativa sia “fornita” all’interessato al momento della raccolta dei dati, ma non prescrive una forma vincolata, né tantomeno impone la forma scritta o la sottoscrizione dell’informativa, anche nell’ottica di distinzione dal consenso; al riguardo facendo riferimento, in funzione di deroga all’obbligo informativo, anche al considerando 62 del medesimo Regolamento, in base al quale: “Per contro, non è necessario imporre l'obbligo di fornire l'informazione se l'interessato dispone già dell'informazione, se la registrazione o la comunicazione dei dati personali sono previste per legge o se informare l'interessato si rivela impossibile o richiederebbe uno sforzo sproporzionato”;

- per l’ambito forense deve ulteriormente darsi particolare rilievo alla delibera di questa Autorità Garante del 19 dicembre 2018, n. 512 e pubblicata in G.U. n. 12 del 15/01/2019 “Regole deontologiche relative ai trattamenti di dati personali effettuati per svolgere investigazioni difensive o per fare valere o difendere un diritto in sede giudiziaria”, e in particolare all’articolo 3 che, richiamando l’articolo 13 del Regolamento sulle informazioni da fornire qualora i dati personali siano raccolti presso l’interessato, stabilisce che l’avvocato può fornire l’informativa sul trattamento dei dati personali in un unico contesto; mediante affissione nei locali dello studio; pubblicando la stessa informativa sul proprio sito Internet (se ne dispone); utilizzando formule sintetiche e colloquiali;

- gli articoli 12 e ss. del Regolamento, ed i rispettivi considerando, mirano allo scopo sostanziale che l’Interessato sia informato sul trattamento dei suoi dati personali, “senza prescrivere forme sacramentali sul come rendere questa informazione”;

- la mancata sottoscrizione dell’informativa non equivale alla mancanza di base giuridica, né rende illecito il trattamento, che, come già detto, è basato su un incarico professionale composto da scambio di documenti, interazioni a mezzo mail e telefono, ricezione della parcella.

Il detto Titolare ha inoltre richiamato, a sua difesa, “la funzione dell’Avvocato di tutela dei diritti delle persone, così come riconosciuta all’art. 24 della Costituzione e rigidamente disciplinata dal Codice Deontologico sotto il profilo della riservatezza e del segreto professionale delle informazioni acquisite dai legali”.

Il legale ha inoltre rappresentato che l’evento di cui si tratta è stato occasione per intraprendere (ed in parte avrebbe già iniziato), un percorso di miglioramento della propria struttura, per offrire ai propri assistiti un trattamento dei loro dati personali ispirato alle best practices in materia, per come attuabili nel suo contesto professionale e lavorativo. In tal senso, egli avrebbe già dato incarico a professionisti esterni al suo Studio di revisionare il testo delle informative e degli incarichi professionali da sottoporre ai clienti.

Tanto premesso ed esposto, l’avv. XX ha chiesto, in via principale, l’archiviazione del procedimento avviato; In subordine, “in ottica di un miglioramento costante della compliance al GDPR”, l’adozione di un provvedimento di ammonimento in luogo della sanzione amministrativa, perché le circostanze del caso in questione evidenzierebbero la lievità del fatto e degli effetti della violazione. Da ultimo e in ulteriore subordine, laddove l’Autorità ritenesse di irrogare una sanzione amministrativa ha chiesto di quantificarla nella misura più bassa possibile, considerato che: a) la violazione sarebbe di natura formale; b) nessun pregiudizio sarebbe occorso agli interessati coinvolti (uno solo peraltro); c)  non vi sarebbe stato un trattamento occulto; d) sarebbero in corso di adozione le suindicate misure organizzative; d) sarebbe ravvisabile la buona fede professionale; e) l’impatto sui diritti dell’interessato sarebbe ridotto (rectius: nullo) f) il fatto contestato sarebbe del tutto inoffensivo.

4. L’esito dell’istruttoria. 

Dagli atti della istruttoria preliminare e da quelli successivamente acquisiti nel procedimento, non si ritiene di poter considerare superati i rilievi mossi con la suindicata contestazione, poiché va tenuto conto dell’inscindibile connessione fra l’assolvimento, ai sensi dell’articolo 13 del Regolamento, dell’adempimento in materia di informativa sul trattamento dei dati e l’obbligo probatorio in relazione al medesimo adempimento, in applicazione del principio di accountability, come capacità di comprovare la conformità al vigente quadro normativo dei trattamenti effettuati (come stabilito precipuamente dagli articoli 5, comma 2, e 24 del Regolamento). 

Più in particolare, non sono emersi elementi e documenti sufficienti ad accertare in che circostanza (tempo e luogo) l’informativa de qua sia stata sottoposta all’interessata e se sia stata così garantita l’effettiva conoscibilità della medesima.  

In tale ottica, non è certamente condivisibile la tesi del Titolare secondo cui sarebbe da ritenersi “probatio diabolica” “la richiesta di formalizzare la presa visione di un documento”, risultando questa, invece, un espediente utile ai fini del raggiungimento dell’obiettivo probatorio.

Questa Autorità ritiene opportuno peraltro evidenziare che, diversamente opinando, si rischierebbe di rendere quello informativo un adempimento meramente formale e burocratico, con inevitabile pregiudizio all’effettivo potere di autodeterminazione riguardo al trattamento dei propri dati e, in via correlata, all’effettivo potere di controllo sullo stesso, anche considerato quanto stabilito dalle Linee guida sulla trasparenza ai sensi del regolamento 2016/679, adottate il 29 novembre 2017, vers. emendata adottata l’11 aprile 2018, WP260 rev.01, alla p. 12, secondo cui: “Un aspetto di fondamentale importanza è che il o i metodi scelti per fornire le informazioni siano adeguati alle circostanze, vale a dire la modalità di interazione tra il titolare del trattamento e l’interessato o la modalità di raccolta delle informazioni dell’interessato” .

Può dirsi evidente che la semplificazione del fondamentale obbligo informativo, ammessa dal legislatore europeo nonché dalle sopra richiamate Regole deontologiche non può tradursi nella sostanziale elusione dell’altrettanto essenziale onere della prova, compiuta e dimostrabile, di aver adottato determinate modalità semplificate atte a determinare l’effettiva consapevolezza dell’interessato, che è il reale scopo dell’obbligo imposto dalle disposizioni di cui gli articoli 12, 13 e 14 del Regolamento.  

Al riguardo, peraltro, sono da considerarsi inconferenti il richiamo all’articolo 24 della Costituzione riguardo all’esercizio del diritto di difesa e, ai doveri di riservatezza e segreto professionale, posti dal Codice deontologico forense in capo all’Avvocato, tantomeno in funzione di limite alla prova del fondamentale obbligo informativo; nonché il riferimento al Considerando 62 del Regolamento, riguardante casi di esclusione del detto obbligo non configurabili nella fattispecie in esame (se “l'interessato dispone già dell'informazione o se informare l'interessato si rivela impossibile o richiederebbe uno sforzo sproporzionato”).

Siffatto onere probatorio - presidio di conoscenza ed, auspicabilmente, consapevolezza a beneficio dell’interessata – va assicurato, tanto più quando l’interessato risulti essere alle prese con una rilevante problematica giuridico-economica, la cui urgenza può tutt’al più giustificare la mancata formalizzazione – come nel presente caso - di un accordo puntuale sulle attività da svolgersi da parte del legale e sui connessi trattamenti di dati. Ciò, al fine di garantire all’interessato un’effettiva consapevolezza riguardo al trattamento dei propri dati personali, pur mediante un’informativa in forma semplificata, anche in circostanze di possibile minore attenzione alla sfera dei propri dati personali.

Inoltre va rilevato che il difetto di accountability impedisce, in quanto principio basilare del sistema della protezione dei dati, la piena liceità del trattamento posto in essere, anche ove assistito da idonea base giuridica (quale un mandato professionale) ai sensi dell’articolo 6 del Regolamento.

Alla luce di quanto sopra esposto, devono ritenersi, pertanto, violati: 

a) l’articolo 13 del Regolamento, in combinato con gli articoli 5, par. 2 e 24 del medesimo Regolamento, per aver il titolare effettuato il trattamento dei dati personali dell’interessata senza esser riuscito a provare, in modo certo e dimostrabile, di aver rilasciato la necessaria previa informativa; 

b) l’articolo 5, par. 1, lett. a), del Regolamento, per non avere il titolare trattato i dati della reclamante in modo lecito.

5. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimento.

Alla luce di quanto complessivamente accertato, il Garante ritiene che le dichiarazioni del titolare del trattamento (la predisposizione di un’informativa in bacheca, senza alcun presidio a garanzia dell’effettiva conoscibilità della medesima; l’esecuzione in tempi molto stretti dell’incarico professionale; il comportamento asseritamente non sempre coerente, o persino ritorsivo, che la reclamante avrebbe tenuto nei suoi confronti;  l’esperienza in materia di protezione dei dati eventualmente riconoscibile alla reclamante: v. memoria difensiva 13 maggio 2026, cit.), nonché la documentazione fornita nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e risultino pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo alcuno dei casi previsti dall’articolo 11 del regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dall’Avv. XX risulta infatti illecito, nei termini su esposti, in particolare in quanto posto in essere in violazione: -  dell’articolo 13 del Regolamento, in combinato con gli articoli 5, par. 2 e 24 del medesimo Regolamento, per aver il titolare effettuato il trattamento dei dati personali dell’interessata senza esser riuscito a provare di aver rilasciato la necessaria previa informativa;- in via conseguenziale, dell’articolo 5, par. 1, lett. a), del Regolamento, per non avere il titolare trattato i dati della reclamante in modo lecito.

Sulla base dei criteri indicati dall’articolo 83 del Regolamento - considerando: il tipo di dati trattati, fra cui non si ravvisano dati particolari di cui all’articolo 9 del Regolamento; la breve durata del trattamento; l’assenza di dolo, poiché all’Avv. XX è risultato imputabile un elemento soggettivo meramente colposo; la cooperazione, costante ed efficiente, del titolare con l’Autorità; le misure che il medesimo titolare ha dichiarato in corso di adozione, a fine di migliorare la conformità dei trattamenti alla vigente normativa;  l’episodicità del trattamento in questione; la non ravvisabilità di alcun beneficio finanziario derivante dalla sua condotta e la mancanza di precedenti violazioni pertinenti commesse dal medesimo titolare - si ritiene che, nel caso di specie, sia configurabile una violazione ‘minore’ e che non ricorrano i presupposti per infliggere una sanzione amministrativa pecuniaria di cui all’articolo 58, par. 2, lett. i) del Regolamento, anche in base al Considerando n. 148 del Regolamento stesso.

Essendo comunque stata accertata l’illiceità del trattamento di dati personali nei termini di cui in motivazione, si ritiene di dover adottare nei confronti dell’Avv. XX un provvedimento d’ammonimento ai sensi dell’articolo 58, par. 2, lett. b) del Regolamento.

Si ritiene, infine, che ricorrano i presupposti di cui all’articolo 17 del regolamento del Garante n. 1/2019, essendo venuti in rilievo nella fattispecie, rispetto alla condotta del titolare, i fondamentali principi della trasparenza informativa e dell’auto-responsabilità (accountability), di cui agli articoli. 5 e 24 del Regolamento.

TUTTO CIÒ PREMESSO, IL GARANTE
DICHIARA

l'illiceità del trattamento dei dati effettuato dall’Avv. XX, per violazione delle disposizioni di cui agli articoli 13 del Regolamento, in combinato con gli articoli 5, par. 2 e 24 del medesimo Regolamento, e 5, par. 1, lett. a), del Regolamento;

AMMONISCE

l’Avv. XX, per avere effettuato un trattamento di dati personali della Sig. ra XX in violazione dell’articolo 13 del Regolamento, in combinato con gli articoli 5, par. 2 e 24 del medesimo Regolamento, avendo trattato i dati personali della medesima in assenza della necessaria previa informativa, nonché dell’articolo 5, par. 1, lett. a), del Regolamento, per non avere il titolare trattato i dati della reclamante in modo lecito;

DISPONE 

a) ai sensi dell’articolo 154-bis, comma 3, del Codice e dell’articolo 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

b) ai sensi dell’articolo 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’articolo 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’articolo 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’articolo 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo articolo 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 14 luglio 2026

IL PRESIDENTE
Stanzione 

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori