Ordinanza ingiunzione o revoca n. 207 del 26/03/2026

Eni S.p.A. - diffusione online di atto di citazione contenente dati personali di 12 attori privati

Il provvedimento riguarda la pubblicazione, da parte di Eni S.p.A., sul proprio sito web, di un atto di citazione in forma integrale contenente dati personali di 12 interessati coinvolti in una causa civile legata a temi di climate litigation. Il procedimento origina da una segnalazione di Greenpeace Onlus e si conclude con l’accertamento dell’illiceità del trattamento e con l’irrogazione di una sanzione amministrativa pecuniaria.

Origine della segnalazione e svolgimento dell’istruttoria

Greenpeace Onlus, con segnalazione del 19 marzo 2024, ha lamentato che Eni avesse pubblicato una pagina del proprio sito dedicata alla causa promossa il 9 maggio 2023 dinanzi al Tribunale civile di Roma, includendo l’atto di citazione completo senza oscurare i dati identificativi degli attori. In particolare, venivano indicati nominativi, luogo e data di nascita, codice fiscale e indirizzo di residenza.

L’Autorità ha avviato un’istruttoria il 30 luglio 2024 e ha richiesto informazioni alla Società. Nel riscontro del 23 settembre 2024, Eni ha sostenuto che la pubblicazione era finalizzata a difendere la propria posizione rispetto a una campagna mediatica collegata alla causa e a consentire una corretta rappresentazione dei fatti. La Società ha inoltre affermato che i dati erano in gran parte già stati resi pubblici dagli stessi interessati o reperibili online, e che la pubblicazione sarebbe stata comunque rimossa non appena ricevuta conoscenza della segnalazione.

Posizioni difensive della Società

Nel corso del procedimento, Eni ha ribadito che il trattamento era sorretto dal legittimo interesse ex art. 6, par. 1, lett. f), GDPR, individuato nella tutela della propria immagine, reputazione e posizione processuale, nonché nell’esigenza di offrire al pubblico informazioni complete sul contenzioso. Ha anche sostenuto che la diffusione fosse minima, perché la pagina era interna al sito e non oggetto di campagna promozionale, e che la violazione fosse incidentale e colposa, non essendo stata intenzione della Società trattare specificamente i dati dei 12 attori.

La Società ha infine evidenziato di aver rimosso i dati dal sito subito dopo avere appreso dei rilievi e di avere avviato attività interne di sensibilizzazione per evitare il ripetersi di situazioni analoghe.

Violazioni contestate e valutazione del Garante

Con nota del 21 gennaio 2025, il Garante ha contestato alla Società la violazione dell’art. 5, par. 1, lett. a), e dell’art. 6, par. 1, GDPR. L’Autorità ha ritenuto che la pubblicazione integrale dell’atto di citazione sul sito web integrasse una diffusione di dati personali priva di idonea base giuridica.

Il Garante ha ricordato che il fatto che alcuni dati fossero già stati resi pubblici dagli interessati non comporta automaticamente la possibilità di trattarli ai sensi dell’art. 6, par. 1, lett. f), GDPR. Tale circostanza può semmai rilevare nel bilanciamento, ma non esonera il titolare dall’onere di verificare la sussistenza di necessità e proporzionalità.

In particolare, il Garante ha osservato che i dati pubblicati comprendevano non solo i nominativi, ma anche informazioni ulteriori e più delicate, come luogo e data di nascita, codice fiscale e indirizzo di residenza. Tali dati, per natura e funzione identificativa, possono esporre gli interessati a rischi per la sfera privata, la sicurezza e l’eventuale uso illecito da parte di terzi.

Inapplicabilità del legittimo interesse

L’Autorità ha escluso che nel caso concreto potesse operare il legittimo interesse ex art. 6, par. 1, lett. f), GDPR. Ha ritenuto che Eni non avesse dimostrato la necessità della pubblicazione integrale dei dati, poiché le finalità di difesa della Società e di trasparenza informativa potevano essere perseguite con misure meno invasive, in particolare con l’oscuramento dei dati personali degli attori.

Il Garante ha richiamato il principio secondo cui, se esistono alternative ragionevoli, altrettanto efficaci ma meno intrusive, il trattamento non può considerarsi necessario. Ha inoltre valorizzato le indicazioni dell’EDPB sulle Linee guida n. 1/2024 e la giurisprudenza della Corte di giustizia, secondo cui il legittimo interesse richiede un trattamento limitato allo stretto necessario e un effettivo bilanciamento con gli interessi e i diritti fondamentali degli interessati.

Secondo l’Autorità, Eni non ha adeguatamente considerato le ragionevoli aspettative degli interessati né l’impatto della pubblicazione online, accessibile potenzialmente a un numero illimitato di soggetti tramite Internet. Di conseguenza, la base giuridica invocata non era applicabile.

Esito: illiceità del trattamento e assenza di ulteriori misure correttive

Il Garante ha concluso che il trattamento era illecito per violazione dell’art. 5, par. 1, lett. a), e dell’art. 6, par. 1, GDPR. Ha però preso atto che, nel corso del procedimento, Eni aveva già interrotto il trattamento rimuovendo i dati dal sito web; per questo motivo ha ritenuto che non sussistessero i presupposti per ulteriori misure correttive ai sensi dell’art. 58, par. 2, GDPR.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 del Codice privacy, il Garante ha irrogato una sanzione amministrativa pecuniaria di euro 96.000,00. Nella determinazione dell’importo sono stati considerati, tra gli altri, i seguenti elementi:

• natura della violazione, consistita nella diffusione online di dati personali in assenza di valida base giuridica;
• durata del trattamento, ritenuta moderata e verosimilmente non superiore a 6 mesi;
• numero degli interessati coinvolti, pari a 12;
• tipologia dei dati, non appartenenti a categorie particolari ex art. 9 GDPR ma comunque di natura privata e suscettibili di incidere sulla riservatezza;
• natura colposa della violazione e grado di responsabilità moderato;
• tempestive iniziative correttive spontanee della Società;
• collaborazione con l’Autorità;
• assenza di precedenti violazioni pertinenti;
• iniziative interne di sensibilizzazione dichiarate da Eni;
• condizioni economiche del trasgressore, valutate sulla base del volume d’affari dell’ultimo bilancio disponibile.

Dispositivo finale e rimedi

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento effettuato da Eni S.p.A.;
• ordinato e ingiunto il pagamento della sanzione di euro 96.000,00 entro 30 giorni dalla notifica;
• disposto la pubblicazione dell’ordinanza ingiunzione e del provvedimento sul sito Internet dell’Autorità;
• disposto l’annotazione della violazione nel registro interno del Garante.

È stata inoltre richiamata la facoltà di definizione agevolata mediante pagamento della metà della sanzione entro il termine previsto per il ricorso, nonché la possibilità di opposizione dinanzi all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.