VEDI ANCHE Newsletter del 29 ottobre 2026

[doc. web n. 10311438]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 762 del 7 ottobre 2026
 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196) (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento del Garante n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE la prof.ssa Ginevra Cerrina Feroni;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

L’Autorità ha appreso da numerose notizie di stampa che il Consiglio Nazionale del Notariato (CNN) avrebbe divulgato, ancorché per un breve arco temporale, un documento contenente l’elenco di coloro che hanno superato le prove scritte della procedura selettiva indetta dal Ministero della Giustizia con “bando di concorso per 400 posti di notaio pubblicato nella Gazzetta Ufficiale n. 50 del 21 giugno 2024 – 4a Serie speciale – “Concorsi ed esami””, recante annotazioni e commenti su alcuni candidati.

1.2. Attività svolta

In riscontro a due richieste d’informazioni (v. note prot. nn. 0026858 del 20 febbraio 2026 e 0054429 del 9 aprile 2026), formulate ai sensi dell’art. 157 del Codice, il CNN, con note del 2 marzo 2026 (prot. n. 0001539) e 17 aprile 2026 (prot. n. 0002948), ha dichiarato, in particolare, che: 

- “ai sensi e per gli effetti dell’art. 2, lett. e), della L. 3 agosto 1949, n. 577, il [CNN] […] cura la tutela degli interessi della categoria dei notai”; 

- tramite la c.d. “Rete Unitaria del Notariato […], di seguito […] la “Piattaforma”)” viene fornito, tra le altre cose, “un servizio di newsletter (cosiddetto “CNN Notizie”)”, allo scopo di “tenere aggiornato il notaio sulle novità rilevanti per la propria categoria”;

- la Piattaforma “è accessibile esclusivamente agli studi notarili che hanno […] creato un’utenza” e “il contenuto di CNN Notizie è […] riservato esclusivamente agli utenti iscritti”;

- “la pubblicazione del file relativo ai risultati della prova scritta del concorso notarile […], limitatamente ai candidati ammessi alla prova orale, […] è avvenuta […sulla] Piattaforma, accessibile esclusivamente dagli studi notarili precedentemente iscritti e dotati di username e password. Peraltro, per la visualizzazione dei documenti pubblicati su CNN Notizie, è necessaria un’ulteriore autenticazione, successiva a quella necessaria per l’accesso alla Piattaforma”;

- “il file, in formato PDF, conteneva i seguenti dati personali: nome e cognome del candidato/a; b) data di nascita […]; c) luogo di nascita […]; d) numero della busta contenente gli elaborati […]; e) numero del verbale associato alla busta […]”;

- “nella giornata del 18 febbraio u.s. - il medesimo giorno in cui il Ministero della Giustizia rendeva noto l’esito dei lavori della commissione [e dunque i] risultati [delle prove scritte…,] al fine di prevenire la diffusione da parte di soggetti terzi di notizie, potenzialmente non esatte, relative ai risultati della prova scritta del Concorso, il CNN, nell’esercizio del proprio ruolo istituzionale, pubblicava sulla suddetta Newsletter l’elenco dei soli ammessi alla prova orale, con esclusione quindi dell’indicazione dei non ammessi”;

- “avvedutosi in via autonoma […] della presenza nel file di alcune indicazioni non pertinenti, il CNN provvedeva immediatamente a rimuovere detto file pubblicato su CNN Notizie, che risultava perciò accessibile dalle utenze […] per un arco temporale molto limitato […], per la precisione, tra le ore 13.40 e le ore 14.25 del giorno 18 febbraio 2026, dopodiché, come detto, è stato rimosso dallo stesso CNN”;

- il CNN “non è in condizione di fornire informazioni in merito al numero di utenti che hanno visualizzato il file”, dovendosi comunque considerare che “il totale degli accessi univoci alla Newsletter, nell’arco temporale intercorrente tra le ore 12 e le ore 15 del 18 febbraio u.s., è stato pari a 289”, non trattandosi, peraltro, di accessi univoci;

- “il documento […] pervenuto al CNN [, di cui è stata depositata copia in atti,] risultava, in formato EXCEL, contenente l’elenco dei soli candidati ammessi alla prova orale del concorso notatile, accompagnato da commenti”;

- “una volta accortisi della presenza di commenti non coerenti, gli Uffici del CNN hanno operato una riduzione del documento, pubblicando una seconda versione dello stesso (sempre in formato PDF) […], per un periodo di circa 25 minuti. Infine, a fronte di una ulteriore riduzione, è stata pubblicata una terza versione del documento (sempre in formato PDF) […], fino al pomeriggio di venerdì 20 febbraio [2026] (eliminata verso le ore 17.50). Le versioni del documento, infine, sono state definitivamente rimosse, unitamente a tutti i dati relativi agli accessi al file stesso” nel “pomeriggio di venerdì 20 febbraio”; il CNN ha depositato in atti “le tre versioni del documento”; 

- “il CNN non è entrato mai in possesso dell’elenco dei [candidati] non ammessi”; 

- la prima versione del documento “[è] pervenut[a] da [un] notaio […] [, membro della commissione di concorso]”;

- “il […] Presidente del CNN ha chiesto e ottenuto, nell’esercizio del proprio ruolo istituzionale, […] nell’interesse esclusivo della categoria che rappresenta, e in ogni caso solo a chiusura delle operazioni di correzione delle prove scritte e successivamente alla redazione dei telativi verbali, il documento contenente l’elenco dei soli candidati ammessi alla prova orale, con l’unico obiettivo di prevenire la diffusione da parte di soggetti terzi di notizie e/o informazioni, potenzialmente non esatte, in merito agli esiti della prova scritta del concorso”.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base all’esame degli elementi acquisiti nel corso delle attività sopra descritte e all’accertamento delle presunte violazioni, con nota del 19 maggio 2025 (prot. n. 0077300), notificata ai sensi dell’art. 166, comma 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Ciò per avere il CNN acquisito i dati personali dei candidati ammessi alla prova orale del predetto concorso, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, nonché per aver posto in essere una comunicazione a terzi dei dati personali di tali candidati, in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

2.2. Difese della Parte (art. 166, comma 6, del Codice)

Con nota del 16 giugno 2026 (prot. n. 0004384), il CNN ha presentato una memoria difensiva, le cui parti essenziali sono riprese, per quanto d’interesse, nella parte motiva del presente provvedimento. 

3. VALUTAZIONI DELL’AUTORITÀ

3.1 La normativa in materia di protezione dei dati

Al fine di garantire un elevato livello di protezione delle libertà e dei diritti fondamentali delle persone fisiche, in particolare del loro diritto al rispetto della vita privata e alla protezione dei dati personali, sancito dagli artt. 7 e 8 della Carta dei diritti fondamentali dell’Unione europea (cfr. art. 1 del Regolamento), qualsiasi trattamento di dati personali deve essere conforme ai principi enunciati all’art. 5 del Regolamento - inclusi quelli di “liceità, correttezza e trasparenza” e “minimizzazione dei dati”, in base ai quali i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”, nonché “adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati” (art. 5, par. 1, lett. a) e c), del Regolamento) - e deve soddisfare le condizioni di liceità di cui all’art. 6 del Regolamento.

In tale quadro, i soggetti pubblici possono, di regola, trattare dati personali, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” o “per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento” (art. 6, par. 1, lett. c) ed e), del Regolamento). 

Gli Stati membri “possono mantenere o introdurre disposizioni più specifiche per adeguare l’applicazione delle norme del […] regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto […]” (art. 6, par. 2, del Regolamento). 

La base su cui si fonda il trattamento dei dati di cui all’art. 6, par. 1, lett. c) ed e), del Regolamento, stabilita dal diritto dell'Unione o dal diritto dello Stato membro, deve soddisfare un sufficiente livello di qualità, disciplinando gli elementi essenziali del trattamento (v. art. 6, par. 3, del Regolamento; cfr. cons. 45 del Regolamento); in conformità alla giurisprudenza della Corte di giustizia dell'Unione europea e a quella della Corte europea dei diritti dell'uomo, essa deve essere, infatti, chiara, precisa e prevedibile per gli interessati (v. cons. 41 del Regolamento). 

In attuazione delle predette disposizioni del Regolamento, il legislatore nazionale ha previsto che “la base giuridica prevista dall'articolo 6, paragrafo 3, lettera b), del regolamento è costituita da una norma di legge o di regolamento o da atti amministrativi generali” (art. 2-ter, comma 1, del Codice).

Per quanto attiene specificamente all’operazione di “comunicazione” di dati personali (art. 2-ter, comma 4, lett. a) e b), del Codice), posta in essere da parte di soggetti pubblici, essa è ammessa soltanto al ricorrere delle condizioni previste dall’art. 2-ter, commi 1, 1-bis, 2 e 3 del Codice.  

3.2. L’acquisizione da un componente della Commissione di concorso dell’elenco dei candidati ammessi alla prova orale

Dall’istruttoria che ha coinvolto anche il Ministero della Giustizia, nell’ambito di un separato ma connesso procedimento, è emerso che il CNN ha chiesto e ottenuto che un notaio facente parte della commissione di concorso, sulla base di un’iniziativa posta in essere a titolo puramente individuale, trasmettesse un file in formato Excel, contenente l’elenco dei candidati ammessi alla prova orale, con l’indicazione dei seguenti dati personali: numero della busta; numero del verbale; cognome e nome del candidato; luogo di nascita; data di nascita; data di correzione della prova scritta; punteggio ottenuto in ciascuna prova e punteggio totale; composizione della commissione che ha esaminato la prova. Ciò senza alcuna autorizzazione da parte della stessa commissione di concorso o del Ministero della Giustizia. 

Al riguardo, occorre osservare che, nell’ambito dell’attività di alta vigilanza esercitata dal Ministero della Giustizia, ai sensi dell’art. 127 della l. 16 febbraio 1913, n. 89, sull’esercizio della professione notarile, il Ministero organizza la procedura di accesso alla professione, nell’ambito della quale la commissione di concorso, organo collegiale tecnico, è chiamata a valutare la preparazione dei candidati.  Il concorso notarile, bandito annualmente ai sensi dell’art. 1 della l. 6 agosto 1926, n. 1365, si svolge, infatti, sotto la direzione logistica e amministrativa del Ministero in tutte le sue fasi, dall’emissione del bando, all’organizzazione delle prove scritte e orali, fino all’adozione del decreto di nomina dei vincitori (cfr. il d.lgs. 23 aprile 2006, n. 166 e il r.d. 10 settembre 1914, n. 1326, con il quale è approvato il regolamento per l'esecuzione della l. 16 febbraio 1913, n. 89 riguardante l'ordinamento del notariato). Il CNN è, invece, del tutto estraneo alla procedura concorsuale in questione. 

Per quanto concerne il regime di pubblicità dei risultati delle prove scritte del concorso, l’art. 17, co. 6, del r.d. 10 settembre 1914, n. 1326, prevede che “l'elenco degli ammessi all'esame orale è affisso, a cura del segretario, alla porta della sala degli esami”. L’elenco contenente i risultati delle prove scritte, acquisito dall’Ufficio del Garante dal Ministero della Giustizia nel corso dell’istruttoria, conteneva i nominativi di tutti i candidati, idonei e non idonei nelle prove scritte, ordinati in ordine alfabetico; la data di nascita; il numero di verbale; il numero della busta; il numero di buste aperte; il punteggio conseguito per ogni traccia; il punteggio totale. 

Inoltre, in base a quanto emerso nell’istruttoria, il Ministero della Giustizia ha consentito a ciascun candidato, con accesso selettivo sul sito web istituzionale del Ministero, tramite credenziali, di conoscere i risultati delle proprie prove scritte con valore di notifica all’interessato (cfr. comunicato del Ministero del 18 febbraio 2026, in atti, ove si legge che “ciascun candidato del concorso che ha consegnato le prove scritte potrà visualizzare i propri risultati accedendo tramite SPID alla propria area personale […]”). 

La disciplina di settore prevede, pertanto, un ristretto ambito di conoscibilità degli esiti delle prove scritte, limitato ai soli locali degli esami ove si sono svolte dette prove e, pertanto, ai soli soggetti che hanno partecipato al concorso e che hanno un interesse qualificato a conoscere l’esito delle prove. Non è, invece, previsto alcun regime di pubblicità generalizzata di tali risultati, ad esempio mediante pubblicazione online degli stessi. 

Non può, invece, accogliersi la tesi difensiva prospettata dal CNN in sede di memoria difensiva, secondo la quale “l'accesso ai locali nei quali viene affisso l'elenco dei candidati ammessi alla prova orale non è in alcun modo riservato ai partecipanti alla procedura concorsuale. Al contrario, tali locali sono accessibili a chiunque intenda prendere visione del predetto elenco, senza necessità di dimostrare uno specifico titolo legittimante o un interesse dell’accesso”, concretizzandosi una “forma di diffusione delle informazioni ad una platea indeterminata di soggetti”. Ciò in quanto, come previsto dal richiamato art. 17, co. 6, del r.d. 10 settembre 1914, n. 1326, l'elenco degli ammessi all'esame orale avrebbe dovuto essere affisso alla porta della sala degli esami presso il Ministero della Giustizia e, pertanto, in un luogo in cui non è consentito l’accesso a chiunque, ma solo a coloro (personale autorizzato, candidati, componenti la commissione, ecc.) che, per una valida ragione, sono legittimati ad accedere alle sedi del Ministero e agli spazi prossimi “alla porta della sala degli esami”. In ogni caso, secondo il costante e consolidato orientamento del Garante, i soggetti pubblici possono trattare dati personali solo ove consentito dalla disciplina di settore applicabile e da quella di protezione dei dati, a nulla rilevando che i medesimi dati siano eventualmente reperibili altrove, anche presso altri soggetti pubblici, per diverse finalità, vale a dire, nel caso di specie, quella di informare esclusivamente i candidati alla procedura concorsuale circa l’esito delle prove scritte (cfr., tra i tanti, provv.ti 20 giugno 2024, n. 376, doc. web n. 10039570; 24 aprile 2024, n. 268, doc. web n. 10021491; 15 dicembre 2022, n. 418, doc. web n. 9855545; 10 novembre 2022 doc. web n. 9835095; 10 febbraio 2022, n. 45, doc. web n. 9751549; 25 marzo 2021, n. 106, doc. web n. 9584421; 2 luglio 2020, n. 118, doc. web n. 9440025; 12 marzo 2020, n. 56, doc. web n. 9429218), fermo restando che, nel caso di specie, il CNN non ha comunque attinto i dati personali in questione dall’elenco ufficiale del Ministero, bensì li ha ottenuti da un componente della Commissione di concorso. 

Ne deriva che la condotta del CNN, consistente nell’aver chiesto e ottenuto che un notaio facente parte della Commissione di concorso trasmettesse un file in formato Excel, contenente l’elenco dei candidati ammessi alla prova orale, si pone in contrasto con la richiamata disciplina di settore, che definisce l’ambito di conoscibilità dei risultati delle prove scritte.

Il CNN ha, peraltro, ottenuto e conseguentemente trattato taluni dati personali che nemmeno figuravano nell’elenco ufficiale del Ministero della Giustizia, vale a dire il luogo di nascita dei candidati; la data di correzione della prova scritta; la composizione della Commissione che ha esaminato la prova scritta. 

Inoltre, ancorché a causa di un errore in fase di trasmissione di detto file, commesso dal notaio componente della Commissione che aveva acconsentito a inviare al CNN gli esiti delle prove scritte, e in assenza di controlli da parte del CNN in merito alla correttezza del documento ricevuto rispetto a quello che il Ministero avrebbe messo a disposizione dei candidati in via ufficiale (cfr. art. 5, par. 1, lett. d), del Regolamento), hanno formato oggetto di acquisizione e successivo trattamento anche taluni commenti personali e annotazioni che, come è emerso anche nell’ambito della connessa istruttoria avviata nei confronti del Ministero della Giustizia, erano stati apposti da detto componente in corrispondenza dei nominativi di alcuni candidati (es. apprezzamenti personali sul candidato espressi da altri componenti dalla Commissione; riferimenti agli argomenti oggetto delle prove scritte; riferimenti al santo celebrato nella data in cui è stata corretta la prova scritta).

Alla luce delle considerazioni che precedono, deve concludersi che il CNN - soggetto estraneo alla procedura concorsuale in questione e privo di un interesse qualificato alla conoscenza dei risultati delle prove scritte del concorso - ha acquisito e dunque trattato i dati personali dei candidati ammessi alla prova orale in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

3.2. La comunicazione a terzi dei dati personali dei candidati

Nell’ambito della vicenda oggetto di istruttoria, il CNN ha condiviso l’elenco ottenuto dal notaio componente della commissione di concorso all’interno della sezione “Newsletter” della propria piattaforma online, denominata “Rete Unitaria del Notariato”, a cui hanno accesso i notai che hanno creato un account su detta piattaforma e che sono dotati delle necessarie credenziali di accesso.

Il caricamento del file all’interno della piattaforma è stato effettato nella giornata del 18 febbraio 2026, data in cui il Ministero della Giustizia, con il predetto comunicato stampa, ha reso nota la messa a disposizione dei candidati dell’elenco recante i risultati delle prove scritte. 

Avvedutosi della presenza in detto file di commenti personali e annotazioni, apposti da un componente della commissione di concorso, il CNN ha poi proceduto alla rimozione dello stesso dalla piattaforma. La versione originaria del file è stata, pertanto, messa in condivisione dalle ore 13.40 alle ore 14.25 del 18 febbraio 2026. 

Una versione ridotta del documento (contenente il nome e cognome del candidato; il numero di busta; il numero di verbale; il luogo di nascita; la data di nascita; la data di correzione; il punteggio conseguito in una delle prove scritte) è stata successivamente inserita nella piattaforma per circa venticinque minuti; una terza versione del documento, ulteriormente ridotta (con indicazione del nome e cognome del candidato; numero della busta; numero del verbale), è stata, infine, reperibile sulla piattaforma fino alle 17.50 circa del 20 febbraio 2026 per poi essere anch’essa rimossa. 

La condivisione del documento all’interno della piattaforma, nelle tre versioni sopra illustrate, sarebbe stata effettuata “con l’unico obiettivo di prevenire la diffusione da parte di soggetti terzi di notizie e/o informazioni, potenzialmente non esatte, in merito agli esiti della prova scritta del concorso”.

Tuttavia, come già evidenziato, il CNN - ad eccezione di un marginale coinvolgimento nella fase di individuazione di un novero ristretto di notai che hanno i requisiti per far parte della commissione del concorso, di cui il CNN ha dato conto in sede di memoria difensiva - è del tutto estraneo alla procedura concorsuale in questione e, pertanto, l’iniziativa da esso posta in essere non può ricondursi in alcun modo ai propri compiti e competenze istituzionali.

Non può, a tal riguardo, accogliersi la tesi difensiva prospettata dal CNN nelle proprie memorie, in base alla quale l’elenco degli ammessi alla prova orale sarebbe stato condiviso con i notai in ragione del fatto che, ai sensi dell’art. 2, co. 1, lett. e) della l. 3 agosto 1949, n. 577, esso “cura la tutela degli interessi della categoria dei notai”. Tale disposizione, disciplinando in via generale i compiti e le funzioni del CNN, non può, infatti, essere invocata per giustificare la comunicazione di dati personali a terzi, non soddisfacendo i requisiti di qualità della base giuridica previsti dalla disciplina di protezione dei dati. Né, d’altra parte, potrebbe discendere alcun pregiudizio alla tutela degli interessi della categoria dei notai dalla predisposizione di una graduatoria intermedia di una procedura concorsuale non ancora conclusa, peraltro in assenza, a quel tempo, di fatti, circostanze o notizie che potessero mettere in dubbio il regolare svolgimento della stessa. 

Quanto all’art. 93-bis, co. 3 della l. 16 febbraio 1913, n. 89, anch’esso invocato in sede di memoria difensiva, ai sensi del quale “il Consiglio nazionale del notariato vigila sull'applicazione dei suddetti principi e norme da parte dei consigli notarili distrettuali e adotta tutte le iniziative opportune per la loro applicazione”, deve osservarsi che, oltre a non soddisfare i requisiti di qualità della base giuridica richiesti dalla disciplina di protezione dei dati, tale disposizione è inconferente rispetto alla vicenda oggetto d’istruttoria, riguardando il diverso ambito della vigilanza sul rispetto da parte dei notai “dei principi e delle norme di deontologia professionale elaborati dal Consiglio nazionale del notariato” (comma 1). 

Il CNN ha, altresì, sostenuto, sempre nelle proprie memorie difensive, che “la base giuridica di cui all’art. 6, par. 1, lett. e), in combinato disposto con l’art. 2-ter del Codice […], è invocabile ogni qualvolta una norma di legge, un regolamento e/o atto amministrativo generale istituiscono un potere e/o compito pubblico in favore di un soggetto, titolare del trattamento”, con la conseguenza che “l’Amministrazione Pubblica non necessita di un ulteriore fondamento per trattare i dati necessari alla sua esecuzione, oltre alla legge che le conferisce espressamente i pubblici poteri”. Ciò sul presupposto che “quale organo istituzionalmente deputato alla rappresentanza dell’intera categoria dei notai, svolgendo, tra i compiti attribuiti per legge, quello di cura degli interessi dell’intera categoria notarile [..,] il Consiglio ha trattato i dati dei candidati al concorso notarile nell’interesse di garantire per l’intera categoria la comunicazione di informazioni corrette, veritiere e certificate, evitando la divulgazione di notizie poco attendibili e false e, peraltro, rendendoli a disposizione di una platea ristretta di soggetti appartenenti alla medesima categoria che, al pari del Consiglio, nutrono il medesimo interesse qualificato”. Anche tale argomento difensivo non può essere accolto. Ciò in quanto, in assenza di specifiche disposizioni che contemplino e disciplinino un determinato trattamento di dati personali, ai fini dell’esecuzione di un compito d’interesse pubblico, non è invocabile la base giuridica di cui all’art. 6, par. 1, lett. e), del Regolamento, specialmente quando, come nel caso di specie, per le ragioni sopra esposte, il trattamento non sia né intrinsecamente e indefettibilmente necessario per l’esecuzione di un compito di interesse pubblico né ragionevolmente prevedibile per gli interessati (cfr. l’Audizione del Garante presso la Commissione Affari Costituzionali del Senato della Repubblica sulla conversione in legge del decreto-legge 8 ottobre 2021, n. 139, del 2 novembre 2021, doc. web n. 9755883, ove è stato evidenziato, con riguardo alla questione se “il semplice perseguimento di un interesse pubblico [possa essere] di per sé sufficiente a costituire base giuridica del trattamento”, che “l’ordinamento europeo, esige sempre e comunque - quale che sia l’impostazione del diritto nazionale in fatto di fonte giuridica legittimante il trattamento - che il trattamento, nella sua finalità e nelle sue modalità, sia trasparente, prevedibile, noto ai cittadini” e che “tale requisito […] non appare sempre facilmente integrabile in assenza anche di un semplice atto amministrativo generale che disponga e disciplini il trattamento”; cfr. provv. 26 febbraio 2026, n, 11, doc. web n. 10277063).

Ne deriva, da tutto quanto sopra osservato, che l’iniziativa assunta dal CNN si pone in contrasto con la richiamata disciplina di settore che definisce il regime di pubblicità dei risultati delle prove scritte del concorso, avendo il CNN portato a conoscenza di tali risultati i notai aderenti alla “Rete Unitaria del Notariato”, che sono ugualmente estranei alla procedura concorsuale. 

Il CNN ha, peraltro, reso noti ai notai i risultati delle prove scritte in anticipo rispetto all’orario in cui il Ministero della Giustizia ha messo gli stessi a disposizione dei candidati. Dalla documentazione in atti risulta, infatti, che il Ministero ha reso consultabile il proprio elenco ufficiale alle ore 14.40 del 18 febbraio 2026, mentre, come dichiarato nel corso dell’istruttoria, il CNN aveva caricato sulla propria piattaforma il diverso elenco ricevuto da un componente notaio della Commissione di concorso già alle ore 13.40, allorquando gli esiti delle prove scritte erano stati verbalizzati dal Presidente della Commissione di concorso ma non ancora resi noti ai candidati.

Per effetto della condivisione degli esiti delle prove scritte del concorso tramite elenchi difformi da quelli ufficiali del Ministero della Giustizia, utilizzando il diverso documento inviato a titolo individuale da un componente della commissione di concorso, il CNN ha, inoltre, comunicato ai notai iscritti alla piattaforma anche dati personali dei candidati che non erano nemmeno destinati alla limitata affissione nei locali in cui si sono svolte le prove scritte, nonché i predetti commenti personali e annotazioni apposti sempre a titolo individuale da detto componente della commissione. 

Deve, pertanto, concludersi che il CNN ha posto in essere una comunicazione a terzi dei dati personali dei candidati al concorso in maniera non conforme al principio di “liceità, correttezza e trasparenza” e in assenza di una base giuridica, in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

4. CONCLUSIONI

Alla luce di tali considerazioni, risultano confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal titolare del trattamento, per aver trattato i dati personali dei partecipanti alla procedura concorsuale in questione in violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

5. MISURE CORRETTIVE 

Considerato che la condotta ha esaurito i suoi effetti, atteso che il documento in questione non è più consultabile all’interno della piattaforma del CNN, non ricorrono i presupposti per l’adozione di i misure correttive di cui all’art. 58, par. 2, del Regolamento, ulteriori rispetto a quelle di cui al successivo par. 6 del presente provvedimento.

Resta fermo che, ai sensi dell’art. 2-decies del Codice, i dati personali dei candidati acquisiti dal CNN in violazione della disciplina di protezione dei dati ed ancora eventualmente conservati presso lo stesso, non potranno essere utilizzati, salvo quanto previsto dall’art. 160-bis del Codice. 

6. ORDINANZA-INGIUNZIONE

Ai sensi degli artt. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (v. artt. 18, l. 24 novembre 1981, n. 689 e 16, comma 1, del regolamento del Garante n. 1/2019).

6.1. Valutazione della condotta e individuazione della sanzione applicabile

Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta (stesso trattamento o trattamenti tra loro collegati), trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento.

6.2. Quantificazione della sanzione amministrativa pecuniaria (art. 83, par. 2, del Regolamento)

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Tenuto conto che:

- ancorché i dati personali dei candidati oggetto di trattamento fossero in parte destinati all’affissione presso la sede degli esami, gli stessi sono stati acquisiti - in anticipo rispetto al momento in cui i risultati delle prove scritte sono stati resi noti ai candidati - non già direttamente dal Ministero della Giustizia o presso i locali dello stesso, bensì da un componente della Commissione di concorso, al di fuori, dunque, di qualsiasi cornice giuridica e istituzionale (cfr. art. 83, par. 2, lett. a) e b), del Regolamento);

- sebbene i dati personali di trattamento non fossero appartenenti alle categorie particolari di cui all’art. 9 del Regolamento, hanno formato oggetto di comunicazione anche taluni commenti personali e annotazioni apposti dal predetto componente della Commissione di concorso, che, indipendentemente dall’effettivo significato degli stessi, possono comunque spiegare effetti lesivi per la sfera personale, professionale e reputazionale degli interessati cui essi si riferiscono (cfr. art. 83, par. 2, lett. g), del Regolamento), 

si ritiene che, nel caso di specie, il livello di intensità della violazione commessa dal titolare del trattamento sia alto (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

Ciò premesso, nel considerare che il titolare del trattamento è un Ente di rilevanza nazionale, si ritiene che, ai fini della quantificazione della sanzione, debbano essere prese in considerazione le seguenti circostanze: 

- non appena ha avuto contezza della non conformità del documento messo a disposizione nella piattaforma “Rete Unitaria del Notariato” rispetto a quello ufficiale del Ministero della Giustizia, il CNN si è spontaneamente attivato per rimuovere tale documento (cfr. art. 83, par. 2, lett. c), del Regolamento); 

- non risultano precedenti violazioni pertinenti commesse dal titolare del trattamento (cfr. art. 83, par. 2, lett. e), del Regolamento).

- il CNN ha offerto una buona cooperazione con l’Autorità nel corso dell’istruttoria (cfr. art. 83, par. 2, lett. f), del Regolamento). 

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 15.000 (quindicimila) per la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice.

Infine, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, si debba applicare la sanzione accessoria della pubblicazione del presente capo del provvedimento contenente l’ordinanza-ingiunzione sul sito internet del Garante, in ragione dei possibili effetti lesivi per la sfera personale, professionale e reputazionale degli interessati, derivanti dal trattamento di dati personali posto in essere.

PER QUESTI MOTIVI

ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato dal Consiglio Nazionale del Notariato, con sede legale in Via Flaminia, 160 - 00196 Roma (RM), C.F. 80052590587, per la violazione degli artt. 5, par. 1, lett. a), 6, par. 1, lett. c) ed e), e parr. 2 e 3, del Regolamento, nonché 2-ter del Codice, nei termini di cui in motivazione;

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al Consiglio Nazionale del Notariato, di pagare la somma di euro 15.000 (quindicimila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione.

SI INGIUNGE

al Consiglio Nazionale del Notariato, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 15.000 (quindicimila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento - sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione della/e violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori