Pubblicato il

Email aziendale dell’ex dipendente: il Garante sanziona per 25.500 euro

Email aziendale ex dipendente: copertina sulla sanzione del Garante privacy da 25.500 euro

Un ex dipendente chiede all’azienda di sapere quali suoi dati personali ha trattato negli anni. La risposta completa arriva dopo nove mesi, quando ormai il Garante ha già aperto l’istruttoria. E nel corso delle verifiche emerge un secondo problema, che con il reclamo non c’entrava nulla: il regolamento interno prevedeva di tenere attiva per mesi la email aziendale dell’ex dipendente, con la possibilità per la società di leggerne i messaggi. Il conto finale è di 25.500 euro.

È il contenuto del provvedimento del Garante per la protezione dei dati personali n. 796 del 20 ottobre 2026 (doc. web n. 10313657), ordinanza ingiunzione nei confronti di Techpartner s.r.l., società con sede a Modena, segnalato nella newsletter dell’Autorità del 12 novembre 2026.

Come è nato il procedimento

Il lavoratore aveva inviato all’azienda, tramite il proprio legale, una lettera che conteneva molte contestazioni sul rapporto di lavoro e, al loro interno, una richiesta espressa di accesso ai propri dati personali trattati dal 2013, ai sensi dell’art. 15 del GDPR. La società aveva risposto pochi giorni dopo dichiarandosi disponibile, ma i documenti sono stati trasmessi soltanto ad aprile 2024, a fronte di una richiesta di fine luglio 2023, e solo dopo l’intervento dell’Autorità.

L’azienda si è difesa con due argomenti. Il primo: la richiesta era confusa in mezzo a tante altre questioni lavorative, ed era difficile riconoscerla come esercizio di un diritto privacy. Il secondo: i documenti più vecchi erano stati spostati per effetto di una fusione societaria ed era complicato recuperarli.

Il Garante li ha respinti entrambi. La richiesta richiamava espressamente la disciplina sulla protezione dei dati e, in ogni caso, il Regolamento non impone agli interessati una forma particolare per chiedere l’accesso, come chiarito anche dalle Linee guida EDPB 1/2022. Quanto alle difficoltà di reperimento, l’art. 12, par. 3, del GDPR consente di prorogare il termine di un mese di ulteriori due mesi, ma la proroga va comunicata all’interessato: un ritardo silenzioso resta una violazione. Per questo profilo la sanzione è stata di 9.500 euro.

Email aziendale dell’ex dipendente: cosa ha contestato il Garante

La parte più interessante del provvedimento riguarda la posta elettronica. Esaminando la documentazione prodotta, l’Ufficio ha trovato un regolamento interno che prevedeva di mantenere attiva per un periodo da tre a sei mesi la casella individuale del dipendente cessato, riservando alla società la facoltà di leggerne i messaggi per garantire la continuità dell’attività.

L’azienda ha provato a difendersi in due modi. Ha sostenuto che nella pratica le cose andavano diversamente da come era scritto nel disciplinare, e che comunque non risultavano segnalazioni o reclami dei dipendenti sulla gestione della posta. Ha aggiunto che al lavoratore uscente veniva chiesto di cancellare i messaggi privati, lasciando quelli professionali come patrimonio aziendale.

Nessuno di questi argomenti ha retto:

  • Il reclamo non delimita i poteri del Garante. L’Autorità ha ricordato di poter verificare la conformità dei trattamenti anche d’ufficio, richiamando l’art. 57 del GDPR, il proprio regolamento n. 1/2019 e l’ordinanza della Cassazione n. 40635 del 17 dicembre 2021. Un reclamo nato per un’altra ragione può quindi aprire la porta a contestazioni su aspetti mai segnalati da nessuno.
  • Il contenuto della posta resta corrispondenza. Messaggi e dati esteriori delle comunicazioni godono di una tutela di segretezza anche costituzionale (artt. 2 e 15 Cost.), e nel contesto lavorativo esiste una legittima aspettativa di riservatezza, già affermata nelle Linee guida del Garante del 2007 su posta elettronica e internet.
  • La continuità aziendale non passa dalla casella del singolo. Secondo il Garante, la conservazione dei documenti necessari all’attività va garantita con sistemi di gestione documentale, non con la posta elettronica, che per sua natura non assicura autenticità, integrità e reperibilità.
  • Le dichiarazioni difensive non bastano. La società ha affermato di aver ridotto il periodo a tre mesi e di aver adottato una nuova policy, ma non l’ha prodotta. Anche nella versione corretta descritta negli scritti difensivi, per l’Autorità restava l’idea di poter disporre del contenuto delle email dei dipendenti.

Il Garante ha considerato non conforme anche la consultazione della posta in caso di assenze improvvise e prolungate, così come prevista dal disciplinare aziendale. Ne è derivata la violazione dei principi di liceità, minimizzazione e limitazione della conservazione (art. 5, par. 1, lett. a, c ed e, del GDPR), sanzionata con altri 16.000 euro.

Perché il caso riguarda quasi tutte le aziende

Il provvedimento non riguarda un grande gruppo: nel quantificare le sanzioni il Garante ha tenuto conto delle condizioni economiche della società, che ha chiuso il bilancio 2025 in perdita. È una situazione in cui può trovarsi qualunque impresa con dipendenti e caselle di posta individuali.

Tre aspetti meritano attenzione. Il primo è l’origine: il procedimento nasce da una richiesta di accesso inserita in una lettera su questioni di lavoro, inviata tramite un legale. Il secondo è che la violazione più pesante non è stata quella denunciata, ma quella scoperta leggendo i documenti interni consegnati durante l’istruttoria: il disciplinare aziendale è diventato la prova a carico. Il terzo è che la gravità è stata qualificata come media e la violazione non è stata considerata “minore”, proprio perché toccava i principi generali del Regolamento e i diritti degli interessati.

Va detto per completezza che le altre doglianze del reclamante, sulla videosorveglianza aziendale e sulla comunicazione a terzi della convocazione a visita medica, sono state archiviate, così come la contestazione relativa all’art. 88 del GDPR e all’art. 114 del Codice privacy.

Le conseguenze oltre la sanzione

Oltre al pagamento, il Garante ha ordinato alla società di conformare entro 60 giorni i disciplinari sull’uso degli strumenti informatici, sia durante il rapporto di lavoro sia dopo la sua cessazione, e ha disposto la pubblicazione dell’ordinanza ingiunzione sul proprio sito come sanzione accessoria. Il nome dell’azienda, in altre parole, resta associato alla violazione in un documento pubblico e consultabile da chiunque.

Sono conseguenze che si sommano al costo del contenzioso con il lavoratore e che, in questo caso, sono nate in buona parte da un documento interno che l’azienda stessa ha consegnato all’Autorità. Sullo stesso tema abbiamo già esaminato i limiti al controllo della posta elettronica dei dipendenti e i termini per il riscontro al diritto di accesso ai dati personali, oltre alle contestazioni che arrivano quando manca un’informativa adeguata ai dipendenti.

Prima che la richiesta arrivi

Ogni cessazione di un rapporto di lavoro è un momento in cui regolamenti interni, caselle di posta e tempi di risposta vengono messi alla prova, come nel caso esaminato, da una persona assistita da un legale. Chi vuole sapere se il proprio disciplinare reggerebbe a una verifica come quella descritta può rivolgersi al nostro servizio di consulenza privacy, attivo per aziende ed enti in tutta Italia, oppure valutare l’affiancamento di un DPO esterno che segua nel tempo questi passaggi.

Se avete ricevuto una richiesta di accesso da un ex dipendente, o una lettera del Garante, il momento per esaminare documenti e scadenze è adesso: potete scriverci dalla pagina contatti per un primo esame della situazione.

Avv. Elio Errichiello

Pubblicato il

Quando pubblicare troppo costa caro: l’albo pretorio sotto la lente del Garante

Copertina dell'articolo su albo pretorio e privacy del sito Data Protection Law

Ogni Comune pubblica, ogni giorno, decine di atti sul proprio albo online: determinazioni, delibere, ordinanze, graduatorie, avvisi, provvedimenti di assegnazione di contributi. È un obbligo di legge e un presidio di trasparenza. Ma albo pretorio e privacy sono due esigenze che convivono male quando la pubblicazione avviene senza alcun filtro, e l’esperienza dei provvedimenti del Garante mostra che il confine viene superato con una frequenza sorprendente.

Albo pretorio e privacy: dove si rompe l’equilibrio

Il principio è semplice da enunciare e difficile da applicare: la pubblicazione è legittima nei limiti in cui è prevista da una norma e nella misura in cui i dati contenuti nell’atto sono necessari rispetto alla finalità della pubblicazione stessa. Tutto ciò che eccede quella misura è una diffusione priva di base giuridica.

Le situazioni in cui l’equilibrio si rompe sono sempre le stesse. Delibere di assistenza sociale pubblicate con nome, cognome e indirizzo dei beneficiari e con l’indicazione della condizione che ha giustificato il contributo. Ordinanze che riportano per esteso i dati del segnalante. Atti che richiamano certificazioni sanitarie, verbali di invalidità, situazioni familiari. Provvedimenti disciplinari relativi a dipendenti. Determinazioni di liquidazione che espongono dati bancari. Elenchi di morosi.

Il Garante ha sanzionato amministrazioni comunali proprio per pubblicazioni di questo tipo, inclusa la diffusione di dati giudiziari contenuti in atti pubblicati all’albo. In Campania il tema è particolarmente sentito, perché la rete dei Comuni di piccole e medie dimensioni opera spesso con uffici sotto organico e con procedure di pubblicazione largamente automatizzate: l’atto viene caricato così com’è prodotto dall’ufficio che lo ha adottato, senza che nessuno ne verifichi il contenuto in chiave di protezione dei dati.

Il tempo è parte del problema

Una seconda famiglia di contestazioni non riguarda che cosa viene pubblicato, ma per quanto. Gli atti restano online ben oltre il periodo previsto, spesso indefinitamente, perché nessuno ha predisposto un meccanismo di rimozione automatica e perché la sezione di archivio è percepita come un valore e non come un rischio.

Il risultato è che il nome di un cittadino, associato a una vicenda conclusa da anni, continua a essere indicizzato dai motori di ricerca e a comparire fra i primi risultati quando qualcuno lo cerca. È la situazione che genera il maggior numero di reclami, perché la persona se ne accorge in un momento preciso – un colloquio di lavoro, una pratica bancaria, una ricerca fatta da un conoscente – e in quel momento chiede conto all’amministrazione. Una volta avviata, la sequenza è difficile da fermare: l’ente deve rispondere nei termini di legge, e la risposta tardiva o incompleta diventa a sua volta una contestazione autonoma. Sul punto lo studio ha pubblicato un approfondimento sul riscontro alle richieste degli interessati.

La responsabilità resta dell’ente, anche quando l’atto arriva da fuori

Un’obiezione ricorrente degli uffici è che l’atto pubblicato proviene da un altro settore, da un’azienda consortile, da un soggetto gestore o da un professionista incaricato. Sul piano organizzativo è spesso vero; sul piano giuridico non sposta nulla. Il Comune che pubblica è titolare del trattamento di diffusione e risponde della legittimità di quella diffusione, a prescindere da chi abbia redatto il documento.

Lo stesso vale per il rapporto con il fornitore della piattaforma di pubblicazione e con la software house che gestisce il protocollo informatico. Si tratta di rapporti da qualificare, non di forniture neutre, come illustrato nell’articolo sulla nomina del responsabile del trattamento.

Trasparenza e diffusione non sono sinonimi

Vale la pena sciogliere un equivoco che circola negli uffici: il fatto che un dato sia conoscibile non significa che debba essere diffuso a chiunque, in rete, senza limiti di tempo e indicizzabile dai motori di ricerca. La disciplina sulla trasparenza amministrativa individua obblighi di pubblicazione puntuali, con un proprio perimetro e una propria durata; al di fuori di quel perimetro non esiste un obbligo generale di pubblicare tutto.

Il riflesso difensivo di molti uffici – «nel dubbio pubblichiamo, così siamo trasparenti» – è esattamente il comportamento che genera le contestazioni. La trasparenza che eccede il proprio fondamento normativo non è un merito: è una diffusione illecita di dati personali.

Che cosa rischia concretamente un Comune

Le violazioni che riguardano i principi del trattamento e la liceità della diffusione rientrano nella fascia più severa prevista dall’articolo 83, paragrafo 5, del GDPR. Per le pubbliche amministrazioni italiane il regime sanzionatorio presenta particolarità, ma l’esperienza dei provvedimenti dell’Autorità dimostra che le sanzioni ai Comuni vengono effettivamente irrogate e che sono pubbliche.

Accanto alla sanzione pecuniaria, l’Autorità può adottare provvedimenti correttivi: ordinare la rimozione dei dati, imporre limiti al trattamento, prescrivere misure organizzative. Per un ente locale, l’ordine di rimuovere dal proprio archivio online un numero consistente di atti è un’operazione tutt’altro che banale. E resta sullo sfondo la possibilità di azioni risarcitorie da parte degli interessati.

Un problema organizzativo, prima che giuridico

La pubblicazione eccedente non nasce quasi mai da una scelta: nasce dall’assenza di un passaggio di controllo tra la produzione dell’atto e la sua messa online. È il motivo per cui il tema non si risolve con una circolare, ma richiede di guardare come l’ente lavora, chi redige gli atti, chi li pubblica, con quali strumenti e con quali tempi. In questo il responsabile della protezione dei dati ha un ruolo centrale, come già osservato a proposito del DPO nei Comuni della Campania e degli obblighi in caso di data breach negli enti locali.

Lo studio dell’avv. Elio Errichiello ricopre incarichi di responsabile della protezione dei dati presso enti pubblici, ordini professionali e strutture sanitarie, con sede a Napoli e attività in tutta Italia; il quadro del servizio è nella pagina sulla consulenza privacy e protezione dei dati personali, mentre l’attività nel contenzioso amministrativo è descritta su avvocatoelioerrichiello.it.

Agli enti che hanno ricevuto un reclamo, o che semplicemente non hanno mai verificato che cosa contenga il proprio archivio online, lo studio offre un esame preliminare della documentazione e delle procedure in uso: per avviarlo è sufficiente scrivere allo studio.

Avv. Elio Errichiello

Pubblicato il

Il preventivo più basso è quasi sempre il più caro

Copertina dell'articolo che spiega quanto costa un DPO esterno e cosa incide sul compenso

Quanto costa un DPO esterno è la domanda con cui si apre quasi ogni richiesta di preventivo, e capita spesso che sia anche l’unica. Il confronto si riduce a tre numeri su tre email, si sceglie il più basso, si firma l’incarico e si archivia la pratica. È il modo più rapido per ritrovarsi, due anni dopo, con una designazione che in sede di verifica non regge, e con l’ente che risponde di una violazione che credeva di aver coperto.

Che cosa si paga davvero

Il Regolamento non stabilisce un compenso né una tariffa. Stabilisce però che cosa il responsabile della protezione dei dati deve essere in grado di fare, e da lì discende il resto. Il DPO è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti che il Regolamento gli assegna. Il titolare deve metterlo in condizione di svolgerli, garantendogli le risorse necessarie e l’accesso ai dati e ai trattamenti.

Tradotto in pratica, il compenso dipende da variabili che nessun listino può standardizzare:

  • il numero e la natura dei trattamenti, e la presenza di categorie particolari di dati — sanitari, giudiziari, biometrici;
  • la complessità organizzativa: sedi, uffici, personale, fornitori esterni, sistemi informativi, servizi in cloud;
  • la presenza di trattamenti ad alto rischio che richiedono una valutazione d’impatto, su cui il DPO è chiamato a rendere il parere previsto dalla norma;
  • la frequenza dell’attività di sorveglianza: verifiche periodiche, formazione del personale, riscontro alle istanze degli interessati;
  • la reperibilità in caso di violazione dei dati, quando i termini si contano in ore e non in giorni.

Un incarico che prevede una visita all’anno e una casella di posta costa poco perché contiene poco. Il punto non è che sia economico: è che, davanti a una contestazione, è difficile sostenere che l’ente abbia davvero assolto l’obbligo.

Quanto costa un DPO esterno quando qualcosa va storto

Le violazioni che riguardano la designazione e la posizione del DPO rientrano fra quelle sanzionabili dall’articolo 83 del GDPR, e si sommano alle violazioni sostanziali che una sorveglianza inesistente non ha intercettato. Nella pratica il procedimento non nasce quasi mai da un controllo sulla nomina: nasce da un reclamo, da un data breach, da un’ispezione su altro, e la posizione del DPO emerge come elemento di contorno che aggrava il quadro complessivo.

Le situazioni che ricorrono più spesso sono tre. La prima è il conflitto di interessi: il DPO che è anche il responsabile dei sistemi informativi, o il titolare di una funzione che decide finalità e mezzi dei trattamenti, si trova a controllare se stesso. La seconda è il DPO irraggiungibile: i contatti pubblicati non sono aggiornati, oppure non sono mai stati comunicati al Garante. La terza è il DPO tagliato fuori: non viene coinvolto tempestivamente nelle questioni che riguardano la protezione dei dati, e lo si scopre leggendo i verbali di un progetto già concluso.

Abbiamo ricostruito questi profili negli articoli dedicati alla nomina obbligatoria del DPO e al conflitto di interessi e al DPO esterno per enti e aziende.

Interno o esterno: non è una questione di prezzo

La scelta fra una designazione interna e un incarico esterno si fa sulla base dell’organizzazione, non del costo. Una risorsa interna conosce i processi ma rischia il conflitto di interessi e richiede un investimento continuo in formazione; un professionista esterno porta competenza specialistica e indipendenza, ma deve essere messo in condizione di conoscere l’ente, e questo richiede tempo che qualcuno deve pagare.

Negli enti pubblici il problema si pone in termini ulteriori, perché la designazione è obbligatoria in ogni caso: il tema è affrontato negli articoli sul DPO nella pubblica amministrazione e sul Comune senza RPD. Chi vuole capire prima che cosa comporti il ruolo trova la pagina di servizio sul servizio di nomina del DPO esterno, e il quadro generale dell’adeguamento privacy.

Come leggere un preventivo

Un preventivo serio dice che cosa è compreso e che cosa no: quante verifiche, con quale periodicità, se la formazione del personale è inclusa, chi risponde in caso di violazione dei dati e in quali tempi, se l’assistenza nei procedimenti davanti al Garante rientra nell’incarico o costituisce attività ulteriore. Due preventivi che differiscono del cinquanta per cento, nove volte su dieci, differiscono perché descrivono due incarichi diversi.

Lo studio assiste enti pubblici, aziende e strutture sanitarie in tutta Italia e ha sede a Napoli; i profili amministrativi e contenziosi collegati sono trattati sul sito dello studio legale avvocatoelioerrichiello.it.

Se sta valutando una designazione o ne ha già una in essere e vuole capire se regge, ci scriva dalla pagina contatti indicando dimensione e attività dell’ente: potremo esaminare preliminarmente la documentazione e formulare un preventivo riferito a quello che serve, non a un listino.

Avv. Elio Errichiello

Pubblicato il

Dietro il banco della farmacia: i dati sanitari e le sanzioni

Copertina dell'articolo sulla privacy nelle farmacie a Napoli e sul trattamento dei dati sanitari dei clienti

Una farmacia di quartiere serve ogni giorno decine di persone e, senza che nessuno ci pensi, raccoglie una delle concentrazioni di dati sanitari più dense che esistano fuori da un ospedale. È per questo che la privacy nelle farmacie a Napoli, come nel resto d’Italia, non è un adempimento di facciata: ogni ricetta, ogni tessera fedeltà, ogni prenotazione di un servizio comporta il trattamento di categorie particolari di dati, con il regime più severo che il Regolamento europeo conosce.

Quali dati passano, davvero, da una farmacia

L’elenco è più lungo di quanto il titolare immagini. Ricette mediche, elettroniche e cartacee, con l’indicazione del farmaco e quindi, indirettamente, della patologia. Dati identificativi collegati alle esenzioni. Informazioni raccolte per i servizi aggiuntivi: prenotazioni, misurazioni, test, somministrazioni. Dati di contatto per le comunicazioni ai clienti. Immagini della videosorveglianza. Dati dei dipendenti e dei collaboratori.

L’articolo 9 del Regolamento UE 2016/679 vieta in via generale il trattamento dei dati relativi alla salute, ammettendolo solo al ricorrere di condizioni specifiche, tra cui quelle legate alle finalità di medicina preventiva, diagnosi e assistenza sanitaria prestata da un professionista soggetto al segreto professionale. È un titolo di legittimazione che copre l’attività tipica, non tutto ciò che accade in farmacia: le finalità promozionali, i programmi di fidelizzazione e le comunicazioni commerciali seguono regole proprie.

Privacy nelle farmacie a Napoli: dove nascono le contestazioni

Nella pratica, le criticità ricorrenti sono poche e sempre le stesse.

La prima riguarda la riservatezza del banco. Un ambiente in cui il cliente successivo sente il nome del farmaco richiesto, o legge il monitor del gestionale, è un ambiente in cui il titolare non ha adottato le misure tecniche e organizzative adeguate che l’articolo 32 del Regolamento richiede, come ricordato nell’approfondimento sulle misure di sicurezza e le sanzioni. È una misura che non costa nulla e la cui assenza si nota immediatamente.

La seconda riguarda gli accessi al gestionale. Credenziali condivise tra gli addetti, profili non differenziati, assenza di log consultabili: sono gli stessi rilievi che l’Autorità muove alle strutture sanitarie quando verifica chi abbia consultato un fascicolo, tema trattato nell’articolo sul controllo degli accessi ai dossier sanitari.

La terza riguarda le finalità ulteriori. La tessera fedeltà che profila gli acquisti, l’invio di messaggi promozionali, la segnalazione di promozioni su prodotti collegati a una patologia: sono trattamenti distinti, che richiedono una base giuridica autonoma e un’informativa separata, e che non possono essere coperti dal consenso prestato per l’assistenza farmaceutica.

Il responsabile della protezione dei dati

L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati quando le attività principali del titolare consistono nel trattamento, su larga scala, di categorie particolari di dati. Stabilire se una singola farmacia rientri in quella soglia richiede una valutazione concreta, che tenga conto del volume dei trattamenti, dell’ampiezza dell’attività e dei servizi offerti; la valutazione va però fatta, e documentata, perché l’assenza di designazione, quando l’obbligo sussiste, è essa stessa una violazione.

Per le strutture associate o per i gruppi di farmacie il tema si pone in termini ancora più netti. Lo studio ha trattato il perimetro della figura negli articoli sulla nomina obbligatoria del DPO e sul DPO esterno per enti e aziende.

Fornitori, software e conservazione

Il gestionale della farmacia, il servizio di assistenza remota, la piattaforma di prenotazione dei servizi, il laboratorio esterno: ciascuno tratta dati per conto della farmacia e va regolato con l’atto di nomina previsto dall’articolo 28, questione affrontata nell’articolo sulla nomina del responsabile del trattamento. Un contratto di manutenzione che consente al fornitore di accedere all’archivio senza alcun inquadramento è una delle carenze più facili da rilevare in un’ispezione.

Quanto alla conservazione, le ricette e la documentazione contabile seguono termini di legge; tutto il resto no, e va definito. Archivi di dati promozionali mantenuti per anni, registrazioni di videosorveglianza conservate oltre il necessario, rubriche di contatti mai ripulite: sono trattamenti in corso, non materiale dimenticato.

L’esposizione sanzionatoria

La violazione delle condizioni poste dall’articolo 9 rientra, in base all’articolo 83 del Regolamento, nella fascia sanzionatoria più alta. Per un’impresa di dimensioni contenute il riferimento rilevante è il massimale assoluto, e il dato è sufficiente a rendere l’idea. Accanto alla sanzione restano i poteri correttivi del Garante, compreso il divieto di proseguire un trattamento, e il rischio risarcitorio verso i clienti.

Da dove partire

La verifica utile non si fa sui modelli scaricati da internet: si fa guardando il registro dei trattamenti reale, le informative effettivamente esposte, la configurazione degli accessi al gestionale, i contratti con i fornitori e la disposizione fisica degli spazi. È un lavoro di poche ore, che evita di scoprire le carenze quando arriva una richiesta di informazioni.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste farmacie, poliambulatori e strutture sanitarie private nella verifica dei trattamenti, nella designazione del responsabile della protezione dei dati e nella gestione dei reclami: il punto di ingresso è la pagina sulla consulenza e compliance privacy e, per un primo contatto, la pagina contatti. Per il contenzioso amministrativo che riguarda le farmacie — sedi, concorsi, autorizzazioni — il riferimento è avvocatoelioerrichiello.it.

Avv. Elio Errichiello

Pubblicato il

Liste di proprietari comprate da terzi: il rischio che corre l’agenzia

Copertina dell'articolo sulla privacy nelle agenzie immobiliari e sulle liste di contatti acquistate da terzi

Un elenco di proprietari di immobili, completo di nome, codice fiscale, numero di telefono e indirizzo, acquistato da un fornitore che garantisce la regolarità della raccolta. Per molte agenzie è stato per anni il modo più rapido di trovare nuovi incarichi. Oggi è uno dei motivi più frequenti di contestazione: la privacy nelle agenzie immobiliari si gioca quasi tutta su quella filiera, e il Garante ha chiarito che la responsabilità non si trasferisce a monte insieme ai dati.

Il caso che ha fatto scuola

Nel 2025 il Garante per la protezione dei dati personali è intervenuto su un sistema di fornitura di liste di proprietari immobiliari, costruito incrociando dati catastali e anagrafiche provenienti da altri fornitori, con il codice fiscale come chiave per collegare il numero di telefono al proprietario. Numerosi interessati hanno ricevuto chiamate e messaggi promozionali senza aver mai prestato un consenso valido.

L’Autorità ha sanzionato per 100.000 euro la società fornitrice dei dati e per 40.000 euro le agenzie immobiliari che quelle liste avevano utilizzato. Alle agenzie è stato contestato di non aver verificato la liceità dei dati ricevuti, di aver rinviato al fornitore le richieste degli interessati, di non aver consultato il registro pubblico delle opposizioni e di non aver fornito l’informativa completa durante le chiamate; non sono stati prodotti neppure gli script utilizzati dagli operatori. Il Garante ha qualificato il sistema come una schedatura di massa a fini promozionali.

Privacy nelle agenzie immobiliari: la responsabilità non si compra insieme alla lista

Il passaggio decisivo del provvedimento è questo: il titolare del trattamento deve essere in grado di dimostrare di avere adottato le misure necessarie, e deve controllare l’intera filiera, dalla raccolta all’utilizzo promozionale. Non basta che il fornitore dichiari, in contratto, di aver acquisito un consenso valido.

Il consenso, del resto, ha requisiti che il Regolamento UE 2016/679 definisce in modo stringente: deve essere libero, specifico, informato e inequivocabile. Un consenso raccolto per finalità diverse, o formulato in modo generico, non legittima la telefonata promozionale di un soggetto terzo che l’interessato non ha mai sentito nominare.

Accanto a questo, l’Autorità ha richiamato gli articoli 13 e 14 del Regolamento, che impongono di informare l’interessato sull’origine dei dati, sulla base giuridica e sui suoi diritti, e gli articoli 12 e 15, sul riscontro tempestivo alle richieste di accesso, rettifica e cancellazione. Inoltrare queste richieste al fornitore, senza rispondere, è di per sé una violazione.

Che cosa è stato ordinato, oltre alla sanzione

Il profilo che più interessa chi gestisce un’agenzia non è l’importo, ma le misure correttive: il divieto di trattare a fini promozionali le liste acquisite senza valido consenso, la cancellazione immediata di quei dati, l’adozione di procedure per verificare la liceità del trattamento, con consenso preventivo libero, specifico e informato, e l’obbligo di informare gli interessati e di rispondere tempestivamente, anche sul diritto di opposizione.

In concreto significa perdere l’intero archivio costruito in quel modo. Per una struttura che su quell’archivio ha fondato la propria attività commerciale, è un costo che nessuna sanzione pecuniaria esprime per intero.

L’informativa durante la chiamata, e la prova di averla resa

Un dettaglio del provvedimento merita attenzione perché ricorre in quasi tutte le istruttorie in materia di contatti telefonici: la mancata produzione degli script di chiamata. L’informativa resa oralmente non lascia traccia di sé, e in sede di verifica il titolare deve poter dimostrare che cosa veniva effettivamente detto all’interessato nei primi secondi della conversazione.

Chi non conserva gli script, i materiali di formazione degli operatori e le registrazioni, dove previste, si trova nella posizione peggiore: non può provare la regolarità di un trattamento che, per sua natura, non lascia documentazione scritta. È una carenza che si corregge facilmente prima, e per nulla dopo.

Il registro delle opposizioni non è un dettaglio

La consultazione del registro pubblico delle opposizioni è stata indicata come condizione indispensabile per avviare chiamate promozionali. È un adempimento che molte strutture considerano una formalità e che invece l’Autorità valuta come uno dei presupposti di liceità della campagna. Lo studio ha trattato temi affini negli approfondimenti sulle sanzioni in materia di telemarketing e sull’email marketing tra consenso e soft spam.

Gli altri trattamenti dell’agenzia

Le liste promozionali sono soltanto la parte più visibile. Un’agenzia immobiliare tratta documenti di identità, visure, dati reddituali e bancari dei potenziali acquirenti, informazioni sulle condizioni familiari, talvolta documentazione sanitaria legata a certificazioni di invalidità rilevanti per agevolazioni fiscali. Ogni fascicolo è un piccolo archivio di dati personali, spesso conservato ben oltre la conclusione della trattativa.

Da qui due profili che ritornano in ogni istruttoria: i tempi di conservazione, raramente definiti e ancor più raramente rispettati, e la nomina dei responsabili del trattamento, che riguarda il gestionale, il fornitore del CRM, il consulente del lavoro e la stessa società che fornisce i contatti.

L’esposizione economica

L’articolo 83 del Regolamento colloca la violazione delle condizioni di liceità e degli obblighi verso gli interessati nella fascia sanzionatoria più alta. Per una struttura di piccole dimensioni il parametro percentuale sul fatturato conta meno del massimale assoluto, ma il punto non cambia: si tratta di importi che incidono in modo serio su un’attività a margini contenuti.

C’è poi l’effetto reputazionale, difficile da quantificare ma concreto in un mercato locale, dove il passaparola vale più di qualunque campagna.

Il punto di partenza

Chi ha ricevuto una richiesta di informazioni dal Garante, un reclamo di un interessato o semplicemente vuole capire quanto sia esposta la propria organizzazione, ha bisogno di un esame della documentazione reale: contratti con i fornitori di contatti, informative, modulistica di consenso, registro dei trattamenti, procedure di riscontro. Le risposte generiche su questo terreno non servono a nulla.

Lo studio, con sede a Napoli e attività in tutta Italia, assiste aziende e professionisti nella verifica e nella difesa della propria posizione: il punto di ingresso è la pagina sulla consulenza e compliance privacy, e per un primo contatto la pagina contatti. Per le vicende immobiliari che toccano profili amministrativi, urbanistici o esecutivi, il riferimento resta avvocatoelioerrichiello.it.

Avv. Elio Errichiello