Prescrizioni del Garante n. 139 del 13/04/2023

Athesis S.p.A. – pubblicazione di dati identificativi di vittima di rapina in articoli di cronaca

Il provvedimento riguarda Athesis S.p.A., editore de “Il Giornale di Vicenza”, ed è stato adottato a seguito di un reclamo presentato dalla vittima di una rapina. Il Garante ha esaminato la diffusione, in articoli di cronaca locale, di dati personali dell’interessato, con particolare riferimento all’identificazione nominativa e ad altri dettagli della vicenda.

Origine del procedimento e contestazioni del reclamante

Il reclamo, proposto ai sensi dell’art. 77 GDPR, contestava la pubblicazione di articoli del 25, 26 e 27 settembre 2020 relativi a un fatto di cronaca consistente in una rapina. Il reclamante lamentava:

• la raccolta e l’uso di informazioni sull’accaduto e sulla sua persona nonostante il suo diniego a rilasciare interviste;
• la diffusione di dati personali quali nome, cognome, professione, comune di residenza, marca, materiale e valore dell’orologio sottratto;
• la violazione del principio di essenzialità dell’informazione previsto dall’art. 137, comma 3, del Codice e dalle Regole deontologiche;
• la necessità di un divieto di ulteriore trattamento, anche sui siti internet della testata.

Posizione della società editrice

Athesis S.p.A. ha sostenuto che la notizia presentasse un forte interesse pubblico e locale, anche per la dinamica del fatto e per il suo epilogo tragico. La società ha affermato che i dati del reclamante erano essenziali per rendere comprensibile il fatto e per evidenziare che anche soggetti non fragili possono essere vittime di reati analoghi. Ha inoltre richiamato il principio di essenzialità dell’informazione e ha sostenuto che, dal momento in cui il reclamo è stato portato a conoscenza della società, non vi sarebbe stata più alcuna ulteriore diffusione dei dati personali dell’interessato.

Quadro normativo richiamato

Nel comunicare l’avvio del procedimento, l’Ufficio ha ipotizzato la violazione di:

• art. 5, par. 1, GDPR;
• art. 85 GDPR;
• artt. 136 e ss. del Codice;
• art. 137, commi 1 e 3, del Codice;
• artt. 5 e 6 delle Regole deontologiche;
• art. 2-quater del Codice.

Il Garante ha richiamato il regime speciale del trattamento dei dati per finalità giornalistiche, che consente la diffusione senza consenso purché nel rispetto delle Regole deontologiche e, in particolare, del principio di essenzialità dell’informazione riguardo a fatti di interesse pubblico.

Valutazione del Garante sull’interesse pubblico e sull’essenzialità

L’Autorità ha riconosciuto che gli articoli riguardavano una vicenda di interesse pubblico e un fatto che aveva avuto particolare risalto locale, anche per la dinamica dell’evento e per il decesso della donna autrice della rapina. Tuttavia ha ritenuto che l’esplicitazione del nome e cognome della vittima non fosse necessaria rispetto alla finalità informativa perseguita.

Secondo il Garante, la narrazione avrebbe potuto essere svolta con soluzioni più rispettose della sfera privata, come l’uso di un nome di fantasia. Ha inoltre sottolineato che l’identificazione della vittima comporta rischi, anche in relazione a possibili ripetizioni di reati analoghi.

Orientamenti richiamati dal Garante

Per sostenere la propria conclusione, il Garante ha ricordato il proprio consolidato orientamento, secondo cui il principio di essenzialità deve essere applicato con particolare rigore quando si tratta di dati idonei a identificare vittime di reati. Sono stati richiamati:

• un precedente provvedimento dell’11 luglio 202? richiamato nel testo come doc. web 1065802;
• il documento del 6 maggio 2004 “Privacy e giornalismo. Alcuni chiarimenti in risposta a quesiti dell’Ordine dei giornalisti”;
• il provvedimento del 5 giugno 2008, doc. web n. 1527037.

L’Autorità ha inoltre richiamato la giurisprudenza della Corte di cassazione e la tutela delle persone offese prevista nel procedimento penale, con riferimento anche all’art. 114 c.p.p. e alla Raccomandazione R(2003)13 del Consiglio d’Europa.

Violazioni accertate

Il Garante ha ritenuto che il trattamento descritto integrasse una violazione di:

• art. 2-quater, comma 4, del Codice;
• art. 137, comma 3, del Codice;
• art. 6, comma 1, delle Regole deontologiche;
• art. 5, par. 1, lett. a) e c), GDPR, per i profili di liceità, correttezza e minimizzazione.

Provvedimenti adottati

Accolto il reclamo, il Garante ha disposto nei confronti di Athesis S.p.A.:

• il divieto di ulteriore diffusione del nome e cognome del reclamante nel contesto di cronaca descritto, anche online e nell’archivio storico;
• la sola conservazione dei dati ai fini di un eventuale utilizzo in sede giudiziaria;
• la misura dell’ammonimento ai sensi dell’art. 58, par. 2, lett. b), GDPR.

Ragioni della scelta sanzionatoria

Pur avendo rilevato l’illecito, il Garante ha ritenuto proporzionata la misura dell’ammonimento in considerazione di alcuni elementi attenuanti:

• il titolare ha dichiarato di aver agito nell’esercizio del diritto di cronaca;
• non risultano precedenti violazioni in materia di protezione dei dati personali;
• la società ha mostrato cooperazione nel corso del procedimento e si è attivata per limitare gli effetti del trattamento.

Profili sanzionatori e impugnazione

Nel provvedimento è stato ricordato che l’inosservanza delle disposizioni del Garante può comportare la sanzione penale di cui all’art. 170 del Codice e la sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), GDPR.

Avverso il provvedimento è possibile proporre opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 d.lgs. 150/2011, entro trenta giorni dalla comunicazione, ovvero sessanta giorni se il ricorrente risiede all’estero.