Ordinanza ingiunzione o revoca n. 446 del 17/07/2025

Diffusione illecita di dati di una minore in ambito sportivo e mancato riscontro a istanza di accesso

Il Garante ha esaminato il reclamo proposto nell’interesse di una minore nei confronti di Associazione Il Cavallo Rosa/ChangeTheGame ODV, per la pubblicazione su Facebook del dispositivo di una decisione disciplinare sportiva contenente dati identificativi della stessa e per l’omessa risposta a una precedente richiesta di accesso ai dati.

Origine del reclamo e contenuto della contestazione

Il reclamante, padre ed esercente la responsabilità genitoriale, ha segnalato che sulla pagina Facebook dell’associazione era stato pubblicato un post contenente il dispositivo della decisione disciplinare del Tribunale Federale, con indicazione del nominativo della minore e del suo numero di tesseramento, senza alcuna forma di oscuramento o anonimizzazione. Ha inoltre lamentato che l’associazione non avesse riscontrato un’istanza di accesso ex art. 15 GDPR inviata il 25 marzo 2022, chiedendo la rimozione o l’oscuramento dei dati e l’attivazione delle conseguenti iniziative sanzionatorie.

Difese dell’associazione

ChangeTheGame ha rappresentato di essere un’organizzazione di volontariato impegnata contro la violenza nello sport e di aver trattato la vicenda di un istruttore di equitazione già radiato e poi condannato per violenza sessuale su una minorenne. Ha sostenuto che il post pubblicato nel marzo 2022 riportava un breve video e successivamente il dispositivo di una decisione disciplinare sportiva, e che la successiva rimozione era avvenuta quando l’ente aveva preso coscienza dell’eventuale presenza di dati riferibili a una minore. L’associazione ha affermato di non avere trattato dati della reclamante alla data dell’istanza e di aver omesso il riscontro per un errore di valutazione, avendo scambiato la richiesta per un messaggio minatorio. Ha escluso, inoltre, l’applicabilità dell’art. 50 del Codice e dell’art. 13 d.P.R. 448/1988 ai procedimenti disciplinari sportivi.

Inquadramento giuridico e norme applicate

L’Autorità ha ritenuto che il divieto di pubblicazione richiamato dal reclamante non fosse applicabile, perché l’art. 50 del Codice rinvia all’art. 13 d.P.R. 448/1988 con riferimento ai procedimenti giudiziari, mentre il caso riguardava un procedimento disciplinare sportivo. La vicenda è stata quindi valutata alla luce dei principi generali di cui all’art. 5, par. 1, lett. a), b) e c) GDPR, nonché degli artt. 12 e 15 GDPR in materia di riscontro alle richieste dell’interessato.

Valutazione sulla diffusione dei dati della minore

Il Garante ha accertato che, nel profilo Facebook dell’associazione, il dispositivo della decisione disciplinare era stato riportato integralmente e rendeva pubblici nome, cognome e numero di tesseramento della minore. Tale diffusione è stata qualificata come eccedente e non pertinente rispetto alle finalità perseguite, anche tenuto conto della particolare vulnerabilità dei minori e della necessità di preservarne la riservatezza, specie in contesti nei quali la pubblicazione di informazioni può incidere sul loro equilibrio psico-fisico.

Il Garante ha sottolineato che, prima di pubblicare decisioni che riguardino soggetti minorenni, anche solo nella forma del dispositivo, il titolare deve verificare attentamente le informazioni diffuse e adottare gli accorgimenti necessari, compreso l’oscuramento, quando occorra a impedire l’identificazione. Nel caso concreto, non è stata considerata sufficiente la circostanza che dal dispositivo non emergesse espressamente la minore età dell’interessata, poiché l’associazione, per sua stessa ammissione, conosceva la vicenda e il contesto di abusi su minori cui essa si riferiva.

Mancato riscontro all’istanza di accesso

L’associazione non ha risposto all’istanza di accesso del 25 marzo 2022. Il Garante ha escluso che potesse attribuirsi rilevanza alla giustificazione fondata sull’asserito errore di interpretazione della richiesta, evidenziando che il titolare è comunque tenuto a fornire riscontro alle istanze degli interessati senza ingiustificato ritardo e, al più tardi, entro un mese dal ricevimento, salvo proroga motivata. La condotta è stata quindi ritenuta in contrasto con gli artt. 12 e 15 GDPR.

Illiceità del trattamento e misure correttive

L’Autorità ha dichiarato illecito il trattamento ai sensi dell’art. 57, par. 1, lett. f) GDPR e ha ingiunto, ai sensi dell’art. 58, par. 2, lett. d), GDPR:

• di adottare ogni misura organizzativa necessaria a facilitare l’esercizio dei diritti degli interessati e a riscontrare tempestivamente le relative istanze, compresi i diritti di opposizione, cancellazione e accesso;
• di verificare che i dati diffusi tramite i canali social siano trattati nel rispetto dei principi di liceità, correttezza, minimizzazione e pertinenza, con particolare attenzione alle informazioni riguardanti minori e con previsione di adeguati accorgimenti, come l’oscuramento, per impedirne l’identificazione.

Ai sensi dell’art. 157 del Codice, il titolare deve inoltre comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative intraprese per dare attuazione alle misure imposte.

Sanzione amministrativa e criteri di quantificazione

Il Garante ha applicato la sanzione amministrativa pecuniaria di euro 10.000, ritenendo la misura proporzionata alla violazione. Nella quantificazione sono state valorizzate, come aggravanti:

• la gravità della violazione, per avere riguardato dati di una minore;
• la durata della pubblicazione, rimasta online per oltre un mese;
• la reiterazione dell’omissione, sia verso l’interessato sia verso l’Autorità;
• il carattere negligente della condotta e l’inadeguatezza delle misure organizzative interne.

Come attenuanti sono state considerate:

• l’isolamento dell’episodio, emerso da un solo reclamo;
• l’assenza di precedenti procedimenti a carico dell’associazione;
• la limitata capacità economica del titolare, ente senza scopo di lucro in disavanzo nell’ultimo rendiconto disponibile.

Ulteriori conseguenze

Oltre alla sanzione pecuniaria, è stata disposta la pubblicazione del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, Codice e dell’art. 16 del regolamento n. 1/2019, nonché l’annotazione nel registro interno dell’Autorità. È stato infine ricordato che avverso il provvedimento è proponibile opposizione all’autorità giudiziaria ordinaria nei termini di legge.