[doc. web n. 10309222]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 763 del 7 ottobre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196) (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, la sig.ra XX ha lamentato la circostanza che, in due distinte occasioni, nei giorni 21 e 24 luglio 2025, la Federazione Nazionale degli Ordini dei Biologi (FNOB - di seguito, la “Federazione”) avrebbe inviato un messaggio di posta elettronica certificata a lei e a numerosi altri professionisti, mettendo in chiaro gli indirizzi di posta elettronica personali degli stessi e, pertanto, rendendo edotto ciascun destinatario dell’indirizzo di posta elettronica personale degli altri destinatari.

1.2. Attività svolta

In riscontro a una richiesta d’informazioni dell’Autorità, formulata ai sensi dell’art. 157 del Codice (v. nota prot. n. XX del XX), la Federazione, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

- “gli eventi oggetto di [reclamo] sono riconducibili ad un paio di episodi occasionali, derivanti da un errore materiale nell’utilizzo dello strumento di posta elettronica (utilizzo della PEC che non consente l’inserimento dei destinatari nel campo “CCN” in luogo della mail ordinaria che invece prevede tale funzionalità) e non riflette prassi organizzative né comportamenti sistematici della Federazione”; 

- “le comunicazioni in [questione], contenenti esclusivamente informazioni di carattere ordinario e istituzionale, sono state inviate nell’ambito delle attività istituzionali della Federazione ed erano rivolte ad alcuni Biologi iscritti, appartenenti pertanto ad un contesto omogeneo e circoscritto”; 

- “le comunicazioni contestate hanno comportato la visibilità del solo indirizzo e-mail dei destinatari, i quali, peraltro, in ragione dell’appartenenza al medesimo contesto (spesso lo stesso Comitato Tecnico Scientifico) è presumibile che fossero già a conoscenza del dato”; 

- “la violazione contestata, pur essendo astrattamente assimilabile alla nozione di violazione dei dati personali di cui all’art. 4, n. 12 del Regolamento […], va dunque ridimensionata in ragione della sua portata limitata (ambito della comunicazione ristretto ad un gruppo di iscritti in un contesto chiuso e controllato) del coinvolgimento di dati personali comuni (indirizzo e-mail) e dall’assenza, per quanto a conoscenza della [Federazione], di alcuna conseguenza dannosa derivante da utilizzi impropri o diffusioni successive”; 

- “[…] la Federazione […] ha comunque adottato le seguenti misure correttive: richiamo interno sull’uso corretto dei campi di indirizzamento con istruzioni operative per l’invio di comunicazioni collettive; sensibilizzazione del personale coinvolto sul rispetto dei principi di riservatezza e minimizzazione attraverso formazione specifica, in corso di programmazione”.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del XX (prot. n. XX), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti della Federazione, invitando la stessa produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689). Ciò per aver la stessa posto in essere un trattamento di dati personali in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e 6, par 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice. Con la medesima nota, il predetto titolare è stato invitato a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

2.2. Difese della Parte (art. 166, comma 6, del Codice)

Con memoria dell’XX (prot. n. XX), la Federazione, oltre a ribadire quanto già rappresentato nel corso dell’istruttoria, ha dichiarato, in particolare, che “si [è] tratta[to…] di una condotta colposa e non dolosa, riconducibile a una lacuna formativa prontamente colmata, e non a una scelta deliberata o a una sistematica violazione delle procedure interne”. 

3. VALUTAZIONI DELL’AUTORITÀ

Nel quadro giuridico eurounitario e nazionale in materia di protezione dei dati, il trattamento di dati personali da parte di soggetti pubblici è lecito se necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri” (art. 6, par. 1, lett. c) ed e), parr. 2 e 3 del Regolamento; cfr. art. 2-ter del Codice).

Gli Stati membri “possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). 

La base su cui si fonda il trattamento dei dati di cui all’art. 6, par. 1, lett. c) ed e), del Regolamento, stabilita dal diritto dell'Unione o dal diritto dello Stato membro, deve soddisfare un sufficiente livello di qualità, disciplinando gli elementi essenziali del trattamento (v. art. 6, par. 3, del Regolamento; cfr. cons. 45 del Regolamento); in conformità alla giurisprudenza della Corte di giustizia dell'Unione europea e a quella della Corte europea dei diritti dell'uomo, essa deve essere, infatti, chiara e precisa e prevedibile per gli interessati (v. cons. 41 del Regolamento). 

In attuazione delle predette disposizioni del Regolamento, il legislatore nazionale ha previsto che “la base giuridica prevista dall'articolo 6, paragrafo 3, lettera b), del regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1, del Codice).

Quanto all’operazione di trattamento che consiste nella “comunicazione” di dati personali (art. 2-ter, comma 4, lett. a), del Codice), essa è ammessa, in ambito pubblico, solo al ricorrere delle condizioni previste dall’art. 2-ter, commi 1, 1-bis, 2 e 3 del Codice. 

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”, nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento). 

Con riguardo alla vicenda oggetto di reclamo, risulta accertato, a seguito dell’attività istruttoria, che la Federazione, in due diverse occasioni, ha inviato a una pluralità di soggetti un messaggio di posta elettronica certificata (v. email del 21 e 24 luglio 2025, in atti), lasciando in chiaro gli indirizzi di posta elettronica personali dei diversi destinatari dello stesso.

Al riguardo, deve farsi presente che il Garante ha avuto modo di chiarire in più occasioni che l’invio di messaggi di posta elettronica “con mailing list in chiaro costituisce di fatto una comunicazione di dati personali (quelli relativi agli altri indirizzi di posta) a terzi, ossia ai molteplici destinatari” di tali e-mail (cfr. punto 5 delle “Linee guida in materia di attività promozionale e contrasto allo spam” del 4 luglio 2013, in www.gpdp.it, doc. web n. 2542348). 

Per effetto delle predette comunicazioni e delle concrete modalità delle stesse, ognuno dei destinatari delle predette comunicazioni è stato messo a conoscenza dell’indirizzo di posta elettronica degli altri destinatari. 

Sebbene l’invio dei messaggi in questione sia avvenuto per un mero errore materiale, si è comunque verificata una comunicazione di dati personali a terzi, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, par 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dalla Federazione, per aver la stessa agito in violazione degli artt. 5, par. 1, lett. a), e 6, par 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

5. MISURE CORRETTIVE 

Considerato che la condotta ha esaurito i suoi effetti, si ritiene che non ricorrano i presupposti per l’adozione di misure correttive, di cui all’art. 58, par. 2, del Regolamento, ulteriori rispetto a quelle di cui al successivo par. 6 del presente provvedimento.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, tutte le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- la violazione ha natura episodica e si è verificata a causa di un mero errore umano in fase di invio di un messaggio di posta elettronica certificata a professionisti comunque appartenenti alla medesima categoria professionale (cfr. art. 83, par. 2, lett. a) e b) del Regolamento);

- i dati personali oggetto di comunicazione consistono esclusivamente negli indirizzi di posta elettronica dei destinatari, non essendo stati, pertanto, trattati dati personali appartenenti a categorie particolari (cfr. art. 83, par. 2, lett. g), del Regolamento);

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia basso (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò premesso, nel considerare che il titolare del trattamento è un Ente di rilevanza nazionale, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- non risultano precedenti violazioni pertinenti commesse dalla Federazione (art. 83, par. 2, lett. e), del Regolamento);

- la Federazione ha offerto un buon livello di cooperazione con l’Autorità nel corso dell’istruttoria e ha dichiarato di aver adottato iniziative per mitigare il rischio che analoghi episodi possano verificarsi in futuro (art. 83, par. 2, lett. f), del Regolamento); 

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 2.000 (duemila) per la violazione degli artt. 5, par. 1, lett. a), e 6, par 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

Infine, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione dell’elevato numero di destinatari della comunicazione in questione. 

PER QUESTI MOTIVI

ai sensi dell’art. 57 del Regolamento, si dichiara l’illiceità del trattamento dei dati personali effettuato dalla Federazione Nazionale degli Ordini dei Biologi, in persona del legale rappresentante pro-tempore, con sede legale in Via Icilio, 7 - 00153 Roma (RM), C.F. 80069130583, per violazione degli artt. 5, par. 1, lett. a), e 6, par 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, alla predetta Federazione, di pagare la somma di euro 2.000 (duemila) a titolo di sanzione amministrativa pecuniaria per la/e violazione/i indicata/e in motivazione;

SI INGIUNGE

alla predetta Federazione, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000 (duemila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

a) ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del Regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

b) ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento. 

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori