Ordinanza ingiunzione o revoca n. 175 del 12/03/2026

Artemide S.r.l.s. – mancato riscontro a istanze di cancellazione e deindicizzazione di articoli online

Il provvedimento riguarda la testata giornalistica online MeridioNews.it, edita da Artemide S.r.l.s., in relazione alla reperibilità in rete di articoli collegati a vicende giudiziarie e alla mancata risposta del titolare a una richiesta dell’interessato di cancellazione e deindicizzazione, nonché alle successive richieste di informazioni del Garante. L’Autorità ha concluso con un’ordinanza ingiunzione e con l’accertamento di violazioni in materia di gestione delle istanze degli interessati e di collaborazione con l’Autorità.

Origine del reclamo e richieste dell’interessato

Il procedimento trae origine da un reclamo presentato ai sensi dell’art. 77 GDPR. L’interessato ha riferito che, associati al proprio nome, risultavano online articoli relativi a uno scandalo sui rifiuti in Sicilia, vicenda rispetto alla quale sosteneva di non essere mai stato indagato né iscritto nel registro degli indagati.

Secondo quanto dedotto nel reclamo:

• le notizie contestate erano riferite a fatti anteriori al 2019;
• il reclamante aveva assunto ruoli societari nella società citata dagli articoli solo successivamente, nel marzo 2020;
• dal 19 agosto 2020 non rivestiva più alcun ruolo che potesse giustificare un interesse pubblico attuale alla sua esposizione.

L’interessato chiedeva quindi:

• la deindicizzazione degli URL degli articoli pubblicati il 4 giugno e l’8 luglio 2020;
• la cancellazione dei dati personali ivi riportati;
• il riscontro alla precedente istanza inviata il 17 aprile 2023 all’indirizzo e-mail indicato sul sito e nella pagina contatti.

Attività istruttoria e richieste del Garante

Il Garante ha chiesto chiarimenti al titolare con nota del 19 aprile 2024 ai sensi dell’art. 157 del Codice privacy, domandando anche di produrre copia dell’eventuale risposta all’interessato. La richiesta è rimasta senza riscontro ed è stata reiterata l’11 dicembre 2024, anch’essa senza esito.

Con atto del 22 gennaio 2025 è stato quindi avviato il procedimento, contestando:

• la violazione dell’art. 157 del Codice, per il mancato riscontro alle richieste di informazioni dell’Autorità;
• la violazione dell’art. 12, parr. 2 e 3, GDPR, per il mancato riscontro all’istanza di esercizio dei diritti dell’interessato entro 30 giorni.

Difese del titolare

La società ha sostenuto che il mancato riscontro al Garante fosse dipeso da circostanze non imputabili direttamente al titolare. In particolare ha affermato:

• di non aver ricevuto le PEC dell’Autorità;
• di essersi rivolta al gestore della casella PEC per verificare eventuali malfunzionamenti;
• di aver poi contattato la società esterna incaricata della gestione della PEC, sospendendo i rapporti contrattuali in attesa di chiarimenti.

Quanto alla pretesa sostanziale dell’interessato, il titolare ha sostenuto che gli articoli erano conformi ai principi di essenzialità e continenza e che la loro consultazione risultava limitata sulla base dei dati di Google Analytics. Ha inoltre dichiarato di essersi attivato, una volta emerse le criticità, per procedere alla deindicizzazione degli articoli e di averne dato comunicazione al reclamante.

Valutazioni del Garante sul mancato riscontro all’Autorità

L’Autorità ha ritenuto non idonee le giustificazioni offerte dalla società. In particolare ha osservato che:

• non erano state prodotte evidenze probatorie sufficienti a dimostrare la mancata ricezione delle PEC o le verifiche interne asseritamente svolte;
• le comunicazioni erano dirette esclusivamente al domicilio digitale della società, che restava responsabile del relativo presidio;
• l’affidamento della gestione tecnica della PEC a un terzo non esonera il titolare dalla responsabilità di vigilanza;
• il titolare risponde anche delle condotte dei soggetti terzi che operano sotto la sua autorità e vigilanza.

Poiché l’indirizzo PEC risultava funzionante, il Garante ha quindi accertato la violazione dell’art. 157 del Codice e ha richiamato, in chiave sistematica, anche i doveri di collaborazione di cui all’art. 31 del Regolamento.

Valutazioni sul mancato riscontro all’istanza dell’interessato

Il Garante ha anche accertato che il titolare non aveva risposto all’istanza di cancellazione e deindicizzazione del 17 aprile 2023. L’indirizzo e-mail utilizzato dall’interessato, pur diverso da quelli presenti nella privacy policy, era comunque riferibile alla società ed era espressamente indicato nella pagina contatti del sito.

Richiamando le Linee guida EDPB n. 1/2022, il Garante ha ribadito che:

• una richiesta di esercizio dei diritti presentata tramite un canale di comunicazione reso disponibile dal titolare è, in linea generale, valida;
• il titolare deve gestirla anche se non è il canale preferito.

Di conseguenza, l’inerzia della società ha violato l’art. 12, parr. 2 e 3, GDPR, poiché il riscontro non è stato fornito entro il termine di 30 giorni e ciò ha di fatto impedito l’esercizio del diritto dell’interessato, costringendolo a rivolgersi all’Autorità.

Esito del procedimento e misure ordinate

Il Garante ha dichiarato illecito il trattamento nei termini illustrati in motivazione e ha preso atto dell’avvenuta deindicizzazione degli articoli contestati, ritenendo non necessari ulteriori interventi su quel profilo.

Sono state poi disposte le seguenti misure:

• ingiunzione ad adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti degli interessati e a soddisfare senza ingiustificato ritardo le istanze ex artt. 15 e 17 GDPR;
• obbligo di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alla misura;
• avvertimento che l’eventuale mancato adempimento può comportare ulteriori conseguenze sanzionatorie.

Sanzione amministrativa pecuniaria

Per le violazioni accertate è stata irrogata la sanzione di euro 10.000, ai sensi dell’art. 58, par. 2, lett. i), e dell’art. 83, par. 5, GDPR.

Nel determinare l’importo, il Garante ha richiamato i criteri di cui all’art. 83, par. 2, GDPR e ha considerato:

• come aggravanti, la gravità della violazione per la reiterazione delle omissioni e la negligenza del titolare nei rapporti con gli interessati e con l’Autorità;
• come attenuanti, la natura isolata del caso, le finalità giornalistiche e di libertà di informazione, la deindicizzazione già intervenuta e l’assenza di precedenti procedimenti a carico del titolare.

La sanzione è stata ritenuta proporzionata, effettiva e dissuasiva, con riferimento anche al bilanciamento tra diritti degli interessati e libertà di impresa.

Pubblicazione e ulteriori adempimenti

Il provvedimento dispone inoltre:

• la pubblicazione dell’ordinanza ingiunzione sul sito del Garante, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16 del regolamento n. 1/2019;
• l’annotazione nel registro interno dell’Autorità delle violazioni e delle misure adottate.

È stata infine richiamata la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011.