Ordinanza ingiunzione o revoca n. 173 del 12/03/2026

La7 S.p.A. - diffusione di dati personali in un servizio giornalistico sul caso "Paragon"

Il Garante per la protezione dei dati personali ha esaminato il contenuto di un servizio dell'edizione serale del TGLa7 del 19 giugno 2025, pubblicato anche su YouTube, nel quale immagini di repertorio mostravano numeri di telefono, nominativi, qualifiche riferite a persone fisiche e dettagli di comunicazioni tra utenze telefoniche. Il procedimento riguarda quindi un trattamento di dati personali effettuato per finalità giornalistiche e la verifica del rispetto dei limiti di liceità, minimizzazione ed essenzialità dell'informazione.

Origine del procedimento e contestazione iniziale

Con nota del 26 giugno 2025 il Garante ha comunicato a La7 S.p.A., in qualità di titolare del trattamento, l'avvio del procedimento ai sensi dell'art. 166, comma 5, del Codice, prospettando la possibile violazione degli artt. 5, par. 1, lett. a) e c), GDPR, dell'art. 137, comma 3, del Codice e dell'art. 6 delle Regole deontologiche, con richiamo anche ai limiti dell'art. 2-quater, comma 4, del Codice.

Contenuto del servizio e dati diffusi

Nel corso del servizio giornalistico sul c.d. caso "Paragon" sono state trasmesse immagini che riportavano:

• numeri di telefono cellulare;
• nominativi di persone fisiche indicate come intestatarie e/o proprietarie delle utenze;
• qualifiche attribuite a tali persone, ad esempio "amante di", "zia", "probabile segretaria";
• dati sugli scambi intercorsi tra alcune utenze, con dettagli quali tipo di evento, data, ora, direzione, numeri di origine e destinazione, codici IMSI e IMEI.

Il Garante ha ritenuto che tali informazioni fossero visibili nonostante la velocità di ripresa e la qualità delle immagini; in alcuni casi la lettura era possibile anche senza fermo immagine. La circostanza che il servizio fosse pubblicato anche su una piattaforma digitale come YouTube è stata considerata rilevante perché consente fruizione asincrona, con possibilità di mettere in pausa o tornare indietro sul contenuto.

Difese svolte da La7 S.p.A.

Nella memoria del 23 luglio 2025 La7 S.p.A. ha sostenuto che il servizio mirava a fornire un aggiornamento su una vicenda di forte interesse mediatico e istituzionale, incentrata sull'annuncio di indagini da parte delle Procure di Roma e Napoli sull'utilizzo del software "Graphite".

La società ha dedotto che le immagini erano state usate solo a fini illustrativi, per pochi secondi, e che i dati riportati potevano essere intravisti solo con fermo immagine. Ha inoltre affermato:

• l'assenza di attinenza tra le immagini di repertorio e la vicenda trattata;
• il carattere accidentale e isolato dell'episodio;
• la mancanza di dolo o colpa, trattandosi di un mero errore tecnico di montaggio;
• l'immediata rimozione del contenuto dalle piattaforme digitali dopo la notifica del Garante;
• l'adozione successiva di controlli interni e di una circolare per richiamare le redazioni al rispetto della normativa privacy, soprattutto nella fase di montaggio.

Valutazioni del Garante sulla liceità del trattamento

L'Autorità ha ricondotto la fattispecie ai trattamenti per finalità giornalistiche, soggetti integralmente agli artt. 136-139 del Codice e alle Regole deontologiche.

Il Garante ha ribadito che l'art. 137, comma 3, del Codice e l'art. 6 delle Regole deontologiche impongono, a tutela dei diritti, delle libertà fondamentali e della dignità delle persone, il rispetto del principio di essenzialità dell'informazione riguardo a fatti di interesse pubblico. Il rispetto delle Regole deontologiche è stato richiamato anche come condizione essenziale di liceità e correttezza del trattamento ai sensi dell'art. 2-quater del Codice.

Nel caso concreto, l'Autorità ha accertato che i dati diffusi non erano né pertinenti né essenziali rispetto al servizio giornalistico e che la finalità illustrativa poteva essere raggiunta senza divulgare i dati personali presenti nelle immagini di repertorio.

Violazioni accertate

Il Garante ha ritenuto integrata la violazione di:

• art. 5, par. 1, lett. a) e c), GDPR, per violazione dei principi di liceità e minimizzazione;
• art. 137, comma 3, Codice e art. 6 Regole deontologiche, per superamento del principio di essenzialità dell'informazione.

L'Autorità ha escluso che l'estraneità dei dati rispetto al caso "Paragon" rendesse impossibile l'identificazione degli interessati: al contrario, nominativi, numeri telefonici e ulteriori elementi consentivano un'identificazione diretta o indiretta.

Quanto all'elemento soggettivo, il Garante ha ritenuto sussistente almeno la colpa, poiché l'errore tecnico di valutazione nel montaggio poteva essere evitato con ordinaria diligenza e con verifiche preventive prima della messa in onda.

Misure correttive e divieti disposti

Il Garante ha preso atto della dichiarata rimozione del servizio dalle piattaforme digitali.

In ragione delle violazioni riscontrate, ha disposto nei confronti di La7 S.p.A.:

• il divieto di ulteriore diffusione dei dati personali contenuti nelle immagini di repertorio, ai sensi dell'art. 58, par. 2, lett. f), GDPR;
• l'annotazione nel registro interno dell'Autorità, in relazione alle violazioni e alle misure adottate, ai sensi dell'art. 57, par. 1, lett. u), GDPR e dell'art. 17 del regolamento del Garante n. 1/2019.

Sanzione amministrativa pecuniaria

L'Autorità ha ritenuto applicabile l'ordinanza-ingiunzione per la violazione dell'art. 5 GDPR e delle Regole deontologiche, richiamando l'art. 83, par. 5, lett. a), GDPR e il combinato disposto degli artt. 2-quater e 166, comma 2, del Codice.

Ai fini della quantificazione, il Garante ha considerato la sanzione massima teorica prevista dall'art. 83, par. 5, GDPR e, nel caso concreto, ha valorizzato:

Fattori aggravanti

• gravità della violazione per la pluralità degli interessati coinvolti;
• natura dei dati diffusi, anche direttamente identificativi e comunque dettagliati;
• possibile pregiudizio per gli interessati, soprattutto in relazione alle qualifiche attribuite;
• precedenti violazioni, da parte del titolare, in materia di attività giornalistica.

Fattori attenuanti

• circoscritta durata della diffusione;
• rimozione tempestiva del contenuto dalle piattaforme digitali;
• adozione di misure organizzative interne e di una circolare di richiamo;
• finalità di informazione e libertà di stampa tutelate dall'art. 85 GDPR e dagli artt. 136 e ss. del Codice.

Sulla base di tali elementi, e dei principi di effettività, proporzionalità e dissuasività, è stata irrogata la sanzione amministrativa pecuniaria di euro 40.000,00.

Sanzione accessoria, pubblicazione e rimedi

È stata disposta la pubblicazione dell'ordinanza-ingiunzione sul sito internet del Garante come sanzione accessoria, in considerazione della natura dell'attività del titolare, della capacità diffusiva della piattaforma digitale utilizzata e dell'estraneità dei dati rispetto al fatto narrato.

Il provvedimento richiama inoltre la facoltà di definizione agevolata prevista dall'art. 166, comma 8, del Codice, con pagamento entro trenta giorni di un importo pari alla metà della sanzione irrogata, nonché la possibilità di opposizione davanti all'autorità giudiziaria ordinaria ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. n. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all'estero.