Ordinanza ingiunzione o revoca n. 465 del 18/06/2026

Edizioni Grandangolo di Giuseppe Castaldo – data breach, carenze di sicurezza e mancata trasparenza nel sito di una testata giornalistica online

Il Garante ha definito un procedimento avviato a seguito del reclamo di un’interessata che lamentava la permanenza online di un articolo giornalistico del 2017, associato al proprio nominativo e a un’immagine, nonché il mancato riscontro a una richiesta di rimozione. Nel corso dell’istruttoria sono emersi profili ulteriori, legati a un accesso abusivo a una casella e-mail redazionale e alla mancata disponibilità, per lungo tempo, dell’informativa privacy sul sito della testata.

Origine del reclamo e trattamento oggetto di esame

L’interessata aveva chiesto la rimozione dei propri dati personali dall’articolo contestato, sostenendo che la notizia fosse ormai priva di interesse pubblico e potenzialmente lesiva della serenità e della vita relazionale. Il titolare ha poi rappresentato di aver rimosso il contenuto dopo la richiesta dell’Autorità, ma ha anche invocato presunti attacchi informatici che avrebbero impedito di riscontrare la richiesta della reclamante.

Accertamenti sul presunto attacco informatico e data breach

In un primo momento il titolare aveva descritto un attacco che avrebbe coinvolto sito, e-mail e PEC; successivamente ha ridimensionato l’evento alla sola casella e-mail redazionale. Il Garante ha comunque ritenuto che l’accesso abusivo configurasse una violazione di dati personali, in ragione della natura delle informazioni presenti nella casella: documenti di identità, codice fiscale, credenziali di accesso ai conti correnti e altra documentazione inerente all’attività giornalistica.

Alla luce della natura dei dati coinvolti e della possibile gravità delle conseguenze, l’Autorità ha escluso che il titolare potesse avvalersi dell’eccezione dell’art. 33, par. 1, GDPR. La violazione non era qualificabile come a rischio trascurabile e doveva quindi essere notificata al Garante; inoltre andava comunque annotata nel registro delle violazioni.

Contestazione ex art. 34 GDPR e sua archiviazione

Quanto all’obbligo di comunicazione agli interessati, il Garante ha invece disposto l’archiviazione della relativa contestazione. La ricostruzione difensiva del titolare ha infatti rimodulato il perimetro dell’evento in modo tale da non consentire una valutazione certa del requisito del rischio elevato, richiesto dall’art. 34 GDPR.

Misure di sicurezza e violazione dell’art. 32 GDPR

Nonostante le difese del titolare, l’Autorità ha ritenuto che i fatti evidenziassero una vulnerabilità dei sistemi e una carenza di misure tecniche e organizzative idonee a proteggere i dati personali da accessi non autorizzati. È stata quindi confermata la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR. Il rilievo è stato rafforzato dal fatto che i successivi interventi migliorativi sono stati adottati solo dopo l’evento e dopo l’avvio dell’istruttoria.

Trasparenza, informativa privacy e diritti degli interessati

Mediante verifiche dirette e tramite l’archivio WayBack Machine, il Garante ha accertato che il sito della testata era sprovvisto, per un periodo esteso compreso almeno tra il 2020 e il 2025, di una privacy policy accessibile e di contatti dedicati all’esercizio dei diritti degli interessati. Un indirizzo e-mail comparso solo dalla fine del 2022 non è stato ritenuto sufficiente, perché destinato a richieste generali e non chiaramente alla gestione delle istanze privacy.

L’Autorità ha ritenuto che tale mancanza violasse gli artt. 12, parr. 1 e 2, e 13 GDPR, compromettendo in modo sostanziale la trasparenza del trattamento e la possibilità degli interessati di esercitare i propri diritti.

Accountability, privacy by design e valutazione complessiva

Sulla base delle violazioni riscontrate, il Garante ha ritenuto integrata anche la violazione degli artt. 5, par. 2, 24 e 25 GDPR, evidenziando una complessiva carenza di accountability del titolare e un’insufficiente dimostrazione degli adempimenti in materia di protezione dei dati personali, anche sotto il profilo della protezione dei dati fin dalla progettazione.

Sanzione amministrativa e criteri di quantificazione

Ai fini della quantificazione della sanzione, il Garante ha richiamato i criteri dell’art. 83 GDPR, valorizzando in aggravamento:

• la durata delle violazioni informative, potenzialmente superiore al quinquennio considerato;
• il numero potenzialmente elevato di interessati coinvolti nell’evento non notificato;
• la gravità della colpa e la negligenza del titolare;
• l’importante carenza nel controllo della sicurezza del trattamento.

In attenuazione sono stati considerati:

• la natura isolata del procedimento, originato da un solo reclamo;
• le finalità giornalistiche e la libertà di informazione;
• l’adozione di misure correttive dopo la contestazione;
• l’assenza di precedenti pertinenti;
• una cooperazione non pienamente adeguata;
• la conoscenza della violazione da parte dell’Autorità solo tramite reclamo;
• le condizioni economiche contenute del titolare.

All’esito, è stata irrogata a Edizioni Grandangolo di Giuseppe Castaldo la sanzione di euro 2.075,00.

Misure accessorie e mezzi di impugnazione

Il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul proprio sito, oltre all’annotazione delle violazioni e delle misure nel registro interno dell’Autorità. È stata inoltre indicata la possibilità di opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione del provvedimento, ovvero 60 giorni per il ricorrente residente all’estero.