Provvedimenti n. 119 del 27/02/2025

Dagospia S.p.A. - trattamento illecito di dati di una vittima di violenza sessuale in articoli giornalistici online

Il Garante ha esaminato il reclamo proposto nell’interesse di una persona offesa in un procedimento per violenza sessuale contro Dagospia S.p.A., per la pubblicazione online di numerosi articoli relativi alla vicenda giudiziaria. L’Autorità ha ritenuto che i contenuti diffusi consentissero l’identificazione, anche indiretta, dell’interessata e divulgassero informazioni eccedenti rispetto all’essenzialità dell’informazione, con particolare riferimento alla sfera sessuale e allo stato di salute.

Origine del procedimento e posizioni delle parti

Il reclamo lamentava la diffusione di generalità, iniziali, indicazioni su persone vicine alla reclamante, immagini e frammenti di videoregistrazioni, con conseguente violazione della riservatezza e della tutela rafforzata dovuta alle vittime di reati sessuali. La reclamante sosteneva che tali elementi permettessero di individuare chiaramente la sua persona e di diffondere dati altamente sensibili relativi alla sfera sessuale.

Dagospia S.p.A. ha replicato che i dati pubblicati non rendevano identificabile la persona offesa, anche perché erano stati impiegati nomi di fantasia e iniziali, e ha affermato di aver rimosso immagini e articoli oggetto di contestazione, chiedendone la deindicizzazione. La società ha inoltre sostenuto che l’esposizione mediatica della vicenda fosse stata determinata anche da dichiarazioni rese da soggetti vicini ai protagonisti e che la testata avesse adottato scelte di anonimizzazione per bilanciare cronaca e riservatezza.

Istruttoria e riferimenti normativi

Con la comunicazione di avvio del procedimento, il Garante ha contestato la possibile violazione degli artt. 5, par. 1, lett. a) e c), e 9 del GDPR, dell’art. 137 del Codice e degli artt. 6, 8, 10 e 11 delle Regole deontologiche. Il procedimento è stato inquadrato nell’ambito dei trattamenti per finalità giornalistiche disciplinati dall’art. 85 GDPR e dagli artt. 136 e ss. del Codice.

L’Autorità ha richiamato inoltre:

• il concetto di dato personale e di identificabilità, anche indiretta;
• il principio secondo cui la sostituzione del nome con le sole iniziali non basta a garantire l’anonimato quando permangono ulteriori elementi di contesto;
• i precedenti del Garante e la giurisprudenza europea sull’identificazione indiretta e sull’uso di informazioni aggiuntive provenienti anche da fonti diverse dal titolare.

Identificabilità dell’interessata

Nel merito, il Garante ha ritenuto che gli articoli pubblicati da Dagospia S.p.A. fossero idonei a rendere identificabile la reclamante non solo per una ristretta cerchia di persone, ma anche per soggetti che frequentano o hanno frequentato gli stessi contesti sociali e territoriali.

In particolare, sono stati considerati rilevanti:

• l’uso di iniziali coincidenti con il reale nome e cognome della reclamante;
• il ricorso a un nome di fantasia che poteva apparire come traduzione italiana del nome straniero reale, anche in presenza dell’indicazione dell’origine;
• le informazioni sulla composizione familiare, sull’età, sull’occupazione e sulla città di appartenenza, utili a circoscrivere area di residenza e frequentazione;
• il richiamo a persone vicine all’interessata, con nomi o iniziali corrispondenti a quelli reali;
• le immagini corredanti gli articoli, in cui il volto risultava oscurato ma permangono caratteristiche fisiche e di contesto idonee all’identificazione.

Il Garante ha inoltre osservato che alcuni articoli rinviavano a servizi di altri media che avevano già diffuso nome, cognome, luogo e data di nascita della reclamante, ma ha precisato che tale circostanza era oggetto di separato provvedimento.

Contenuti diffusi e superamento dell’essenzialità dell’informazione

L’Autorità ha rilevato che i testi giornalistici diffondevano informazioni molto dettagliate sulla vita privata della reclamante, tra cui:

• le violenze denunciate;
• episodi pregressi di violenza e dettagli sulla sfera sessuale;
• messaggi privati e dichiarazioni di amiche sul suo rapporto con la sfera intima;
• elementi sullo stato di salute psico-fisica, compresi riferimenti a disturbi post-traumatici da stress, alla situazione psicologica, all’alimentazione e a colloqui con strutture sanitarie;
• dati clinici e immagini di lividi e di documentazione medica;
• dettagli su relazioni amicali, sentimentali e su momenti di vita quotidiana desunti da fotografie e contenuti del telefono.

Secondo il Garante, l’interesse pubblico alla vicenda, pur notevole e amplificato dalla rilevanza mediatica del caso, non giustificava la diffusione di particolari così invasivi e non essenziali, che hanno finito per alimentare una sorta di "tribunale mediatico" parallelo. Ne è derivata la violazione dei principi di liceità e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR, nonché del principio di essenzialità dell’informazione previsto dall’art. 137 del Codice e dagli artt. 6, 8, 10 e 11 delle Regole deontologiche.

Provvedimenti adottati dal Garante

Il Garante ha quindi:

• preso atto della dichiarazione di Dagospia S.p.A. relativa alla rimozione degli articoli oggetto di reclamo;
• dichiarato l’illiceità del trattamento;
• disposto, ai sensi dell’art. 58, par. 2, lett. f), GDPR, il divieto di ulteriore trattamento dei dati idonei a consentire l’identificabilità dell’interessata associati a dettagli afferenti alla sfera sessuale e allo stato di salute, anche online e nell’archivio storico, salvo la conservazione per eventuali utilizzi in sede giudiziaria;
• rivolto un avvertimento ai sensi dell’art. 58, par. 2, lett. a), GDPR, segnalando che trattamenti analoghi nell’ambito di ulteriori servizi sul procedimento potrebbero violare la disciplina privacy.

Sanzione amministrativa e criteri di quantificazione

Ritenuto applicabile l’art. 83, par. 5, GDPR, il Garante ha adottato ordinanza ingiunzione nei confronti di Dagospia S.p.A. per la violazione delle norme accertate. Ha considerato, ai fini della quantificazione, sia elementi aggravanti sia attenuanti.

Tra le circostanze aggravanti sono stati valorizzati:

• la particolare natura dei dati trattati, riferiti a una vittima di violenza sessuale;
• la diffusione di dettagli su violenze pregresse, abitudini sessuali e stato di salute psico-fisico;
• il livello di danno subito, anche in relazione all’attenzione mediatica;
• precedenti violazioni in ambito giornalistico commesse dal titolare.

Tra le circostanze attenuanti sono stati considerati:

• le finalità di informazione e cronaca riconducibili all’art. 85 GDPR e agli artt. 136 e ss. del Codice;
• la rimozione delle immagini, delle didascalie e poi degli articoli;
• la collaborazione prestata nel procedimento.

All’esito, la sanzione amministrativa pecuniaria è stata determinata in euro 4.000,00. Il provvedimento ricorda la facoltà di definizione agevolata prevista dall’art. 166, comma 8, del Codice, mediante pagamento entro trenta giorni di un importo pari alla metà della sanzione irrogata.

Sanzione accessoria e impugnazione

È stata inoltre disposta la pubblicazione dell’ordinanza ingiunzione sul sito web del Garante, quale sanzione accessoria, in ragione dell’invasività del trattamento, della natura intimissima dei dati e del settore di attività del titolare, fisiologicamente destinato alla diffusione di informazioni.

Contro il provvedimento è ammessa opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.