Ordinanza ingiunzione o revoca n. 110 del 23/03/2023

Gruppo SAE S.p.A. – diffusione eccedente di dati personali e sanitari in un articolo giornalistico

Il Garante per la protezione dei dati personali ha esaminato il reclamo presentato da un interessato nei confronti di Gruppo SAE S.p.A., editore de Il Tirreno, in relazione alla pubblicazione di un articolo online dedicato a una vicenda risarcitoria conseguente a un incidente in bicicletta. Nel contenuto erano riportati il nome e cognome dell’interessato, dettagli sulla vicenda processuale e informazioni specifiche sul suo stato di salute e sul danno biologico, nonché sull’importo del risarcimento riconosciuto.

Origine del procedimento

Il reclamo è stato proposto ai sensi dell’art. 77 GDPR e ha denunciato la violazione della normativa privacy per la diffusione di dati personali e dati particolari. L’interessato ha contestato, in particolare, la pubblicazione di informazioni tratte dalla sentenza civile e la circolazione online del contenuto giornalistico, ritenendo leso anche il proprio diritto all’oblio.

Posizione del titolare del trattamento

L’editore ha dichiarato di essere venuto a conoscenza delle richieste dell’interessato solo con la notifica del reclamo, di non avere ricevuto precedenti istanze di cancellazione o opposizione e di avere rimosso l’articolo il 7 novembre 2022. Ha sostenuto di avere agito in buona fede, confidando nella veridicità e affidabilità delle informazioni fornite dal legale intervistato, e di aver pubblicato la notizia nell’esercizio del diritto di cronaca, in ragione dell’interesse pubblico della vicenda.

Inquadramento giuridico del trattamento

L’Autorità ha qualificato il caso come trattamento effettuato nell’esercizio della libertà di espressione, con conseguente applicazione integrale degli artt. 136-139 del Codice privacy e delle Regole deontologiche di cui all’art. 139 del Codice. Ha altresì richiamato l’art. 2-quater del Codice, che attribuisce alle Regole deontologiche valore essenziale ai fini della liceità e correttezza del trattamento giornalistico.

Violazione del principio di essenzialità dell’informazione

Il Garante ha ritenuto che la pubblicazione non rispettasse il principio di essenzialità dell’informazione riguardo a fatti di interesse pubblico, previsto dall’art. 137, comma 3, del Codice e dagli artt. 6 e 10 delle Regole deontologiche. In particolare, il contenuto diffondeva:

• i dati identificativi del reclamante;
• informazioni dettagliate sulle conseguenze sulla salute;
• elementi sul danno biologico e sulle valutazioni medico-legali;
• l’entità del risarcimento riconosciuto.

Secondo l’Autorità, tali informazioni eccedevano la misura necessaria per la corretta informazione e esponevano la vicenda dell’interessato a un’attenzione ben più ampia della normale circolazione tra i conoscenti.

Illiceità del trattamento e norme richiamate

Alla luce di tali elementi, il Garante ha ritenuto il trattamento illecito perché in contrasto con:

• art. 137, comma 3, Codice;
• art. 139 Codice;
• artt. 6 e 10 delle Regole deontologiche;
• principi di liceità e correttezza di cui all’art. 5, par. 1, lett. a), GDPR, e, per effetto del carattere eccedente dei dati diffusi, anche con il principio di minimizzazione/adeguatezza richiamato nella motivazione.

Provvedimenti adottati

Il Garante ha dichiarato il reclamo fondato e, ai sensi dell’art. 58, par. 2, GDPR, ha disposto nei confronti di Gruppo SAE S.p.A. il divieto di ulteriore trattamento del nome e cognome del reclamante nei termini descritti, salva la mera conservazione per eventuale utilizzo in sede giudiziaria.

Sanzione amministrativa pecuniaria

L’Autorità ha inoltre adottato ordinanza-ingiunzione per l’applicazione di una sanzione amministrativa pecuniaria pari a 10.000 euro, ai sensi degli artt. 166, comma 7, del Codice, 18 della legge n. 689/1981 e 83, parr. 3 e 5, GDPR.

Nella quantificazione della sanzione, il Garante ha considerato, ai sensi dell’art. 83, par. 2, GDPR:

• la gravità della violazione, anche in ragione della natura particolare dei dati trattati, idonei a rivelare lo stato di salute;
• le condizioni organizzative, economiche e professionali del contravventore;
• la dichiarata buona fede e l’asserito esercizio del diritto di cronaca;
• la circostanza che il titolare si sia attivato per impedire ulteriori diffusioni;
• il fatto che la vicenda riguardasse un solo interessato.

Rimedi e opposizione

Il provvedimento dà atto della possibilità, per il contravventore, di definire la controversia mediante il pagamento della metà della sanzione entro trenta giorni, ai sensi dell’art. 166, comma 8, del Codice. È inoltre prevista l’opposizione all’autorità giudiziaria ordinaria nei termini e secondo le modalità indicate nel provvedimento.