Prescrizioni del Garante n. 122 del 27/02/2025

La7 S.p.A. – diffusione di dati identificativi e sensibili in un servizio giornalistico su presunta violenza sessuale

Il Garante per la protezione dei dati personali è intervenuto a seguito di un reclamo presentato nell’interesse di una persona offesa in un procedimento per violenza sessuale, in relazione alla puntata della trasmissione "Non è l’Arena" andata in onda su La7 e resa disponibile anche online. L’Autorità ha ritenuto che, pur trattandosi di vicenda di rilevante interesse pubblico, la diffusione di specifici elementi narrativi e contestuali avesse superato i limiti della disciplina in materia di trattamento dei dati per finalità giornalistiche.

Origine del reclamo e posizioni delle parti

Il reclamante ha contestato la pubblicazione di dati e dettagli idonei a rendere identificabile la vittima, tra cui riferimenti alle sue generalità, a iniziali, a persone a lei vicine e alla sua immagine. Ha inoltre lamentato la divulgazione di informazioni riguardanti la sfera sessuale e la salute psico-fisica, ritenute non essenziali e lesive della dignità della persona offesa.

La7 S.p.A. ha replicato sostenendo che:

• nel servizio non erano state diffuse generalità, cognome, luogo di nascita o iniziali delle persone offese;
• erano stati usati nomi di fantasia;
• i riferimenti a scuola, contesto sociale e persone vicine non erano idonei a identificare l’interessata;
• la puntata era stata rimossa integralmente dopo la ricezione del reclamo;
• la società aveva inoltre rafforzato i controlli interni, aggiornato la privacy policy e adottato una circolare interna sul rispetto della normativa privacy.

Quadro normativo richiamato

L’Autorità ha ricordato che i trattamenti per finalità giornalistiche sono leciti anche senza consenso, purché rispettino i diritti, le libertà fondamentali e la dignità degli interessati e il principio di essenzialità dell’informazione. Nel provvedimento sono richiamati, in particolare:

• l’art. 85 GDPR;
• gli artt. 136 e ss. del Codice privacy;
• l’art. 137 del Codice;
• gli artt. 6, 8, 10 e 11 delle Regole deontologiche.

Sono stati inoltre richiamati l’art. 4, punto 1, GDPR sul concetto di dato personale, i criteri di identificabilità diretta e indiretta, e la giurisprudenza europea sull’identificabilità anche tramite informazioni aggiuntive disponibili da fonti diverse dal titolare.

Valutazione sulla identificabilità della reclamante

Il Garante ha ritenuto che i dati diffusi fossero idonei a rendere identificabile la reclamante non solo per chi fosse già a conoscenza del caso, ma anche per persone appartenenti ai medesimi contesti relazionali e scolastici. In particolare, ha valorizzato:

• l’uso di un nominativo di fantasia che poteva apparire come traduzione del nome reale;
• il richiamo all’origine della persona;
• l’indicazione della città e della scuola frequentata;
• la diffusione delle iniziali di un’amica coinvolta nei fatti;
• la circolazione di ulteriori informazioni in rete e sui media, che rendevano agevole l’accesso a dati aggiuntivi.

L’Autorità ha quindi concluso che il trattamento rendeva la persona indirettamente identificabile, con conseguente esposizione di informazioni personali e delicate destinate a rimanere riservate.

Valutazione sulla natura dei dati diffusi e sul superamento dell’essenzialità

Il provvedimento sottolinea che la puntata riportava non solo elementi identificativi, ma anche dettagli particolarmente invasivi relativi:

• alle violenze denunciate dalla reclamante;
• alla sua sfera sessuale, intima e relazionale;
• al suo stato di salute psico-fisico, con richiamo a presunti disturbi del comportamento alimentare.

Il Garante ha ritenuto che tali informazioni, pur nell’ambito di un fatto di cronaca amplificato dal coinvolgimento di un soggetto noto e dal clamore mediatico, non fossero essenziali ai fini della notizia e travalicassero il limite imposto dalla disciplina giornalistica.

Violazioni accertate

L’Autorità ha dichiarato che il trattamento risultava illecito per violazione di:

• art. 5, par. 1, lett. a) e c), GDPR, sotto il profilo di liceità e minimizzazione;
• art. 9 GDPR, per la diffusione di dati particolari;
• art. 137, commi 1 e 3, del Codice;
• artt. 6, 8, 10 e 11 delle Regole deontologiche.

Ha altresì stigmatizzato, in termini generali, la tendenza di parte dei media a spingersi oltre il diritto-dovere di cronaca, con un accanimento informativo su dettagli non essenziali e lesivi della dignità della persona interessata.

Misure correttive e provvedimenti limitativi

Ai sensi dell’art. 58, par. 2, lett. f), GDPR, il Garante ha disposto il divieto di ulteriore trattamento, anche online e nell’archivio storico, dei dati idonei a consentire l’identificabilità, anche indiretta, dell’interessata associati a dettagli relativi alla sfera sessuale e allo stato di salute, fatta salva la conservazione anche per eventuali usi in sede giudiziaria.

È stato inoltre rivolto un avvertimento ex art. 58, par. 2, lett. a), chiarendo che eventuali attività informative future sugli sviluppi processuali del caso, se svolte con modalità analoghe, potrebbero violare la normativa richiamata.

Sanzione amministrativa pecuniaria

Il Garante ha avviato l’ordinanza ingiunzione per la sanzione amministrativa pecuniaria, rilevando che la violazione dell’art. 5 GDPR è sanzionata ai sensi dell’art. 83, par. 5, lett. a), e che la violazione delle Regole deontologiche rileva anche ai sensi del Codice privacy.

Nella quantificazione della sanzione sono state considerate, come aggravanti:

• la gravità della violazione, per la natura particolarmente delicata dei dati trattati;
• il livello di danno subito dall’interessata;
• la presenza di precedenti violazioni in materia di attività giornalistica;
• la diffusione di informazioni sulla sfera sessuale e sullo stato di salute.

Come attenuanti sono state considerate:

• le finalità di informazione e cronaca tutelate dall’art. 85 GDPR e dagli artt. 136 e ss. del Codice;
• la collaborazione prestata nel procedimento.

Alla luce dei criteri di cui all’art. 83, par. 1 e 2, GDPR, la sanzione è stata fissata in euro 100.000,00.

Sanzioni accessorie, adempimenti e rimedi

È stata disposta la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, in ragione dell’invasività del trattamento, della particolare intimità dei dati coinvolti e del settore di attività del titolare, per sua natura orientato alla diffusione di informazioni.

Il provvedimento dà atto della possibilità di definizione agevolata della controversia con pagamento della metà della sanzione entro trenta giorni, e indica che, in caso di mancato pagamento, la somma dovrà essere versata entro 30 giorni dalla notificazione, con eventuali atti esecutivi ai sensi della legge n. 689/1981. È infine richiamata la facoltà di opposizione all’autorità giudiziaria ordinaria nei termini di legge.