[doc. web n. 10309253]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 753 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196) (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il dott. Agostino Ghiglia;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con reclamo presentato ai sensi dell’art. 77 del Regolamento, il sig. XX, dipendente dell’Università degli Studi di Teramo (di seguito, l’“Ateneo”), ha rappresentato di aver promosso un ricorso al Giudice del Lavoro in relazione a questioni afferenti alla propria posizione lavorativa e che, nell’ambito di detto contenzioso, il Consiglio di amministrazione (“CDA”) dell’Ateneo ha deliberato di dare mandato a un avvocato del libero foro per la propria difesa in giudizio.

L’interessato ha lamentato che, in tale contesto, l’Ateneo avrebbe inviato a mezzo email a tutto il proprio personale un documento recante l’esposizione sintetica degli argomenti trattati nella seduta del CDA del XX, facendo espresso riferimento al reclamante e al predetto ricorso, indicato con il numero di registro generale del procedimento giudiziario. 

L’interessato ha, inoltre, rappresentato che l’Ateneo avrebbe anche pubblicato il predetto documento sul proprio sito web istituzionale, con indicizzazione del contenuto sui motori di ricerca, dando così luogo a una diffusione di dati personali.

1.2. Attività svolta

In risposta a una richiesta d’informazioni dell’Autorità, formulata ai sensi dell’art. 157 del Codice con nota del XX (prot. n. XX), l’Ateneo, con nota del XX (prot. n. XX), ha dichiarato, in particolare, che:

- “nella seduta del XX […] cui ha fatto seguito la delibera confermativa del 26 novembre 2025 […], il [CDA] ha […] deliberato di procedere all’affidamento dell’incarico di difesa [a un avvocato]”;

- “la scelta, costituendo deroga all’ordinario patrocinio dell’Avvocatura Distrettuale dello Stato […,] richiedeva […] in delibera un supporto motivazionale [… e] l’eventuale omissione [dei dati personali del reclamante] non avrebbe potuto consentire al Cda di valutare nel merito [la questione]”;

- “per quanto attiene invece nello specifico al contenuto della contestata email del XX, a firma Rettore e DG, con cui è stato trasmesso al personale dell’Ateneo l’ODG della seduta del Cda […], contenente il punto 8.3 “Ricorso ex art. 414 cpc dinanzi al Tribunale del Lavoro di […], promosso dal dipendente Dott. [nome e cognome del reclamante] – RG [numero/anno]: autorizzazione al conferimento dell’incarico di patrocinio legale ad avvocato esterno” si precisa […che] si è trattato di mero errore tecnico, cui i colleghi sono incorsi in assoluta buona fede nello svolgimento ordinario del proprio lavoro e a cui, peraltro, loro stessi hanno posto subito rimedio”;

- “l’Amministrazione, in un arco temporale contenuto […], ha provveduto a rimuovere i dati personali sensibili giudiziari del [reclamante] […]. Gli uffici coinvolti hanno provveduto tempestivamente, ciascuno per la parte di propria competenza, a oscurare i dati da non pubblicare”;

- “l’errore nella trasmissione e pubblicazione del dato è avvenuto in un contesto procedimentale del tutto ordinario […], in cui l’Ufficio preposto alla gestione dell’attività degli Organi Accademici ha sempre attribuito primaria rilevanza, interesse ed attenzione al rispetto degli obblighi di trasparenza degli atti”. 

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 22 maggio 2026 (prot. n. 0078222), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Ciò per avere il titolare comunicato a terzi e diffuso online i dati personali del reclamante in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice. 

2.2. Difese della Parte (art. 166, comma 6, del Codice)

Con memoria del XX (prot. n. XX), il titolare del trattamento ha dichiarato, in particolare, che:

- “l'oggetto del trattamento ha riguardato esclusivamente dati personali comuni (nome, cognome e qualifica professionale del dipendente) associati a informazioni oggettive circa l'esistenza di un contenzioso dinanzi al Giudice del Lavoro, identificato dal numero di Registro Generale”;

- “la violazione si è articolata in due condotte materiali circoscritte: la comunicazione interna tramite email dell'ordine del giorno (ODG) della seduta del Consiglio di Amministrazione del XX (inviata in data XX al personale, al Nucleo di Valutazione e al Consiglio degli Studenti) e la parallela pubblicazione temporanea dello stesso ODG sul portale web istituzionale”;

- “l'esposizione dei dati online è avvenuta all'interno di un arco temporale estremamente contenuto […] L’oscuramento è stato effettuato al massimo entro la giornata successiva dalla segnalazione del reclamante”;

- “con riguardo all’invio via mail dell’informativa relativa alla seduta, l’invio è stato effettuato […] nei confronti del personale docente, anche a contratto, tecnico-amministrativo, del Nucleo di Valutazione e del Consiglio degli Studenti”;

- “[…] ciascuna mailing list utilizzata contiene il seguente numero di destinatari: personale_tab: 209 membri (di cui 18 caselle di uffici e servizi dell’ateneo, quindi da depennare dal totale); personale_docente: 306 membri (di cui 15 caselle di uffici e servizi dell’ateneo, quindi da depennare dal totale); personale_docente_contratto: 475 membri (di cui 14 caselle di uffici e servizi dell’ateneo, quindi da depennare dal totale. In tale mailing list risultano, peraltro, numerosi account non più attivi)”;

- “[...] si desume che l’informativa sia stata letta potenzialmente da complessive 947 persone”;

- “la condotta è integralmente ascrivibile a un mero errore materiale e a una svista esecutiva compiuta in assoluta buona fede dai due collaboratori amministrativi, escludendo qualsiasi intenzionalità […]”;

- “l'errore amministrativo […] è consistito unicamente nel non aver separato la documentazione istruttoria interna (ove i dati erano necessari) dall'estratto sintetico dell'ODG destinato alla pubblicazione di trasparenza”;

- l’Ateneo ha adottato “misure strutturali e correttive” per mitigare il rischio che possano verificarsi analoghi episodi in futuro.

3. VALUTAZIONI DELL’AUTORITÀ

3.1 La normativa in materia di protezione dei dati.

Nella cornice del Regolamento e Codice, il datore di lavoro può trattare i dati personali dei lavoratori, anche relativi a categorie particolari di dati (cfr. art. 9, par. 1 del Regolamento), se il trattamento è necessario per la gestione del rapporto di lavoro e per adempiere a specifici obblighi o compiti previsti da leggi, dalla normativa comunitaria, da regolamenti o da contratti collettivi (artt. 6, par. 1, lett. c), 9, parr. 2, lett. b) e 4, e 88 del Regolamento). Il trattamento è, inoltre, lecito quando sia “necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. e) e parr. 2 e 3 del Regolamento; art. 2-ter del Codice).

Gli Stati membri “possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). 

La base su cui si fonda il trattamento dei dati di cui all’art. 6, par. 1, lett. c) ed e), del Regolamento, stabilita dal diritto dell'Unione o dal diritto dello Stato membro, deve soddisfare un sufficiente livello di qualità, disciplinando gli elementi essenziali del trattamento (v. art. 6, par. 3, del Regolamento; cfr. cons. 45 del Regolamento); in conformità alla giurisprudenza della Corte di giustizia dell'Unione europea e a quella della Corte europea dei diritti dell'uomo, essa deve essere, infatti, chiara e precisa e prevedibile per gli interessati (v. cons. 41 del Regolamento). 

In attuazione delle predette disposizioni del Regolamento, il legislatore nazionale ha previsto che “la base giuridica prevista dall'articolo 6, paragrafo 3, lettera b), del regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1, del Codice).

Quanto alle operazioni di trattamento che consistono nella “comunicazione” o nella “diffusione” di dati personali (art. 2-ter, comma 4, lett. a) e b), del Codice), esse sono ammesse, in ambito pubblico, solo al ricorrere delle condizioni previste dall’art. 2-ter, commi 1, 1-bis, 2 e 3 del Codice. 

Il titolare del trattamento è, in ogni caso, tenuto a rispettare i principi di protezione dei dati, fra i quali quello di “liceità, correttezza e trasparenza” nonché di “minimizzazione”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”, nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento). 

3.2. La comunicazione a terzi dei dati personali del reclamante. 

Nel caso oggetto di reclamo, l’Ateneo, con email del XX, ha inviato a tutto il personale (amministrativo e docente), al nucleo di valutazione di Ateneo e al Consiglio degli studenti un documento denominato “Informativa CDA XX”, contenente l’ordine del giorno della seduta del CDA dell’Ateneo, al cui punto 8.3 si fa menzione al “Ricorso ex art. 414 cpc dinanzi al Tribunale del Lavoro di […], promosso dal dipendente [titolo, nome e cognome del reclamante] - RG [numero di RG del procedimento]”.

Al riguardo, deve osservarsi che, come da tempo chiarito dal Garante con provvedimenti a carattere generale e decisioni su singoli casi, le amministrazioni devono adottare le misure più opportune per prevenire la conoscibilità ingiustificata di dati personali da parte di terzi o soggetti diversi dal destinatario (cfr. punto 5.3 delle “Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico”, provv. del 14 giugno 2007, pubblicate in G.U. 13 luglio 2007, n. 161 e in www.gpdp.it, doc. web n. 1417809). I dati personali dei dipendenti, trattati per finalità di gestione del rapporto di lavoro, non possono, infatti, di regola, essere messi a conoscenza di soggetti diversi da coloro che sono parte dello specifico rapporto di lavoro (cfr. definizioni di “dato personale” e “interessato”, contenuta nell’art. 4, par. 1, n. 1, del Regolamento), ovvero di coloro che - anche tenuto conto della definizione di “terzo”, contenuta nell’art. 4, par. 1, n. 10, del Regolamento - non siano legittimati a trattarli in ragione delle mansioni assegnate e delle scelte organizzative del titolare del trattamento. Diversamente, nessuna violazione della disciplina di protezione dei dati personali può essere riscontrata nelle ipotesi in cui i soggetti, cui fanno capo specifiche mansioni, vengano a conoscenza di dati personali degli interessati, quando sia necessario per lo svolgimento delle funzioni loro attribuite. 

Nel caso di specie, l’invio ai predetti destinatari dell’ordine del giorno del CDA dell’Ateneo, senza il previo oscuramento delle informazioni idonee a consentire l’identificazione del reclamante e a risalire, tramite il numero di registro generale, alla vicenda oggetto di contenzioso, ha comportato, ancorché a causa di un mero errore umano, una comunicazione di dati personali a terzi non conforme al principio di “liceità, correttezza e trasparenza” e priva di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

3.3. La diffusione online dei dati personali del reclamante. 

L’Ateneo ha, altresì, pubblicato sul proprio sito web istituzionale il medesimo documento contenente l’ordine del giorno del proprio CDA, senza previamente oscurare i dati personali del reclamante. 

La pubblicazione di tale documento, peraltro su una pagina del sito indicizzata sui motori di ricerca, ha, pertanto, comportato, fino al 14 ottobre 2025, la diffusione online delle predette delicate informazioni relative al reclamante, il quale era identificato mediante riferimento al nome e cognome. 

Anche rispetto a tale diffusione, l’Ateneo ha ricondotto l’accaduto a un mero errore umano, non sussistendo alcuna disposizione di settore che potesse giustificare il trattamento in questione. Nel documento oggetto di pubblicazione era, inoltre, indicato sia il Tribunale presso cui era stato incardinato il ricorso sia il numero di registro generale del procedimento, informazioni ulteriori che, anche in assenza del nome e cognome del reclamante, avrebbero potuto rendere lo stesso indirettamente identificabile e consentire di venire a conoscenza della specifica vicenda oggetto di contenzioso.

Con riguardo ai più generali obblighi di pubblicazione online di dati per finalità di "trasparenza", si evidenzia che tali obblighi sono esclusivamente quelli specificatamente indicati nel d.lgs. 14 marzo 2013, n. 33. Le pubbliche amministrazioni non sono, pertanto, legittimate a diffondere dati personali ulteriori, non individuati dal d. lgs. n. 33/2013 o da altra specifica norma di legge o di regolamento. In particolare, il Garante ha ribadito in numerose decisioni che anche l’eventuale presenza di uno specifico regime di pubblicità, che comunque non ricorre nel caso di specie, non può comportare alcun automatismo rispetto alla diffusione online dei dati e informazioni personali, né una deroga ai principi in materia di protezione dei dati personali (v., tra i tanti, provv.ti del 3 luglio 2026, n. 480 doc. web n. 10280790; 26 marzo 2026, n. 202 doc web n. 10243180; 4 giugno 2025, n. 320, doc. web n. 10163025; 12 dicembre 2024, doc web 10102355). 

Pertanto, anche “laddove l´amministrazione riscontri l´esistenza di un obbligo normativo che impone la pubblicazione dell´atto o del documento nel proprio sito web istituzionale è necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni”, in conformità al principio di minimizzazione dei dati (cfr. art. 5, par. 1, lett. c), del Regolamento), “quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità” (“Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati", adottate con provv. 15 maggio 2014, n. 243, in www.gpdp.it, doc. web n. 3134436).

L’Ateneo, prima di pubblicare un documento contenente dati personali dell’interessato, avrebbe, dunque, dovuto verificare, sulla base di una valutazione responsabile e attenta, non solo la sussistenza di una base giuridica che potesse giustificare la diffusione online degli stessi, ma anche quali specifici dati riportare in chiaro, tenendo conto dei limiti posti dai princìpi generali di protezione dei dati.

Deve, pertanto, concludersi che l’Ateneo, ancorché a causa di un mero errore umano, ha posto in essere una diffusione dei dati personali del reclamante in maniera non conforme ai principi di “liceità, correttezza e trasparenza” e “minimizzazione”, e in assenza di base giuridica, in violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

Dalla documentazione in atti non risulta, tuttavia, che detta diffusione abbia riguardato categorie particolari di dati personali (v. art. 9 del Regolamento) o “dati giudiziari”, così come prospettato nel reclamo, dovendosi, a tal riguardo, rammentare che le garanzie previste dagli artt. 10 del Regolamento e 2-octies del Codice trovano applicazione esclusivamente con riguardo ai dati personali relativi a condanne penali e reati o a connesse misure di sicurezza, e non anche a informazioni relative a contenziosi in sede civile.

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver trattato i dati personali del reclamante in violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

5. MISURE CORRETTIVE 

Considerando che la condotta ha esaurito i suoi effetti - atteso che l’Ateneo ha dichiarato di aver cessato la diffusione online dei dati in questione - non ricorrono i presupposti per l’adozione di misure correttive di cui all’art. 58, par. 2, del Regolamento, ulteriori a quelle di seguito indicate.

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- i dati personali del reclamante, oltre a essere stati diffusi online, ancorché per un limitato arco temporale (complessivamente dal 25 settembre al 14 ottobre 2025), sono stati comunicati a diverse centinaia di destinatari (cfr. art. 83, par. 2, lett. a), del Regolamento);

- la violazione ha carattere colposo, essendo conseguita a un mero errore umano (cfr. art. 83, par. 2, lett. b), del Regolamento);

- ancorché il trattamento non abbia riguardato dati particolari appartenenti alle categorie particolari di cui all’art. 9 del Regolamento, sono state comunicate a terzi e diffuse informazioni relative a un contenzioso in essere con il datore di lavoro, con possibili conseguenze pregiudizievoli per l’interessato nell’ambiente lavorativo (cfr. art. 83, par. 2, lett. g), del Regolamento), 

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò premesso, nel considerare che il titolare del trattamento è un Ateneo di ridotte dimensioni (circa 4.700 studenti iscritti), si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- l’Ateneo ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria, avendo, altresì, dichiarato di aver adottato ulteriori misure organizzative per mitigare il rischio che simili episodi possano nuovamente verificarsi in futuro (cfr. art. 83, par. 2, lett. f), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dall’Ateneo (cfr. art. 83, par. 2, lett. e), del Regolamento).

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 4.000 (quattromila) per la violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

Infine, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione del fatto che il trattamento ha avuto ad oggetto informazioni comunque delicate, che possono comportare effetti pregiudizievoli per l’interessato nella sfera lavorativa. 

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato dall’Università degli Studi di Teramo, con sede legale in Via Renato Balzarini, 1 - 64100 Teramo (TE), C.F. 92012890676, per la violazione degli artt. 5, par. 1, lett. a) e c), e 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare del trattamento, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

SI INGIUNGE

al predetto titolare del trattamento, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 4.000 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori