[doc. web n. 10259701]

Provvedimento del 28 maggio 2026

Registro dei provvedimenti
n. 419 del 28 maggio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale; 

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE, Regolamento generale sulla protezione dei dati (di seguito, Regolamento);

VISTO il d.lgs. 30 giugno 2003, n. 196, recante Codice in materia di protezione dei dati personali (di seguito, Codice); 

VISTO il regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione del n. 98 del 4/4/2019, pubblicato in G.U. n. 106 dell’8/5/2019 e in www.garanteprivacy.it, doc. web n. 9107633 (di seguito “reg. del Garante n. 1/2019”);

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del reg. del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali (doc. web n. 1098801);

Relatore il dott. Agostino Ghiglia;

PREMESSO

1. Premessa

A partire dal 6 giugno 2023 è stato consentito a qualsiasi cittadino maggiorenne e titolare di un indirizzo PEC di eleggere il proprio “domicilio digitale” sull’Indice nazionale dei domicili digitali delle persone fisiche, dei professionisti e degli altri enti di diritto privato non tenuti all’iscrizione in albi, elenchi o registri professionali o nel registro delle imprese (di seguito, INAD); a partire dalla medesima data, tutti gli indirizzi PEC dei professionisti presenti in INI-PEC sono stati eletti automaticamente anche nell’INAD in qualità di domicili digitali di persone fisiche, facendo salva la possibilità, per costoro, di modificare il domicilio su INAD, eleggendone uno diverso da quello presente nell'Indice nazionale degli indirizzi di PEC di imprese e professionisti (di seguito, INI-PEC). 

Successivamente, a partire dal 6 luglio 2023, tutti i domicili in tal modo eletti sono stati pubblicati sull’INAD e resi disponibili alla consultazione (cfr. sito dedicato alla pagina web https://domiciliodigitale.gov.it/dgit/home/public/#!/home).

Come noto, l’INAD è stato introdotto dal d.lgs. 7 marzo 2005, n. 82 (cfr. spec. artt. 3-bis, 6-quater e 6-quinquies; di seguito, CAD) e regolato da apposite Linee guida – adottate dall’Agenzia per l’Italia digitale (di seguito, AgID) con determinazione direttoriale n. 529/2021 del 15 settembre 2021 e su cui il Garante aveva espresso parere con provv. n. 288 del 22 luglio 2021 (disponibile sul sito istituzionale www.garanteprivacy.it, doc. web n. 9690742) – che ne assume altresì il ruolo di gestore e, pertanto, di titolare con riferimento ai trattamenti di dati personali effettuati nel suo ambito.

Anche in seguito ad alcuni ricorsi promossi da professionisti al giudice amministrativo, con determinazione direttoriale n. 188 dell’8 agosto 2023, l’ Agenzia ha adottato alcune modifiche alle richiamate Linee guida, concernenti, in particolar modo, la “limitazione della facoltà di cessazione del domicilio per le persone fisiche che siano contemporaneamente iscritti in INI-PEC”, poiché ingenerava “una disparità di trattamento fra le persone fisiche non professionisti e professionisti non iscritti in albi o elenchi, da un lato, e le persone fisiche professionisti iscritte in INI-PEC, dall’altro”; pertanto, nella prospettiva di “rivalutare gli interessi pubblici coinvolti e segnatamente il diritto alla parità di trattamento, alla luce di quanto disposto dall’articolo 3 del CAD e dei principi generali di uguaglianza e ragionevolezza sanciti dalla Costituzione”, l’AgID aveva introdotto modifiche volte a “consentire alle persone fisiche, contemporaneamente iscritte in INI-PEC, di cessare volontariamente il domicilio in INAD”.

2. L’istruttoria

Nel corso del tempo, a partire dal momento in cui l’INAD è stato reso disponibile al pubblico, l’Autorità ha rilevato talune criticità, anche a seguito della ricezione di reclami e segnalazioni, in merito ai trattamenti di dati personali effettuati in tale ambito, e, pertanto, ha avviato un’attività istruttoria che ha richiesto l’invio, ad AgID, di diverse richieste di informazioni ai sensi dell’art. 157 del d.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali – di seguito, Codice).

La principale questione emersa – segnalata dall’Autorità fin da subito – concerne la circostanza per la quale gli interessati dotati di indirizzo PEC già iscritto presso l’INI-PEC, al momento del riversamento nell’INAD dello stesso (ai sensi dell’art. 6-quater, comma 2, del CAD), non erano stati informati di tale ulteriore trattamento.

Al riguardo, l’Agenzia ha rappresentato, in particolare, che:

- “Le informazioni concernenti il trasferimento dei domicili dall'INI-PEC all'INAD sono state rese ai professionisti iscritti nell'INI-PEC mediante comunicazione inoltrata ai collegi e agli ordini professionali prima della pubblicazione dei dati su INAD per la condivisione con gli ordini locali e gli iscritti” (nota del 30 ottobre 2023). Al riguardo, ha fornito copia della comunicazione inviata, in data 21 giugno 2023, a 16 tra Collegi e Ordini professionali, con cui viene comunicato l’avvio dell’INAD e allegato “un flyer informativo su INAD che potrete condividere con i vostri iscritti e ordini provinciali” (nota del 27 marzo 2024);

- “ha intrapreso un’interlocuzione diretta con il Ministero delle imprese e del made in Italy, presso cui è istituito l’INI-PEC, finalizzata alla redazione congiunta e alla successiva diffusione di un comunicato dettagliato sul funzionamento dell’INAD e sulla sua interazione con l’INI-PEC, con particolare attenzione alla tematica dell’importazione automatica all’interno dell’INAD dei domicili digitali dei professionisti iscritti nell’INI-PEC, ai sensi dell’art. 6-quater, comma 2 del CAD. Il comunicato sarà veicolato a tutti gli Ordini e Collegi professionali tenuti a comunicare all’INI-PEC il domicilio digitale dei propri iscritti, in modo da garantire una capillare e piena consapevolezza da parte di tutti i soggetti coinvolti” (nota del 20 novembre 2024);

- la “bozza di nota a firma congiunta da un lato della Direzione Innovazione e transizione digitale della scrivente Agenzia e, dall’altro, della Divisione VI Sistema camerale del citato Ministero” era ancora “al vaglio del Ministero” (nota del 18 marzo 2025);

- “Come concordato, con Prot. n. 156298 del 29 luglio u.s. il MIMIt ha inoltrato il comunicato congiunto agli ordini, consigli o collegi professionali tenuti per legge a comunicare a INI-PEC il domicilio digitale dei propri iscritti, con preghiera di diramazione a questi ultimi mediante inoltro presso il domicilio digitale del professionista o con ogni altra modalità idonea a conseguirne una maggiore e più capillare diffusione. Di tale comunicato e delle informazioni ivi dettagliate si sta provvedendo a dare adeguata notizia sia sul portale INAD sia sui siti web istituzionali della scrivente Agenzia e del MIMIt”, allegando copia del predetto comunicato congiunto (nota dell’11 agosto 2025).

Altra questione – anch’essa segnalata da questa Autorità già dalla nota del 26 settembre 2023 – concerne la circostanza in base alla quale, al momento dell’autenticazione al servizio, viene indicata UnionCamere come Service provider.

Al riguardo, l’AgID ha rappresentato, in particolare, che:

- “Nel rispetto di quanto stabilito all'art. 6-quater, comma 1 del CAD, la realizzazione e la gestione dell’INAD sono affidate alla scrivente Agenzia, che vi provvede avvalendosi delle strutture informatiche delle Camere di commercio già deputate alla gestione dell’elenco di cui all’articolo 6-bis. Nel rispetto di tale disposizione normativa, AgID si avvale, ai sensi degli art. 4, n. 8) e 28 del Regolamento (UE) 2016/679 unicamente di Infocamere S.c.p.A. nella gestione dell'indice. Alcun ruolo è svolto da Unioncamere” (nota del 30 ottobre 2023);

- “Si conferma che UnionCamere non svolge né ha mai svolto alcun ruolo nel trattamento dei dati personali con riferimento a INAD, avvalendosi AgID unicamente e direttamente di InfoCamere S.c.p.A. quale struttura informatica delle Camere di Commercio, ai sensi dell’art. 6-quater, comma 1 del D. Lgs. 82/2005 e s.m.i. (di seguito CAD). L’indicazione di UnionCamere quale service provider al momento dell’autenticazione dell’utente mediante SPID è dovuta a un errore materiale in cui l’Agenzia, per il tramite di InfoCamere, è accidentalmente incorsa. Invero InfoCamere, quale società delle Camere di Commercio italiane per l’innovazione digitale, lavora da sempre con UnionCamere. Nel differente contesto delineato dalla citata disposizione del CAD, nell’implementazione del gateway SPID sul portale INAD, è stata lasciata l’erronea indicazione di UnionCamere anziché di AgID. Nel ringraziare codesta Autorità per aver evidenziato tale anomalia, si comunica che la scrivente Agenzia ha immediatamente provveduto a chiedere a InfoCamere S.c.p.A. il cambio di indicazione al fine di non ingenerare confusione nell’utenza” (nota del 27 marzo 2024);

- “Grazie alla segnalazione di codesta Autorità, l’Agenzia ha provveduto a chiedere a InfoCamere S.c.p.A. la modifica dell’indicazione del service provider SPID sul portale INAD al fine di non ingenerare confusione nell’utenza. Come comunicato da InfoCamere S.c.p.A., tale modifica verrà finalizzata entro breve e ne sarà data notizia a codesta Autorità” (nota del 20 novembre 2024);

- “Per quanto concerne l’erronea indicazione del service provider SPID sul portale INAD https://domiciliodigitale.gov.it, si informa che sono in corso le interlocuzioni con InfoCamere S.c.p.A. volte alla modifica della denominazione, assicurata a breve” (nota del 18 marzo 2025);

- “A valle delle interlocuzioni con InfoCamere S.c.p.A., si informa che, a decorrere dal 5 agosto c.m., in sede di autenticazione per l’accesso al servizio di registrazione del domicilio digitale su INAD, risulta corretta l’indicazione della scrivente Agenzia quale service provider” (nota del 11 agosto 2025).

In relazione alle verifiche compiute, sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria, nonché delle successive valutazioni, l’Ufficio, con nota del 5 dicembre 2025, ha notificato all’AgID l’avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori di cui all’art. 58, par. 2, del Regolamento, avendo accertato, nella vicenda in esame, la sussistenza di violazioni della disciplina rilevante in materia di protezione dei dati personali.ù

Nello specifico, è stato accertato che l’AgID:

a) in relazione alle attività svolte in qualità di gestore dell’INAD, e quindi di titolare dei relativi trattamenti di dati personali, non abbia posto in essere, per impostazione predefinita, misure volte a informare preventivamente e in maniera adeguata gli interessati, con particolare riferimento ai domicili digitali acquisiti dall’INI-PEC e pubblicati sull’INAD – divenuti oggetto di diffusione, per una finalità diversa dalla quale erano stati originariamente raccolti, senza che siano state rispettate le garanzie previste dalle Linee guida in materia – nonché con riferimento all’indicazione del titolare del trattamento fornita agli utenti in sede di autenticazione al relativo servizio, in violazione dei principi di liceità, correttezza e trasparenza, di limitazione della finalità, di accountability e di privacy by design e by default di cui all’art. 5, parr. 1, lett. a) e b), e 2, e dell’art. 25 del Regolamento, nonché degli obblighi di trasparenza di cui agli artt. 12, 13 e 14 del medesimo Regolamento;

b) nell’attivarsi, a seguito dell’avvio dell’istruttoria, al fine di porre rimedio alle criticità rilevate, ha avviato iniziative tardive e non di pronta applicazione, comportando il protrarsi delle medesime criticità nel tempo con impatto su una platea di interessati sempre crescente negli anni, in violazione del principio di accountability di cui all’art. 5, par. 2, del Regolamento e degli obblighi di cui all’art. 31 del medesimo Regolamento.

Con la medesima nota, sono state notificate al predetto Istituto le violazioni effettuate (ai sensi dell’art. 166, comma 5, del Codice), invitandolo a far pervenire scritti difensivi o documenti ed eventualmente a chiedere di essere sentito da questa Autorità, entro il termine di 30 giorni (art. 166, commi 6 e 7, del Codice; nonché art. 18, comma 1, dalla l. 24 novembre 1981, n. 689).

In data 31 dicembre 2025 l’AgID ha inviato i propri scritti difensivi e in data 26 gennaio 2026 si è tenuta l’audizione, che si è perfezionata in data 4 dicembre 2026.

3. Il quadro normativo di riferimento

3.1. La normativa in materia di protezione dei dati personali

Ai sensi dell’art. 5, par. 1, lett. a) e b), del Regolamento, i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato” (principio di liceità, correttezza e trasparenza) e “raccolti per finalità determinate, esplicite e legittime, e successivamente tratti in modo che non sia incompatibile con tali finalità” (principio di limitazione della finalità).

Al riguardo, si aggiunge che il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli artt. 13 e 14 relative al trattamento e, qualora i dati non siano stati ottenuti presso l’interessato, fornisce al medesimo tutte le informazioni previste dalla disciplina al trattamento entro i termini stabiliti, obbligo che non si applica se comunicare le previste informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato oppure l'ottenimento o la comunicazione sono espressamente previsti dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell'interessato (artt. 12, 13 e 14 del Regolamento). 

A ciò si aggiunga che l’art. 25 del Regolamento impone al titolare del trattamento di rispettare i principi di c.d. privacy by design e di privacy by default.

Inoltre, ai sensi dell’art. 5, par. 2, del Regolamento, il titolare del trattamento “è competente per il rispetto del paragrafo 1 e in grado di comprovarlo” (principio di accountability), e che, in tale contesto, ai sensi dell’art. 24, par. 1, “mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento”.

Si ricorda, infine, che, ai sensi dell’art. 31 del Regolamento, il titolare del trattamento “[coopera], su richiesta, con l’autorità di controllo nell’esecuzione dei suoi compiti”.

3.2. La normativa in materia di INAD

Con riferimento all’INAD, l’art. 3-bis del CAD prevede, in particolare, che i professionisti tenuti all'iscrizione in albi ed elenchi hanno l'obbligo di dotarsi di un domicilio digitale iscritto nell’INI-PEC (comma 1), ma, in ogni caso, “chiunque ha facoltà di eleggere o modificare il proprio domicilio digitale da iscrivere nell'elenco di cui all'articolo 6-quater” (comma 1-bis, primo periodo); tal domicili digitali sono eletti secondo le modalità stabilite con Linee guida adottate dall’AgID (comma 1-ter, primo periodo).

A sua volta, l’art. 6-quater del CAD stabilisce che:

“1. È istituito il pubblico elenco dei domicili digitali delle persone fisiche, dei professionisti e degli altri enti di diritto privato non tenuti all'iscrizione nell'indice di cui all'articolo 6-bis, nel quale sono indicati i domicili eletti ai sensi dell'articolo 3-bis, comma 1-bis. La realizzazione e la gestione del presente Indice sono affidate all'AgID, che vi provvede avvalendosi delle strutture informatiche delle Camere di commercio già deputate alla gestione dell'elenco di cui all'articolo 6-bis. È fatta salva la facoltà del professionista, non iscritto in albi, registri o elenchi professionali di cui all'articolo 6-bis, di eleggere presso il presente Indice un domicilio digitale professionale e un domicilio digitale personale diverso dal primo.

2. Per i professionisti iscritti in albi ed elenchi il domicilio digitale è l'indirizzo inserito nell'elenco di cui all'articolo 6-bis, fermo restando il diritto di eleggerne uno diverso ai sensi dell'articolo 3-bis, comma 1-bis. Ai fini dell'inserimento dei domicili dei professionisti nel predetto elenco il Ministero dello sviluppo economico rende disponibili all'AgID, tramite servizi informatici individuati nelle Linee guida, i relativi indirizzi già contenuti nell'elenco di cui all'articolo 6-bis […]”.

Infine, l’art. 6-quinquies, comma 1, del CAD prevede che “La consultazione on-line degli elenchi di cui agli articoli 6-bis, 6-ter e 6-quater è consentita a chiunque senza necessità di autenticazione. Gli elenchi sono realizzati in formato aperto”.

Con determinazione del direttore generale n. 529 del 15 settembre 2021, codesta Agenzia ha adottato le “Linee guida dell’Indice nazionale dei domicili digitali delle persone fisiche, dei professionisti e degli altri enti di diritto privato non tenuti all’iscrizione in albi, elenchi o registri professionali o nel registro delle imprese”, che, per quanto qui di interesse, hanno previsto che:

- “il Ministero per lo Sviluppo Economico, avvalendosi del Gestore di INI-PEC, rende disponibili al Gestore dell’INAD gli indirizzi e i nominativi dei professionisti presenti nell’INI-PEC, tramite servizi informatici le cui specifiche tecniche sono definite in fase di sviluppo dell’INAD. L’inserimento nell’INAD degli indirizzi elettronici presenti nell’INI-PEC consta delle seguenti fasi: 1. recupero, tramite i suddetti servizi, dei domicili digitali e dei nominativi dei professionisti inseriti nell’INI-PEC, messi a disposizione dal Gestore dell’INI-PEC al Gestore dell’INAD; 2. inserimento provvisorio nell’INAD per 30 giorni, senza pubblicazione, dei domicili digitali e dei relativi nominativi. Nel caso di professionisti iscritti a più ordini o collegi professionali è inserito nell’INAD l’ultimo domicilio digitale cronologicamente dichiarato nell’INI-PEC. Il Gestore INAD, eventualmente in accordo con il Gestore dell’INI-PEC, provvede a fornire ai professionisti iscritti in INI-PEC le istruzioni utili al completamento della procedura di registrazione all’INAD, necessaria all’abilitazione delle funzioni di gestione del proprio domicilio, previste al paragrafo 2.3. Il Gestore INAD, con le stesse modalità, rende altresì l’informativa sul trattamento dei dati personali. Qualora, entro 30 giorni dall’inserimento provvisorio di cui al precedente punto 2, il professionista non abbia usufruito della propria facoltà di modifica del domicilio digitale trasmesso dall’INI-PEC, il Gestore INAD provvede alla pubblicazione di quanto al richiamato punto 2. Qualora il professionista abbia optato per la modifica del domicilio digitale, al fine di eleggerne uno personale in INAD diverso da quello presente in INI-PEC, il Gestore INAD procede alla cancellazione del domicilio digitale inizialmente trasmesso dall’INI-PEC” (par. 3);

- “il trattamento dei dati personali all’interno dell’INAD è effettuato dal Gestore INAD [(ossia, codesta Agenzia)], in qualità di titolare, nell’adempimento delle attribuzioni di legge individuate dagli articoli 3-bis, 6 e 6-quater del CAD nonché dalle presenti Linee Guida aventi natura di fonte normativa con valenza erga omnes. […] L’informativa completa sul trattamento dei dati personali di cui agli articoli 13-14 del GDPR è diffusa attraverso tutti i canali utilizzabili ai fini dell’elezione del domicilio digitale” (par. 8).

Questa specifica misura era stata oggetto di condizione nel menzionato parere del Garante del 22 luglio 2021 (cfr. par. 4.1 e condizione a)), ove era stato rilevato che pubblicare domicilio digitale professionale del professionista nell’INAD prima ancora che l’interessato possa esercitare la facoltà di eleggere un domicilio digitale diverso per uso personale, incrementa “i rischi – già di per sé elevati, a causa del dettato legislativo – per i diritti e le libertà fondamentali degli interessati. Infatti, l’operazione di diffusione rende immediatamente disponibile per chiunque un’informazione attribuita all’interessato per impostazione predefinita (cioè l’indirizzo PEC ad uso professionale), in assenza di una scelta volontaria in ordine all’indirizzo PEC da rendere fruibile a terzi, con la conseguenza di farne automaticamente il potenziale punto di ricezione di comunicazioni aventi carattere personale, con tutti i rischi sopra descritti (cfr. par. 3.1 del presente provvedimento). Peraltro, ciò in assenza della dovuta trasparenza nei confronti degli interessati, posto che non è chiaro quando i professionisti verranno informati dell’iscrizione automatica del domicilio professionale presso l’INAD, e comunque in un momento successivo (ma non si sa quanto) rispetto all’avvio del trattamento (diffusione) nell’INAD medesimo. Pertanto, stante il quadro normativo vigente, e nelle more di un intervento del legislatore che renda l’art. 6-quater, comma 2, del CAD conforme al Regolamento, si rappresenta la necessità di individuare misure volte a mitigare l’impatto negativo di suddetta previsione sui diritti e sulle libertà degli interessati, nonché ad informare adeguatamente gli interessati. Ad esempio, si potrebbe prevedere che il domicilio digitale del professionista censito nell’INI-PEC, una volta acquisito dall’INAD, non sia immediatamente pubblicato ma sia conservato temporaneamente in forma riservata, in modo da consentire all’interessato, entro un tempo congruo da quando ha ricevuto la comunicazione dal Gestore INAD (ad esempio, 30 giorni), di procedere all’elezione di un domicilio digitale personale ad hoc, in modo così da evitare di diffondere un dato non corrispondente a quello espressamente e specificamente voluto dall’interessato”.

Infine, come ricordato in premessa, con determinazione dell’8 agosto 2023 l’Agenzia ha modificato le predette Linee guida nel senso di “consentire alle persone fisiche, contemporaneamente iscritte in INI-PEC, di cessare volontariamente il domicilio in INAD”.

4. Esito dell’attività istruttoria

Dall’accertamento compiuto, sulla base degli elementi acquisiti e dei fatti emersi nel corso dell’attività istruttoria svolta, nonché delle valutazioni di questo Dipartimento, è stato accertato che l’ Agenzia, nel contesto in esame, ha commesso le violazioni che si vanno di seguito a descrivere, omettendo l’adozione della misura prevista nelle Linee guida, su indicazione del Garante, al fine di assicurare la conformità al Regolamento dei trattamenti posti in essere nell’ambito dell’INAD (cfr. il menzionato par. 3 delle Linee guida).

4.1. In particolare, con specifico riferimento ai trattamenti dei dati personali relativi agli interessati i cui domicili digitali sono stati riversati dall’INI-PEC (i professionisti), l’AgID, in qualità di titolare, diversamente da quanto espressamente previsto nelle predette Linee guida, non ha fornito ai medesimi le informazioni necessarie per assicurare la trasparenza dei trattamenti di competenza, non informandoli del trattamento in corso (l’acquisizione dei dati personali) e dell’origine dei dati, delle operazioni successive e del relativo impatto sugli stessi (la pubblicazione dei dati così acquisiti su un sito accessibile a chiunque senza necessità di autenticazione), dei diritti esercitabili (la possibilità di modificare o cancellare il domicilio digitale dall’INAD entro un determinato lasso temporale prima della sua pubblicazione).

Come emerso nelle segnalazioni e nei reclami ricevuti dall’Autorità, l’assenza delle dovute informazioni ha fatto sì che i domicili digitali acquisiti dall’INI-PEC venissero pubblicati sull’INAD prima ancora che gli interessati potessero esserne informati e, conseguentemente, esercitare la facoltà di eleggere un domicilio digitale diverso per uso personale.

Ciò, peraltro, come paventato dal Garante nel citato parere, ha fatto sì che i domicili digitali professionali, inizialmente raccolti e pubblicati sull’INI-PEC a fini esclusivamente connessi all’utilizzo nell’ambito professionale, divenissero, per impostazione predefinita, oggetto di utilizzo, una volta pubblicati sull’INAD, anche a fini privati e non professionali, aumentando i rischi per i diritti e le libertà fondamentali dagli interessati in considerazione del fatto che alla casella PEC professionale (talvolta priva di riferimenti immediati al nominativo del professionista) potrebbe essere consentito l’accesso ai collaboratori di studio del professionista medesimo, in tal modo rendendo accessibili a costoro le comunicazioni destinate al professionista in qualità di privato.

La misura informativa adottata e descritta nelle note del 30 ottobre 2023 e 27 marzo 2024 (ossia la comunicazione a Collegi e Ordini professionali inviata il 21 giugno 2023), non può, infatti, considerarsi sufficiente – come dimostrato alla prova dei fatti – a soddisfare le necessarie esigenze di trasparenza dei professionisti, considerato che, alla luce di quanto emerso da segnalazioni e reclami ricevuti:

- non tutte le 31 categorie professionali indicate nell’INI-PEC (cfr. la tendina riportata alla voce “Categoria professionale” alla pagina web https://www.inipec.gov.it/cerca-pec) comparivano nell’elenco dei soggetti cui l’AgID ha destinato la comunicazione la cui copia è stata fornita nel riscontro;

- taluni professionisti iscritti a Ordini facenti capo a Federazioni nazionali destinatarie della menzionata comunicazione dell’AgID non avrebbero ricevuto alcuna informazione in merito all’importazione automatica sull’INAD degli indirizzi PEC registrati presso l’INI-PEC;

- la formulazione utilizzata nella menzionata comunicazione non richiamava i destinatari alla necessità di avviare un’adeguata campagna informativa nei confronti degli iscritti agli Ordini territoriali di riferimento, né prevedeva accorgimenti volti ad assicurare all’AgID che gli interessati siano stati debitamente informati.

Solamente a seguito di quanto riportato negli scritti difensivi – dunque, a istruttoria preliminare conclusa e solo dopo che era stato avviato il procedimento per l’adozione dei provvedimenti correttivi e sanzionatori – l’AgID ha rappresentato all’Autorità di aver “provveduto a predisporre una campagna informativa adeguata nei confronti degli interessati, in modo da minimizzare ulteriormente, per quanto possibile, gli impatti negativi che la formulazione di cui all’art. 6-quater, comma 2, del CAD avrebbe potuto ragionevolmente indurre” e di aver “stilato un Piano di comunicazione e conseguentemente organizzato e messo in atto iniziative divulgative di diverso genere e varia diffusione, con l’obiettivo di creare attenzione sul tema”, fornendo un dettagliato elenco (non esaustivo) di iniziative informative, intese quali “forme di divulgazione accessibili al pubblico, ritenute idonee a raggiungere un’ampia platea di potenziali interessati”, poste in essere fin dall’avvio dell’operatività dell’INAD.

Ciò sul presupposto dell’“obiettiva e ragionevole inattuabilità di una comunicazione diretta a ogni singolo interessato in ragione dell’elevatissimo numero dei soggetti coinvolti, che avrebbe implicato uno sforzo sproporzionato ai sensi dell’art. 14, par. 5, lett. b) del Regolamento”, a valle di un “bilanciamento tra efficienza amministrativa e tutela dei diritti degli interessati, con un approccio proattivo e collaborativo con l’Autorità, privilegiando la forma del messaggio pubblico, veicolato anche attraverso media e social; l’Agenzia ha quindi ritenuto sproporzionato l’invio di una comunicazione singola a tutti i professionisti coinvolti, nell’ordine di circa 2 milioni di interessati, anche per il timore che tale comunicazione avrebbe potuto ingenerare confusione (rischio di classificazione come phishing o spam) negli interessati medesimi” (come integrato in sede di audizione).

Ciò posto, negli scritti difensivi l’Agenzia ha ribadito quanto già rappresentato inizialmente con la nota del 20 novembre 2024 (e comunque, più di un anno dopo l’avvio dei trattamenti), per cui, “Al fine di assicurare ulteriormente una maggiore e più capillare diffusione delle informazioni in esame, l’Agenzia si è poi occupata - come già noto - di redigere e condividere con il Ministero delle imprese e del made in Italy, che gestisce l’INI-PEC, un comunicato a firma congiunta indirizzato direttamente ai collegi e agli ordini professionali ai quali, su esplicita richiesta dell’AgID, il MiMIT - espletato l’iter di approvazione - ha inoltrato il dettagliato testo, con preghiera di diramare il medesimo a tutti i propri iscritti, attraverso l’inoltro presso il domicilio digitale del professionista o con ogni altra modalità idonea. Il comunicato, inoltre, è stato pubblicato sia da AgID sia dal MiMIT, con news sui propri siti e link diretto al comunicato”, aggiungendo, in sede di audizione, che, “dopo il comunicato congiunto Agenzia-MIMIT dell’agosto 2025 l’Agenzia ha fatto verifiche con le Federazioni nazionali e gli Ordini professionali, riscontrando che: nella maggior parte dei casi questi ultimi avevano provveduto a informare i propri iscritti mediante pubblicazione di news e circolari sui rispettivi siti web; in alcuni casi, tali informazioni sono state veicolate dai medesimi ai propri Consigli territoriali che hanno provveduto ad analoga forma di pubblicazione; con riferimento a questa ultima ipotesi, l’Agenzia, in alcuni specifici casi, è ancora in attesa di documentazione comprovante l’avvenuta comunicazione ai Consigli territoriali”, e, infine, fornendo, con la nota del 4 febbraio 2026 di perfezionamento dell’audizione, “un documento schematico concernente l’analisi condotta dall’Agenzia, anche mediante contatti diretti con gli Ordini nazionali delle professioni regolamentate, in merito all’effettiva diffusione del comunicato congiunto AgID-MIMIt”.

Al riguardo, si osserva che la menzionata misura rappresentata con la nota del 20 novembre 2024 ma realizzata nel luglio 2025, consistente nella redazione, congiuntamente al Ministero delle imprese e del made in Italy, di un apposito comunicato da pubblicare e inviare a ordini e albi professionali, a fini di una sua diffusione presso tutti i relativi scritti, è stata adottata tardivamente, comportando che i trattamenti effettuati da parte dell’AgID a partire dal luglio 2023 e fino al momento in cui tale misura è divenuta efficace (quindi, non prima di luglio 2025), sono risultati connotati dalle evidenziate carenze informative nei confronti di tutti quei professionisti i cui domicili digitali professionali sono stati pubblicati sull’INAD e, conseguentemente, utilizzati per le diverse finalità per le quali erano stati raccolti.

Peraltro, l’adozione di tale misura, per quanto tardiva, sconfessa in re ipsa l’ipotizzata ricorribilità dell’eccezione di cui all’art. 14, par. 5, lett. b), del Regolamento, in quanto dimostra che, a fronte di un prospettato “sforzo sproporzionato” nella comunicazione individuale delle informazioni di cui al medesimo art. 14 del Regolamento, comunque era possibile adottare misure più efficaci, anche con la collaborazione con altri soggetti istituzionali, rispetto alla realizzazione di sole campagne informative rivolte alla generalità dei consociati; ciò tenendo anche conto del ruolo e delle funzioni che l’AgID assolve nel panorama istituzionale in merito ai temi della digitalizzazione.

L’AgID, negli scritti difensivi e nel corso dell’audizione, ha sollevato difficoltà sul piano operativo e organizzativo, sorte nel periodo in cui l’INAD veniva reso fruibile e avviava i trattamenti (cioè nel corso del 2023), che avrebbero causato criticità nell’assolvimento dei propri compiti, anche in relazione all’adempimento degli obblighi previsti in capo al titolare. Tale elemento, seppure meritevole di considerazione ai fini della valutazione della condotta, non consente tuttavia di superare i principali rilievi accertati e notificati dall’Ufficio e di condurre all’archiviazione.

Per altro verso, l’AgID, negli scritti difensivi, ha invocato, “gli estremi di cui all’art. 14, par. 5, lett. c) del Regolamento (UE) 2016/679 (di seguito “Regolamento”), in quanto l’ottenimento dei dati personali in esame è espressamente previsto da una disposizione normativa (il citato art. 6-quater, comma 2, del CAD) e in quanto sono state previste misure appropriate per tutelare gli interessi legittimi degli interessati sia all’interno delle Linee guida disciplinanti l’INAD […] sia nella correlata valutazione d’impatto sulla protezione dei dati personali, entrambe positivamente sottoposte al vaglio di codesto Dipartimento”; “Nelle circostanze sopra delineate - in cui l’ottenimento dei dati personali è stabilito dal Codice per l’Amministrazione digitale e ove, in base alla normazione secondaria da questo prevista, sono state effettivamente individuate e messe in atto misure appropriate per tutelare gli interessi legittimi degli interessati, anche in accoglimento delle osservazioni e condizioni formulate da codesto Dipartimento - l’obbligo informativo previsto dalla normativa unionale vigente dovrebbe legittimamente ritenersi escluso ai sensi dell’art. 14, comma 5, lett. c), del Regolamento”.

Su questo punto, si osserva che, fermo restando che le ipotesi di esonero di cui all’art. 14, par. 5, del Regolamento sono tra loro alternative e non cumulative – quindi, o ricorre l’ipotesi di cui alla lett. b) o ricorre quella di cui alla lett. c), in base a quanto invocato dall’AgID – la misura a cui l’AgID non ha dato adempimento costituiva proprio quella “misura appropriata per tutelare gli interessi legittimi dell'interessato” di cui alla lett. c) della menzionata disposizione, posta a tal fine dal Garante quale condizione nel proprio parere sulle linee guida – che costituiscono il “diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento” – al fine di assicurare la conformità al Regolamento dei trattamenti effettuati nel riversamento dei domicili digitali dei professionisti da INI-PEC a INAD.

Ciò significa che il mancato adempimento degli obblighi informativi, previsti dalla base giuridica in capo al gestore dell’INAD, ha comportato che il domicilio digitale di tipo professionale dei professionisti divenisse automaticamente anche di tipo personale, in assenza di una comunicazione che li informasse adeguatamente circa il riversamento nell’INAD, per prevenire le conseguenze negative derivanti dall’utilizzo di tale domicilio, eletto originariamente per fini professionali, per notifiche attinenti invece alla sfera privata dell’interessato. La casella PEC professionale, spesso priva di riferimenti immediati al nominativo del professionista è di regola acceduta dai collaboratori di studio del professionista, che potrebbero in questo modo consultare anche le comunicazioni personali a lui destinate (come peraltro emerso da reclami e segnalazioni esaminati dal Garante).

4.2. Nel corso dell’istruttoria è stata altresì accertata l’inadeguatezza delle informazioni rese agli interessati con riguardo all’indicazione del titolare del trattamento al momento dell’autenticazione per l’accesso all’INAD, in quanto, dal giugno 2023 e fino al 5 agosto 2025, il riferimento fornito, nonostante i numerosi solleciti al riguardo da parte dell’Autorità, era quello di UnionCamere (un soggetto del tutto estraneo ai trattamenti in questione), in luogo dell’AgID (Service provider e titolare del trattamento).

Con riferimento a suddetto profilo, l’AgID, negli scritti difensivi, ha sostenuto che “L’erronea indicazione del service provider SPID - circoscrivibile e rilevabile unicamente al momento dell’autenticazione mediante SPID per l’accesso all’area riservata sul portale INAD -, se per assurdo può aver ingenerato confusione nell’interessato al momento dell’accesso, non si ritiene che possa aver altresì ragionevolmente cagionato l’indebita convinzione che non fosse la scrivente Agenzia a svolgere il ruolo di gestore dell’indice e titolare del trattamento dei dati personali. Tale riportata convinzione trova fondamento in numerosi, espliciti e ricorrenti richiami al ruolo di AgID che, senza alcun dubbio, qualsiasi interessato non può non aver notato sul portale dedicato all’indice nazionale”; “Alla luce del contesto sopra riportato, si ritiene di poter ricondurre la criticità oggetto di analisi a un mero errore materiale”, che “non è mai risultato tale da aver ingenerato in alcun interessato - per quanto noto - la convinzione che il titolare del trattamento dei dati gestiti da INAD non fosse la scrivente Agenzia”; peraltro, “l’Agenzia si è attivata immediatamente presso InfoCamere S.c.p.A. adottando un comportamento proattivo e adoperandosi con insistenza e costanza per la concreta adozione di misure finalizzate ad assicurare l’applicazione del Regolamento, anche coinvolgendo il Dipartimento per la Trasformazione Digitale della Presidenza del Consiglio dei Ministri al fine di sbloccare la situazione creatasi […] e far rimuovere a InfoCamere S.c.p.A. l’errata indicazione, che ad oggi risulta effettivamente corretta” (scritti difensivi).

A questo riguardo, si osserva che, effettivamente, nel contesto in cui la maschera per l’autenticazione tramite SPID appare, all’interessato vengono comunque rappresentati una serie di elementi – quali quelli descritti dall’AgID – che consentono di evincere che il fornitore di servizi, e quindi il titolare dei relativi trattamenti di dati personali, sia l’Agenzia stessa, per cui, nel complesso, si può ragionevolmente affermare che l’interessato abbia ricevuto le informazioni che gli consentono correttamente di individuare nella predetta Agenzia il titolare del trattamento dei dati personali. Pertanto, rispetto a questo profilo si ritiene di poter archiviare la violazione dell’art. 13 del Regolamento.

4.3. Più in generale, nel corso dell’istruttoria sono emerse criticità in relazione alla capacità dell’AgID di mettere in atto misure tecniche e organizzative adeguate a garantire, ed essere in grado di dimostrare, la conformità dei trattamenti al Regolamento, nonché alla cooperazione offerta nei confronti dell’attività istituzionale di vigilanza svolta dall’Autorità, in quanto le iniziative adottate dall’Agenzia rispetto alle summenzionate problematiche sono state definitivamente realizzate solo nell’estate del 2025, dopo due anni dall’avvio dei trattamenti e, conseguentemente, dalle prime richieste provenienti dall’Autorità, e i riscontri alle richieste di informazioni talvolta sono stati tardivi.

Su questo punto, negli scritti difensivi, l’AgID ha in primo luogo rivendicato di aver “tempestivamente adottato una pluralità di misure idonee a garantire un’adeguata e capillare informazione ai professionisti iscritti in INI-PEC in ordine al trattamento dei loro dati personali nel differente contesto dell’INAD. Tali iniziative, concretizzatesi in numerose e reiterate pubblicazioni di news e comunicati sui siti istituzionali nonché in un’intensa attività di divulgazione mediante i canali social ufficiali, le principali agenzie di stampa, telegiornali e articoli su organi di stampa a diffusione nazionale, evidenziano come l’azione informativa posta in essere da AgID debba ritenersi non solo tempestiva ma anche adeguata, escludendo profili di inerzia o ritardo” (scritti difensivi).

Tempestività che l’Agenzia ha richiamato con riferimento alla “richiesta di correzione, che AgID ha formulato a InfoCamere S.c.p.A. immediatamente a valle della segnalazione pervenuta proprio da codesto Dipartimento”, in merito alla quale ha comunque sottolineato “un’obiettiva difficoltà a livello esecutivo, allorquando InfoCamere S.c.p.A. ha procrastinato nel tempo la correzione del refuso, più volte sollecitata”,; situazione che avrebbe anche reso necessario un confronto con strutture del Governo.

In ogni caso, l’AgID, in sede di audizione, ha rimarcato altresì difficoltà patite, in relazione a specifiche motivate congiunture occorse sul piano finanziario e organizzativo, che hanno “comportato problematiche nella gestione delle tempistiche di riscontro all’Autorità, con un significativo ritardo registrato in una sola correlata circostanza”.

Sulla base di quanto rappresentato, è sicuramente possibile avvalorare la rilevanza di tali congiunture, che consentono di riqualificare la condotta tenuta dall’AgID nel corso dell’istruttoria, escludendo che l’Agenzia abbia inteso intenzionalmente sottrarsi alla collaborazione con l’Autorità. Pertanto, si ritiene di poter archiviare la violazione dell’art. 31 del Regolamento.

Tuttavia, le condotte emerse nel corso dell’istruttoria hanno evidenziato l’inadeguatezza dell’ AgID nel porre in essere efficacemente e rapidamente le misure individuate a tutela degli interessati, che deve essere necessariamente valutata alla luce del principio di accountability; principio che, infatti, richiede adeguatezza sia nel garantire la conformità dei trattamenti al Regolamento (adempiendo con ritardo agli obblighi informativi nei confronti dei professionisti), sia nel comprovare tale conformità (solo con gli scritti difensivi, dopo più di due anni di istruttoria, si è infatti potuto avere cognizione delle iniziative poste in essere sul piano della comunicazione pubblica). Ciò confermando la violazione dell’art. 5, par. 2, del Regolamento, anche alla luce di quanto previsto dall’art. 24 del medesimo Regolamento.

5. Conclusioni

Alla luce del complesso delle valutazioni sopra richiamate, le dichiarazioni rese dal titolare del trattamento negli scritti difensivi e in sede di audizione, seppure meritevoli di considerazione ai fini della valutazione della condotta, non consentono di superare i principali rilievi notificati dall’Ufficio con l’atto di avvio del procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento e risultano insufficienti a consentire l’archiviazione del presente procedimento ai sensi dell’art. 14, comma 1, del reg. del Garante n. 1/2019, non ricorrendo alcuno dei casi previsti dall’art. 11 ivi richiamato.

In tale quadro, confermando i rilievi notificati dall’Ufficio con la nota del 5 dicembre 2025, si rileva che, nella vicenda in esame, l’AgID, in relazione alle attività svolte in qualità di gestore dell’INAD, e quindi di titolare dei relativi trattamenti di dati personali, non ha posto in essere, per impostazione predefinita, misure volte a informare preventivamente e in maniera adeguata gli interessati, con particolare riferimento ai domicili digitali acquisiti dall’INI-PEC e pubblicati sull’INAD – divenuti oggetto di diffusione, per una finalità diversa dalla quale erano stati originariamente raccolti, senza che siano state rispettate le garanzie previste dalle linee guida in materia – in violazione dei principi di liceità, correttezza e trasparenza, di limitazione della finalità, di accountability e di privacy by design e by default di cui all’art. 5, parr. 1, lett. a) e b), e 2, e dell’art. 25 del Regolamento, nonché degli obblighi di trasparenza di cui agli artt. 12 e 14 del medesimo Regolamento.

Per i motivi descritti ai parr. 4.2 e 4.3 del presente provvedimento, si dispone invece l’archiviazione delle violazioni di cui agli artt. 13 e 31 del Regolamento.

In tale quadro, considerato che, nel corso del procedimento, sono state adottate misure volte a superare le criticità sopra descritte, non ricorrono i presupposti per l’adozione delle misure correttive di cui all’art. 58, par. 2, del Regolamento.

Ciò, fermo restando che efficaci modalità di adempimento degli obblighi informativi, in conformità a quanto stabilito dalle linee guida INAD, dovranno essere adottate in ordine ai futuri riversamenti di domicili digitali dall’INI-PEC all’INAD, che presentano i medesimi rischi per i diritti e le libertà fondamentali degli interessati.

6. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice). 

Si osserva preliminarmente che il Garante, ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento, nonché dell’art. 166 del Codice, ha il potere di “infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle [altre] misure [correttive] di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso” e, in tale quadro, “il Collegio [del Garante] adotta l’ordinanza ingiunzione, con la quale dispone altresì in ordine all’applicazione della sanzione amministrativa accessoria della sua pubblicazione, per intero o per estratto, sul sito web del Garante ai sensi dell’articolo 166, comma 7, del Codice” (art. 16, comma 1, del reg. del Garante n. 1/2019).

La predetta sanzione amministrativa pecuniaria, inflitta in funzione delle circostanze di ogni singolo caso, va determinata nell’ammontare tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Al riguardo, tenuto conto dell’art. 83, par. 3, del Regolamento, nel caso di specie la violazione delle disposizioni citate nel par. 4 del presente provvedimento è soggetta all’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento.

Con specifico riguardo alla natura, alla gravità e alla durata delle violazioni, al carattere doloso o colposo delle violazioni nonché alle categorie di dati personali interessate (art. 83, par. 2, lett. a), b) e g), del Regolamento), occorre considerare che:

- le violazioni hanno riguardato i domicili digitali professionali di tutti i professionisti censiti all’interno dell’INI-PEC, che sono poi stati pubblicati sull’INAD senza che i titolari delle caselle di PEC fossero pienamente consapevoli dei trattamenti posti in essere e quindi senza che fossero messi nelle condizioni di gestire la propria casella di PEC a seguito di quanto introdotto per legge;

- misure informative adeguate sono state introdotte solo nell’estate del 2025, a due anni dall’avvio dei trattamenti in esame;

- l’obbligo di assolvere agli oneri informativi nei confronti degli interessati con modalità adeguate era stabilito, peraltro, all’interno delle linee guida che l’AgID stessa aveva adottato;

- l’Autorità ha ricevuto diversi reclami e segnalazioni al riguardo, in cui sono state lamentate anche conseguenze negative dall’omessa informazione in merito al meccanismo di riversamento e pubblicazione nell’INAD dei propri domicili digitali professionali, quali la ricezione di notifiche (anche di notevole impatto sui diritti e le libertà degli interessati) su caselle di PEC non adeguate a ricevere comunicazioni attinenti la sfera privata e quindi non gestite;

- il carattere delle violazioni è colposo, avendo l’AgID ritenuto sufficiente assolvere ai propri obblighi informativi mediante diversi canali (come campagne di comunicazione).

Alla luce di tali circostanze, si ritiene che, nel caso di specie, il livello di gravità delle violazioni commesse dal titolare del trattamento sia medio (Guidelines 04/2022 on the calculation of administrative fines under the GDPR, adottate dal Comitato il 23 maggio 2023, punto 60).

In senso favorevole al titolare occorre comunque considerare che, ai sensi dell’art. 83, par. 2, lett. c), d), e), f) e k), del Regolamento l’AgID – che non ha commesso precedenti violazioni pertinenti – all’epoca dell’avvio dei trattamenti aveva comunque posto in essere campagne comunicative, ancorché non individualizzate bensì rivolte alla generalità del pubblico, confidando anche nella loro efficacia; inoltre, seppure tardivamente, ha posto in essere misure per mitigare i rischi (come la nota congiunta con il Ministero delle imprese e del made in Italy, trasmessa agli Ordini professionali e destinato a essere veicolato presso ciascun professionista), coinvolgendo anche altri attori istituzionali, nonché tenendo conto di difficoltà sul piano finanziario e organizzativo rappresentate nel corso del procedimento.

In ragione dei suddetti elementi, valutati nel loro complesso, con riferimento alla condotta consistita nell’inadempimento degli obblighi informativi nei confronti dei professionisti (cfr. par. 4.1 e par. 5, lett. a), del presente provvedimento), si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 55.000 (cinquantacinquemila) per la violazione dell’art. 5, parr. 1, lett. a) e b), e 2, e degli artt. 12, 14 e 25 del Regolamento, quale sanzione amministrativa pecuniaria ritenuta, ai sensi dell’art. 83, par. 1, del Regolamento, effettiva, proporzionata e dissuasiva.

In tale quadro si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del reg. del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito internet del Garante. Ciò in considerazione del fatto che la violazione degli obblighi informativi ha interessato tutti i professionisti i cui domicili digitali erano pubblicati sull’INI-PEC.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del reg. del Garante n. 1/2019.

TUTTO CIÒ PREMESSO IL GARANTE

a) dichiara l’illiceità dei trattamenti di dati personali effettuati dall’AgID – Agenzia per l’Italia digitale descritta nei termini di cui in motivazione, per la violazione dell’art. 5, parr. 1, lett. a) e b), e 2, e degli artt. 12, 14 e 25 del Regolamento;

b)    dispone l’applicazione della sanzione amministrativa pecuniaria, ai sensi dell’art. 58, par. 2, lett. i), e dell’art. 83 del Regolamento, per la violazione dell’art. 5, parr. 1, lett. a) e b), e 2, e degli artt. 12, 14 e 25 del Regolamento;

ORDINA

all’AgID – Agenzia per l’Italia digitale, in persona del legale rappresentante pro-tempore, con sede legale in Via Liszt 21, 00144 Roma (RM), C.F. 97735020584, di pagare la somma di euro 55.000 (cinquantacinquemila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione (violazione dell’art. 5, parr. 1, lett. a) e b), e 2, e degli artt. 12, 14 e 25 del Regolamento). Si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Agenzia, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 55.000 (cinquantacinquemila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della l. 689/1981;

DISPONE

a) ai sensi dell’art. 166, comma 7, del Codice e dell'art. 16, comma 1, del reg. del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

b) ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del reg. del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet dell’Autorità;

c) ai sensi dell’art. 17 del reg. del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre ricorso dinnanzi all’autorità giudiziaria ordinaria, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento stesso ovvero entro sessanta giorni se il ricorrente risiede all’estero.

Roma, 28 maggio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori