Ordinanza ingiunzione o revoca n. 292 del 17/04/2026

Ordinanza ingiunzione nei confronti del titolare di giornalistitalia.it per carenze informative e mancato riscontro a istanza di deindicizzazione

Il Garante per la protezione dei dati personali ha concluso un procedimento avviato a seguito del reclamo di un interessato che contestava la persistenza online di articoli giornalistici associati al proprio nominativo e la mancata risposta a una richiesta di deindicizzazione e cancellazione dei dati. Il destinatario del provvedimento è il titolare del quotidiano online "giornalistitalia.it", gestito in forma personale.

Origine del reclamo e oggetto della controversia

L'interessato ha segnalato la reperibilità in rete di articoli relativi a vicende giudiziarie connesse allo scandalo dei rifiuti della Regione Sicilia, sostenendo di essere del tutto estraneo ai fatti narrati. Secondo quanto rappresentato, i fatti riportati negli articoli si riferivano a una società nella quale il reclamante aveva assunto incarichi solo in epoca successiva ai fatti oggetto di contestazione. L'interessato ha quindi chiesto la deindicizzazione dell'URL e la cancellazione dei dati personali, lamentando altresì il mancato riscontro a un'istanza inviata il 17 aprile 2023 all'indirizzo e-mail indicato sul sito.

Attività istruttoria dell'Autorità

L'Ufficio ha avviato la verifica con richiesta di informazioni ai sensi dell'art. 157 del Codice privacy, inviata all'indirizzo presente sul sito internet. La richiesta è rimasta senza risposta, così come un successivo sollecito inviato a indirizzi e-mail rinvenuti sul sito. Le ulteriori verifiche hanno chiarito che il primo indirizzo fisico contattato non corrispondeva al gestore del quotidiano online, mentre il titolare effettivo del dominio e direttore responsabile è risultato essere una persona fisica individuata dall'Autorità, poi raggiunta con nuova richiesta di informazioni. Il riscontro è arrivato tardivamente, oltre il termine di 20 giorni assegnato, e si è limitato a comunicare la rimozione dell'articolo, senza fornire spiegazioni sul mancato riscontro all'istanza di deindicizzazione.

Contestazione delle violazioni

Con l'atto di avvio del procedimento sono state contestate le violazioni degli artt. 12, parr. 1, 2 e 3, e 13 GDPR, per l'assenza di una privacy policy nel sito e per il mancato riscontro all'istanza dell'interessato nei termini previsti, nonché degli artt. 5, par. 2, 24 e 25 GDPR, per non aver adottato misure tecniche e organizzative adeguate a garantire e dimostrare la conformità del trattamento alla disciplina di protezione dei dati.

Difese del titolare e misure correttive

Il titolare ha presentato memorie difensive e ha chiesto di essere sentito, partecipando poi all'audizione del 13 maggio 2025. Ha chiarito che il quotidiano aveva natura non commerciale e che, durante varie operazioni di restyling, non erano stati più monitorati gli adempimenti privacy; ha inoltre riferito di aver reinserito una privacy policy aggiornata solo dopo l'intervento dell'Autorità, con un indirizzo e-mail dedicato alla gestione delle richieste degli interessati. L'Autorità ha preso atto del fatto che, al momento della verifica finale, l'informativa privacy risultava nuovamente accessibile dal sito.

Valutazioni del Garante sulla violazione degli obblighi di trasparenza

Il Garante ha ritenuto che la precedente assenza di informativa non potesse essere superata dal fatto che alcune informazioni fossero reperibili aliunde nel sito. È stato richiamato il principio di facile accessibilità dell'art. 12 GDPR e l'obbligo di fornire tutte le informazioni dell'art. 13 in modo chiaro, completo e immediatamente accessibile, secondo l'orientamento consolidato dell'Autorità e le Linee guida sulla trasparenza del Gruppo di lavoro ex art. 29. Nel caso concreto, il sito conteneva solo un link a una informativa sui cookie, priva di dati di contatto e dei canali per l'esercizio dei diritti, oltre a non descrivere adeguatamente il trattamento effettuato tramite il form per i commenti. Informazioni sul direttore responsabile e sulla redazione erano presenti in un'altra sezione del sito, ma ciò non è stato ritenuto sufficiente a soddisfare gli obblighi di trasparenza.

Violazioni accertate

Il Garante ha quindi confermato la responsabilità del titolare per le violazioni degli artt. 5, par. 2, 12, parr. 1, 2 e 3, 13, 24 e 25 GDPR. Ha osservato che la mancata informativa aveva compromesso in modo sostanziale il principio di trasparenza e l'autodeterminazione dell'interessato, il quale era stato costretto a rivolgersi all'Autorità per vedere soddisfatte le proprie richieste. La sola rimozione dell'articolo non è stata ritenuta sufficiente a sanare le omissioni pregresse né a esonerare il titolare dall'obbligo di dare riscontro tempestivo alle istanze ricevute.

Misure adottate e sanzione

Pur prendendo atto della rimozione dell'articolo lamentato, il Garante ha ritenuto non necessari ulteriori interventi sul contenuto già rimosso. Ha però ingiunto al titolare, ai sensi dell'art. 58, par. 2, lett. d), GDPR, di adottare misure tecniche e organizzative adeguate a facilitare l'esercizio dei diritti degli interessati e a soddisfare senza ingiustificato ritardo le relative istanze, in particolare quelle di cui agli artt. 15 e 17 GDPR, con obbligo di comunicare entro 30 giorni le iniziative intraprese.

Ai fini sanzionatori, l'Autorità ha valorizzato come aggravanti la gravità delle violazioni, la loro durata nel tempo, il carattere negligente della condotta e l'impatto sulle attività istruttorie; come attenuanti ha considerato la singola iniziativa oggetto di reclamo, le finalità giornalistiche, la rimozione dell'articolo, l'assenza di precedenti e la capacità economica del titolare. Tenuto conto dei criteri dell'art. 83 GDPR, è stata applicata una sanzione amministrativa pecuniaria di euro 2.500,00, oltre alla pubblicazione del provvedimento sul sito del Garante e all'annotazione nel registro interno dell'Autorità.

Tutela giurisdizionale

Contro il provvedimento è ammessa opposizione all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, dell'art. 152 Codice privacy e dell'art. 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all'estero.