Concordato preventivo e privacy: quando basta l’ammonimento

L’invio cumulativo di un messaggio con gli indirizzi visibili in chiaro realizza una comunicazione di dati personali a soggetti terzi in assenza di una idonea base giuridica. Il recupero dei crediti non legittima la diffusione a terzi dello status di moroso. La condotta contrasta con i principi di liceità, correttezza e transparanza previsti dal GDPR. Il titolare deve garantire la sicurezza dei dati e la riservatezza tramite adeguate misure tecniche. La prassi del Garante impone di procedere con invii in forma individualizzata per ciascun destinatario [5]. In alternativa, in caso di e-mail collettive, il titolare deve ricorrere alla funzione di copia conoscenza nascosta [6]. Nel caso esaminato, la visibilità degli indirizzi in chiaro ha rivelato a terzi una posizione debitoria privata. Questo genere di informazioni appartiene alla sfera personale del destinatario. Il trattamento ha leso la dignità e la riservatezza delle persone fisiche coinvolte.

L’incidenza del concordato preventivo e il principio di proporzionalità della sanzione

Il nucleo innovativo del provvedimento risiede nella scelta delle misure correttive applicate all’impresa in crisi. La violazione delle regole sulla sicurezza del trattamento consente al Garante di infliggere sanzioni pecuniarie elevate. Tuttavia, l’esercizio del potere sanzionatorio non è rigido. L’Autorità deve valutare tutte le circostanze del caso concreto. Il Regolamento ammette la qualificazione della condotta come violazione minore. In tali circostanze, l’ammonimento può sostituire la sanzione pecuniaria. La decisione richiede un esame approfondito dello stato economico dell’impresa trasgressrice.

La O. S.r.l. si trova in stato di concordato preventivo sotto la vigilanza del Tribunale di Roma. L’eventuale irrogazione di una sanzione amministrativa pecuniaria si porrebbe come di difficile soddisfacimento in pendenza della procedura concorsuale. Il Garante ha rilevato che l’applicazione di una sanzione monetaria in questa fase non conseguirebbe il risultato di rafforzare il rispetto del Regolamento, rendendo opportuno l’utilizzo di strumenti alternativi.

Il Garante ha applicato i principi stabiliti dalla Corte di Giustizia dell’Unione Europea in materia di sanzioni [7]. La Corte ha chiarito che l’imposizione di una sanzione correttiva deve essere appropriata, necessaria e proporzionata al fine di porre rimedio all’inadeguatezza constatata. L’autorità di controllo gode di un margine di discrezionalità nel valutare se infliggere una sanzione pecuniaria, e l’interessato non vanta un diritto soggettivo al riguardo. Nel caso in esame, il Garante ha ritenuto che l’eventuale sanzione pecuniaria sarebbe di difficile soddisfacimento e non conseguirebbe la finalità di rafforzare il rispetto delle regole. L’ammonimento si configura come la reazione idonea per sanzionare l’illecito senza ricorrere a misure pecuniarie sproporzionate.

Riflessi civilistici: la responsabilità risarcitoria residua

L’esclusione della sanzione pecuniaria operata dal Garante non elimina le conseguenze civilistiche che possono derivare dall’illecito trattamento. Il diritto al risarcimento dei danni subiti, patrimoniali o non patrimoniali, resta impregiudicato per i soggetti interessati, trovando fondamento nell’art. 82 del GDPR [8]. Il danno risarcibile comprende sia il pregiudizio patrimoniale sia il danno non patrimoniale. La giurisprudenza civile assimila il trattamento dei dati personali all’esercizio di attività pericolose ai sensi dell’articolo 2050 del codice civile. La responsabilità del titolare ha natura aggravata. L’impresa deve dimostrare di aver adottato tutte le misure idonee a evitare il danno per andare esente da responsabilità.

La diffusione a terzi dello status di debitore moroso integra una lesione della reputazione e della riservatezza. I trentasette destinatari dell’e-mail visibile possono agire in sede civile per ottenere il risarcimento dei danni non patrimoniali subiti. L’azione può essere promossa davanti al tribunale ordinario. I crediti risarcitori derivanti da un illecito commesso prima dell’apertura della procedura concorsuale hanno natura concorsuale. I soggetti danneggiati possono far accertare il proprio credito risarcitorio nelle forme ordinarie, per ottenerne il riconoscimento nel piano di concordato ed essere soddisfatti. Tali crediti si collocano in rango chirografario, salvo che ricorrano specifiche ipotesi di privilegio.

La nascita di nuovi crediti risarcitori da illecito privacy rappresenta un rischio per la stabilità del concordato. Gli organi della procedura devono stimare le passività potenziali derivanti dai contenziosi pendenti o probabili. La presenza di decine di potenziali creditori risarcitori rende più incerto il calcolo del riparto concorsuale. I commissari giudiziali devono valutare l’opportunità di accantonare somme per fare fronte a queste pretese. La prevenzione del rischio privacy assume rilevanza economica diretta per i gestori della crisi d’impresa. La conformità alle regole sul trattamento dei dati deve essere mantenuta anche durante la gestione straordinaria dell’impresa in crisi.

Conclusioni

Il provvedimento del Garante Privacy numero 6 del 2026 definisce un punto di equilibrio coerente tra la protezione dei dati e la tutela dei creditori. L’Autorità riconosce che la sanzione amministrativa pecuniaria non deve trasformarsi in uno strumento di punizione dei creditori innocenti. L’uso dell’ammonimento valorizza la funzione correttiva e pedagogica del controllo pubblico. La decisione conferma che lo stato di crisi concorsuale rappresenta un fattore di mitigazione della sanzione.

I professionisti che gestiscono le procedure concorsuali devono trarre indicazioni operative chiare da questo caso. Le difficoltà finanziarie non giustificano l’allentamento delle misure di sicurezza informatica. Le comunicazioni verso l’esterno, specialmente quelle relative al recupero crediti, devono rispettare i protocolli di riservatezza. L’utilizzo di strumenti di invio massivo deve essere monitorato per evitare errori materiali di digitazione. La tutela dei dati personali rimane un obbligo inderogabile per l’impresa, anche quando essa opera nell’interesse del ceto creditorio.

Note e Riferimenti

[1] Garante per la Protezione dei Dati Personali, Provvedimento del 16 gennaio 2026, n. 6, registro dei provvedimenti, doc. web n. 10213865.

[2] Art. 4, n. 1, Regolamento (UE) 2016/679 (GDPR).

[3] Gruppo di lavoro ex art. 29, Parere 4/2007 sul concetto di dato personale (WP 136), 20 giugno 2007.

[4] Cass. civ., sez. II, ordinanza 5 luglio 2018, n. 17665.

[5] Garante per la Protezione dei Dati Personali, Provvedimento del 30 novembre 2005, doc. web n. 1213644.

[6] Garante per la Protezione dei Dati Personali, Provvedimento del 9 gennaio 2020, doc. web n. 9261234.

[7] Corte di Giustizia UE, Sezione Prima, sentenza 26 settembre 2024, causa C-768/21, TR contro Land Hessen.

[8] Art. 82, Regolamento (UE) 2016/679 (GDPR) e art. 2050 c.c.