Ordinanza ingiunzione o revoca n. 458 del 04/08/2025

Linea Stampalibera: diffusione illecita di dati personali e sanitari in articoli giornalistici online

Il Garante ha esaminato tre reclami relativi a contenuti pubblicati sul sito di informazione riconducibile a Linea Stampalibera Società Cooperativa r.l. Il procedimento ha riguardato la diffusione di dati personali eccedenti rispetto alla finalità giornalistica, con particolare rilievo per la pubblicazione di dati sanitari, immagini dell’abitazione, fotografie, targhe e ulteriori elementi identificativi.

Origine del procedimento e svolgimento dell’istruttoria

L’istruttoria è partita da reclami presentati tra il 2023 e il 2025, nei quali gli interessati lamentavano la pubblicazione online dei propri dati personali all’interno di articoli del sito "Linea Libera". L’Ufficio ha deciso di trattare congiuntamente i reclami, in ragione dell’analogo oggetto e del medesimo titolare, per valutare unitariamente le condotte contestate e contenere l’attività istruttoria.

Nel corso del procedimento il titolare ha mantenuto una linea difensiva costante, opponendo il diniego alla cancellazione dei contenuti e sostenendo la legittimità della pubblicazione in ragione dell’interesse pubblico della vicenda narrata. È stato anche rappresentato che il sito originario era stato chiuso su disposizione dell’autorità giudiziaria e che i contenuti sarebbero stati trasferiti su un nuovo sito riconducibile al medesimo soggetto.

Dati diffusi e contenuti contestati

Nei reclami del 2023 gli interessati hanno contestato la diffusione di:

• nome e cognome;
• indirizzo di abitazione;
• attività lavorativa svolta;
• codice fiscale;
• fotografie degli interessati;
• fotografia dell’automobile di proprietà con targa;
• espressioni offensive rivolte agli interessati.

Nel reclamo del 2025 è stata invece contestata la diffusione del nominativo dell’interessata e di dati relativi al suo stato di salute, contenuti in un certificato medico di cui il titolare aveva pubblicato un estratto.

Un ulteriore reclamo ha riguardato la pubblicazione di un articolo contenente fotografie dell’autovettura con targa e ulteriori informazioni sullo stato di salute dell’interessato, che rivestiva anche una carica pubblica.

Violazioni accertate: principio di essenzialità e regole del giornalismo

L’Autorità ha ritenuto che i contenuti pubblicati eccedessero rispetto alla finalità informativa perseguita e violassero il principio di essenzialità dell’informazione nel trattamento giornalistico.

Sono stati richiamati:

• l’art. 5, par. 1, lett. a) e c), GDPR;
• gli artt. 137, commi 1 e 3, 139 e 2-quater del Codice privacy;
• gli artt. 5, 6, comma 1, e 10 delle Regole deontologiche per il trattamento di dati personali nell’esercizio dell’attività giornalistica.

Il Garante ha sottolineato che la diffusione di immagini dell’abitazione, con indicazione della relativa ubicazione, e di altri elementi identificativi può incidere negativamente sulla sicurezza e sulla tranquillità personale degli interessati, soprattutto in contesti territoriali circoscritti ma con pubblicazione online accessibile a un numero indeterminato di utenti.

Per quanto riguarda i dati sanitari, è stato ribadito che il giornalista deve rispettare l’essenzialità dell’informazione e astenersi dalla pubblicazione di dati analitici di interesse strettamente clinico. La diffusione di tali informazioni è stata giudicata lesiva della dignità, della riservatezza e del decoro personale, e non giustificata da un reale interesse pubblico alla conoscenza della notizia.

Condotta del titolare e valutazione dell’Autorità

Il Garante ha attribuito rilievo alla condotta complessiva del titolare, ritenuta incompatibile con gli obblighi di cooperazione con l’Autorità di controllo.

In particolare, è stato osservato che:

• le risposte fornite nel corso dell’istruttoria erano spesso inconferenti o evasive;
• il titolare non aveva dato conto in modo puntuale dei trattamenti oggetto di doglianza;
• non era stata comunicata tempestivamente la chiusura del sito originario;
• i contenuti contestati risultavano riapparsi su un nuovo sito riconducibile al medesimo titolare;
• il titolare aveva manifestato l’intenzione di proseguire con trattamenti analoghi anche dopo l’audizione innanzi all’Autorità.

Il Garante ha inoltre valorizzato la reiterazione delle violazioni dopo un precedente provvedimento sanzionatorio del 24 novembre 2022, relativo a una vicenda analoga, e il fatto che il titolare non aveva definito quella precedente sanzione in misura ridotta.

Provvedimenti adottati: divieto, cancellazione e sanzione

Accertata l’illiceità del trattamento, il Garante ha adottato le seguenti misure:

• divieto di ogni ulteriore trattamento dei dati personali contenuti negli articoli indicati nei reclami, ai sensi dell’art. 58, par. 2, lett. f), GDPR;
• ingiunzione di cancellare i contenuti editoriali realizzati in violazione della normativa, ai sensi dell’art. 58, par. 2, lett. d), GDPR;
• ordine di pagare una sanzione amministrativa pecuniaria di 2.000 euro, ai sensi dell’art. 58, par. 2, lett. i), GDPR.

È stata anche prevista la possibilità di definizione agevolata della controversia mediante pagamento della metà della sanzione entro 30 giorni, ai sensi dell’art. 166, comma 8, del Codice privacy.

Criteri di quantificazione della sanzione

Nel determinare l’importo, l’Autorità ha applicato i criteri dell’art. 83 GDPR, evidenziando come aggravanti:

• l’ampia portata del trattamento, protratto per un lungo periodo;
• la gravità delle violazioni, per la diffusione di dati eccedenti e sanitari;
• il carattere doloso della condotta, con volontà di reiterazione;
• l’esistenza di un precedente provvedimento sanzionatorio sui medesimi profili;
• l’insufficiente cooperazione con il Garante.

Come unico elemento attenuante è stata considerata la capacità economica del titolare, con riferimento al volume d’affari e alle risultanze economiche dell’esercizio precedente. La sanzione è stata fissata in 2.000 euro, pari allo 0,01% del massimo edittale di 20 milioni di euro.

Pubblicazione del provvedimento e adempimenti successivi

L’Autorità ha disposto la pubblicazione del provvedimento sul proprio sito internet, oltre all’annotazione nel registro interno delle violazioni. Ha inoltre ingiunto al titolare di comunicare entro 30 giorni le iniziative intraprese per dare esecuzione alle misure disposte.

È stato infine ricordato che l’inosservanza delle misure del Garante può comportare l’applicazione della sanzione penale prevista dall’art. 170 del Codice e delle ulteriori sanzioni amministrative previste dal GDPR.