Prescrizioni del Garante n. 591 del 09/10/2025

Ammonimento a Camping Don Diego per la diffusione online dell’indirizzo di residenza di una cliente

Il provvedimento riguarda la struttura ricettiva Camping Don Diego di XX, destinataria di un ammonimento per aver pubblicato in rete l’indirizzo di residenza di una cliente nella risposta a una recensione su Google Travel. Il procedimento è stato avviato a seguito di reclamo dell’interessata e si è concluso senza sanzione pecuniaria, con esclusivo richiamo correttivo.

Origine del reclamo e attività istruttoria

La reclamante ha segnalato al Garante che, dopo aver pubblicato una recensione nel mese di luglio 2024, aveva ricevuto risposta dalla struttura tramite la piattaforma "google travel". In tale risposta, la società aveva inserito anche l’indirizzo di residenza dell’interessata, rendendolo visibile online.

Nel corso dell’istruttoria, l’Ufficio ha avviato il procedimento per l’adozione di provvedimenti correttivi e sanzionatori ai sensi dell’art. 166, comma 5, del Codice. La società ha depositato memorie difensive, ha chiesto la proroga per estendere il contraddittorio a un terzo soggetto e ha chiesto di essere audita; l’audizione si è poi svolta il 25 febbraio 2025. Successivamente, con comunicazione del 28 febbraio 2025, la società ha dichiarato di aver cancellato i dati di residenza pubblicati.

Eccezioni preliminari sollevate dalla società

La società ha eccepito l’inammissibilità e l’improcedibilità del reclamo, sostenendo, da un lato, che mancasse l’invito preliminare a rivolgersi al titolare previsto dall’art. 15, par. 3, GDPR; dall’altro, che il contraddittorio dovesse essere integrato con una dipendente menzionata nella recensione.

Il Garante ha respinto entrambe le eccezioni. Ha osservato, in primo luogo, che l’art. 15, par. 3, si applica ai reclami aventi ad oggetto in via esclusiva le violazioni degli artt. 15-22 GDPR, mentre nel caso concreto la lamentela riguardava la pubblicazione e divulgazione dell’indirizzo di residenza in violazione generale del Regolamento e del Codice. Quanto al terzo soggetto, l’Autorità ha rilevato che eventuali doglianze di quel soggetto avrebbero dovuto essere fatte valere autonomamente e che il procedimento era focalizzato solo sulla liceità del trattamento dei dati della reclamante.

Valutazione della liceità del trattamento

La società aveva sostenuto che l’utilizzo dell’indirizzo fosse necessario per rispondere alla recensione negativa. Il Garante ha invece accertato che il dato era stato raccolto per finalità connesse alla prenotazione e alla gestione del soggiorno, cioè in un contesto di misure precontrattuali o contrattuali. La successiva pubblicazione del dato nella risposta alla recensione, tramite Google Travel, costituiva una diffusione in rete non riconducibile alla base giuridica originaria.

L’Autorità ha sottolineato che l’indirizzo privato della reclamante era del tutto estraneo al contenuto dello scambio, anche se polemico, e non risultava necessario per fornire un riscontro alla recensione. In questa prospettiva, la struttura avrebbe potuto replicare senza divulgare il dato personale.

Violazioni accertate e norme richiamate

Il Garante ha ritenuto accertata la violazione di:

• art. 5, comma 1, lett. a), b) e c), GDPR, per mancato rispetto dei principi di liceità, limitazione delle finalità e minimizzazione;
• art. 6 GDPR, per assenza di idonea base giuridica della diffusione online del dato.

L’Autorità ha richiamato anche il considerando 39, secondo cui i dati personali dovrebbero essere trattati solo se la finalità non è ragionevolmente conseguibile con altri mezzi.

Esito finale e provvedimenti adottati

Pur avendo accertato l’illiceità del trattamento, il Garante ha tenuto conto di due elementi: la cancellazione del dato già effettuata dalla società e la modesta rilevanza della violazione, senza effetti pregiudizievoli evidenziati per i diritti e le libertà dell’interessata.

Per tali ragioni, l’Autorità ha ritenuto non necessario adottare ulteriori misure prescrittive o sanzionatorie e ha rivolto alla società un ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Ulteriori disposizioni

Il provvedimento dispone la pubblicazione sul sito web del Garante ai sensi dell’art. 154-bis del Codice e dell’art. 37 del regolamento n. 1/2019, nonché l’annotazione nel registro interno delle violazioni e delle misure adottate. È inoltre indicata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi degli artt. 152 del Codice e 10 del d.lgs. 150/2011 entro trenta giorni dalla comunicazione del provvedimento.