Deliberazione n. 466 del 18/06/2026

Ratifica delle misure d’urgenza contro la diffusione non consensuale di materiale sessualmente esplicito

Il provvedimento riguarda la ratifica, da parte del Garante per la protezione dei dati personali, delle misure adottate in via d’urgenza nei confronti di Facebook Italy S.r.l., Meta Platforms Ireland Limited e TikTok Technology Limited. L’intervento è stato attivato a seguito della segnalazione di una persona interessata che aveva rappresentato il rischio di diffusione, tramite Facebook, Instagram e TikTok, di materiale sessualmente esplicito destinato a rimanere privato e privo del proprio consenso.

Base normativa e competenza del Garante

Il procedimento si fonda sull’art. 144-bis del Codice in materia di protezione dei dati personali, introdotto dal d.l. 8 ottobre 2021, n. 139, convertito dalla legge 3 dicembre 2021, n. 205. La disposizione attribuisce al Garante la competenza a ricevere le segnalazioni di chiunque, inclusi i minori ultraquattordicenni, abbia fondato motivo di ritenere che registrazioni audio, immagini, video o altri documenti informatici a contenuto sessualmente esplicito, destinati a rimanere privati, possano essere diffusi attraverso piattaforme digitali senza consenso.

Il medesimo art. 144-bis prevede che il Garante decida sulla segnalazione entro quarantotto ore dal ricevimento, ai sensi degli artt. 143 e 144 del Codice. Il provvedimento richiama inoltre l’art. 33-bis del regolamento del Garante del 4 aprile 2019, n. 1, introdotto dalla deliberazione n. 33 del 27 gennaio 2022, che consente al dirigente del Dipartimento competente di adottare in via d’urgenza misure volte a impedire l’eventuale diffusione del materiale, salva la successiva ratifica del Garante.

Segnalazione e piattaforme coinvolte

La segnalazione è stata presentata dalla persona interessata e protocollata presso l’Ufficio del Garante. La segnalante ha dichiarato di rientrare in una delle ipotesi previste dall’art. 144-bis del Codice e ha chiesto l’intervento dell’Autorità nei confronti delle piattaforme Facebook, Instagram e TikTok.

Misure urgenti adottate dal dirigente

Con le determinazioni nn. 303 e 304 del 16 giugno 2026, il dirigente del Dipartimento libertà di manifestazione del pensiero e cyberbullismo, verificata la compatibilità dei fatti segnalati con l’art. 144-bis del Codice, ha adottato le seguenti misure:

• ingiunzione a Facebook Italy S.r.l., Meta Platforms Ireland Limited e TikTok Technology Limited di adottare immediatamente misure idonee a impedire la diffusione sulle rispettive piattaforme del materiale oggetto della segnalazione;
• trasmissione del materiale alle piattaforme in formato hash, ai fini dell’individuazione e del blocco di eventuali contenuti corrispondenti;
• prescrizione di conservare per dodici mesi, a decorrere dal ricevimento del provvedimento, l’eventuale materiale della segnalazione acquisito in chiaro dalle piattaforme;
• limitazione della conservazione alla sola finalità probatoria;
• obbligo di utilizzare misure idonee a impedire la diretta identificabilità degli interessati;
• obbligo di comunicare tempestivamente al Garante le misure adottate per garantire tale protezione.

Le determinazioni dirigenziali sono state trasmesse ai gestori delle piattaforme con note del 15 giugno 2026.

Ratifica delle misure

Dopo aver acquisito le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 e aver esaminato la documentazione agli atti, il Garante ha ratificato le determinazioni nn. 303 e 304 del 16 giugno 2026.

La ratifica è stata adottata ai sensi dell’art. 33-bis, comma 2, del regolamento n. 1/2019 e conferma le misure urgenti precedentemente disposte nei confronti delle tre società coinvolte.

Effetti del provvedimento

Il provvedimento conferma l’obbligo per le piattaforme di attivarsi immediatamente per impedire la diffusione del materiale oggetto della segnalazione. La conservazione dell’eventuale contenuto acquisito in chiaro è ammessa soltanto per dodici mesi e per finalità probatorie, con obbligo di adottare misure tecniche e organizzative dirette a evitare l’identificazione immediata delle persone interessate.

Il provvedimento non dispone una sanzione amministrativa pecuniaria e non indica ulteriori importi o criteri di quantificazione ai sensi dell’art. 83 GDPR.