AgID – Agenzia per l'Italia digitale
Ordinanza ingiunzione
Sintesi del provvedimento
Il Garante accerta violazioni dell'art. 5 parr. 1 lett. a) e b), e 2, e degli artt. 12, 14 e 25 del GDPR per omesso assolvimento degli obblighi informativi nei confronti dei professionisti relativamente al trasferimento dei domicili digitali dall'INI-PEC all'INAD. Le informazioni adeguate sono state introdotte solo nell'estate del 2025, a due anni dall'avvio dei trattamenti. Iroga sanzione di euro 55.000.
Approfondimento
Soggetti coinvolti
Tutti i professionisti i cui domicili digitali erano pubblicati sull'INI-PEC e trasferiti all'INAD
Riferimenti normativi
Lettura del caso
Temi affrontati — Obblighi informativi nei confronti degli interessati; diritto di accesso ai dati personali; trasparenza del trattamento; principi di liceità, correttezza e trasparenza; privacy by design e by default; publicazione di domicili digitali professionali in banca dati pubblica; mancata informazione preventiva sugli usi ulteriori dei dati
Conseguenze — Il Garante dichiara l'illiceità dei trattamenti di dati personali effettuati da AgID per violazione dell'art. 5 parr. 1 lett. a) e b) e 2, e degli artt. 12, 14 e 25 del GDPR. Iroga sanzione amministrativa pecuniaria di euro 55.000. Ingiunge il pagamento entro 30 giorni dalla notificazione del provvedimento, con facoltà di definizione in via transattiva mediante pagamento della metà della sanzione (euro 27.500) entro 30 giorni. Ordina la pubblicazione dell'ordinanza ingiunzione sul sito internet del Garante e l'annotazione delle violazioni nel registro interno dell'Autorità.
Natura, gravità e durata delle violazioni: le violazioni hanno riguardato i domicili digitali professionali di tutti i professionisti censiti nell'INI-PEC, pubblicati sull'INAD senza piena consapevolezza dei titolari; misure informative adeguate introdotte solo nell'agosto 2025, a due anni dall'avvio dei trattamenti; obbligo informativo stabilito nelle linee guida AdID; reclami e segnalazioni ricevuti con lamentele di conseguenze negative inclusa ricezione di notifiche impattanti i diritti degli interessati su caselle PEC non gestite. Carattere colposo delle violazioni: AgID ritenuto sufficiente assolvere obblighi informativi mediante diversi canali. Livello di gravità: medio secondo Guidelines 04/2022. Fattori favorevoli: AgID non ha commesso precedenti violazioni pertinenti; all'epoca aveva posto in essere campagne comunicative, ancorché non individualizzate; tardivamente ha adottato misure mitigative coordinandosi con il Ministero e gli Ordini professionali; difficoltà finanziarie e organizzative rappresentate nel procedimento.
Mancanza di informazioni adeguate e preventive agli interessati per il trasferimento automatico dei domicili digitali professionali dall'INI-PEC all'INAD; ritardo di circa due anni nell'adozione di misure informative idonee; ricezione di notifiche di rilevante impatto sui diritti su caselle PEC non gestite da professionisti privi di consapevolezza dell'utilizzo per fini pubblici; affidamento eccessivo su campagne comunicative generalizzate piuttosto che informazione individualizzata agli interessati; errore materiale nella indicazione del service provider al.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.