Ordinanza ingiunzione o revoca n. 492 del 03/07/2026

Diffusione online di audio e conversazioni private riguardanti un personaggio pubblico

Il provvedimento riguarda il reclamo presentato dall’interessato ai sensi dell’art. 77 GDPR contro la diffusione, sul canale YouTube riconducibile al titolare e su ulteriori profili social, di un file audio estratto da una conversazione privata via chat e di stralci della relativa conversazione. Il contenuto era stato inserito nella puntata “Falsissimo Episodio XX” e aveva avuto ampia circolazione online.

Il procedimento si è sviluppato dopo un precedente avvertimento del Garante del 4 agosto 2025, n. 467, rivolto ai potenziali utilizzatori dei dati, e dopo il provvedimento d’urgenza del 20 agosto 2025, n. 479, con cui era stata ordinata la limitazione provvisoria del trattamento, mediante rimozione dell’audio e divieto di riproduzione e divulgazione. Il titolare ha successivamente comunicato la rimozione dell’audio dalla puntata e dei relativi reel dai propri profili.

Trattamenti esaminati

Il Garante ha accertato che il titolare aveva diffuso:

• il file audio estratto dalla conversazione privata;
• contenuti testuali e stralci di chat intercorsi tra l’interessato e un soggetto terzo;
• riferimenti al file audio nella descrizione della puntata pubblicata su YouTube;
• contenuti ulteriori attraverso profili social riconducibili al titolare e al format “Falsissimo”.

I contenuti riguardavano esclusivamente la sfera affettiva e particolarmente intima dell’interessato. Pur trattandosi di una persona nota, tali informazioni non risultavano collegate al suo ruolo pubblico, né idonee a contribuire a un dibattito di interesse generale.

Norme e principi applicati

L’Autorità ha contestato la violazione degli artt. 5, par. 1, lett. a) e c), GDPR, relativi ai principi di liceità, correttezza e trasparenza e di minimizzazione dei dati. La diffusione è stata inoltre valutata alla luce degli artt. 2-quater, comma 4, e 137 del Codice privacy e dell’art. 6 delle Regole deontologiche relative al trattamento dei dati nell’esercizio dell’attività giornalistica.

L’art. 137, comma 3, del Codice stabilisce che, nella diffusione di dati personali per finalità di manifestazione del pensiero, restano fermi i limiti del diritto di cronaca e, in particolare, il limite dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico. L’art. 6, comma 2, delle Regole deontologiche precisa che la sfera privata delle persone note o che esercitano funzioni pubbliche deve essere rispettata quando le notizie o i dati non hanno rilievo sul loro ruolo o sulla loro vita pubblica.

Il Garante ha chiarito che tali limiti non riguardano soltanto i giornalisti professionisti, ma chiunque pubblichi o diffonda, anche occasionalmente e tramite piattaforme social, articoli, saggi o altre forme di manifestazione del pensiero. Il rispetto delle Regole deontologiche costituisce inoltre condizione essenziale per la liceità e correttezza del trattamento ai sensi dell’art. 2-quater, comma 4, del Codice.

Valutazioni sulla notorietà dell’interessato

La notorietà dell’interessato e della sua relazione non è stata ritenuta sufficiente a legittimare qualsiasi raccolta o utilizzo dei dati personali. Il Garante ha richiamato il provvedimento 8 giugno 2023, n. 246, il provvedimento 22 dicembre 2009 e la giurisprudenza della Corte di cassazione, secondo cui anche la diffusione di contenuti relativi alla vita privata di persone famose può essere lecita soltanto quando tali contenuti svolgano una funzione effettiva di veicolazione di una notizia di interesse pubblico.

La finalità di intrattenimento o di gossip non può quindi giustificare il sacrificio del diritto al rispetto della vita privata, in particolare quando la diffusione non aggiunge alcun contributo informativo e mira piuttosto a spettacolarizzare o ridicolizzare aspetti intimi della persona. Nel caso concreto, i commenti associati all’audio apparivano idonei a deridere i comportamenti dell’interessato nella sua vita privata.

Accertamento dell’illiceità

Il Garante ha ritenuto che la diffusione dell’audio e delle chat fosse eccedente rispetto alla finalità informativa asseritamente perseguita e integrasse un’indebita ingerenza nella sfera privata dell’interessato. La condotta è stata considerata non conforme:

• ai principi di liceità, correttezza e minimizzazione di cui all’art. 5, par. 1, lett. a) e c), GDPR;
• all’art. 137 del Codice privacy;
• all’art. 6 delle Regole deontologiche;
• all’art. 2-quater, comma 4, del Codice, per il mancato rispetto delle Regole deontologiche quale condizione di liceità e correttezza del trattamento.

L’Autorità ha sottolineato inoltre che la diffusione attraverso Internet richiede una cautela particolarmente elevata, perché la rete consente l’amplificazione, la riproposizione e la circolazione incontrollata delle informazioni presso una platea indeterminata di utenti.

Cessazione della condotta e decisione sul reclamo

Le verifiche effettuate dall’Autorità hanno evidenziato che i contenuti originariamente contestati non erano più disponibili online. Il Garante ha quindi preso atto della rimozione e ha ritenuto cessati gli effetti della condotta, senza adottare ulteriori misure di rimozione o blocco.

Il reclamo è stato invece dichiarato infondato con riferimento a una nuova puntata del format, riservata agli abbonati, nella quale il titolare avrebbe commentato dichiarazioni rese pubblicamente dall’interessato durante una trasmissione televisiva. Secondo il Garante, tale fattispecie rientrava nella libera manifestazione del pensiero, poiché riguardava opinioni e valutazioni su dichiarazioni rese in un contesto pubblico e accessibile a una platea generalizzata, con conseguente attenuazione delle aspettative di riservatezza.

Sanzione amministrativa e criteri di quantificazione

La violazione dei principi dell’art. 5 GDPR è stata ricondotta all’art. 83, par. 5, lett. a), GDPR. Il mancato rispetto delle Regole deontologiche è stato sanzionato ai sensi del combinato disposto degli artt. 2-quater e 166, comma 2, del Codice e dell’art. 83, par. 5, GDPR.

Il Garante ha applicato una sanzione amministrativa pecuniaria di 4.950 euro, considerando i criteri dell’art. 83, par. 2, GDPR e i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Sono state considerate aggravanti:

• la gravità della violazione, per la diffusione in ambiente digitale a una platea potenzialmente indeterminata;
• la natura intima e affettiva dei dati, privi di collegamento con la dimensione pubblica dell’interessato;
• il significativo pregiudizio alla riservatezza, alla reputazione e all’immagine professionale, anche in ragione di contenuti con finalità di scherno;
• la prosecuzione del trattamento dopo l’avvertimento del 4 agosto 2025, con cessazione soltanto dopo la notificazione dell’atto di avvio del procedimento;
• la volontà intenzionale di alimentare il gossip e spettacolarizzare la vita privata dell’interessato, valutata come condotta dolosa ai sensi dell’art. 83, par. 2, lett. b), GDPR;
• i plausibili benefici finanziari derivanti dalle visualizzazioni, dalla monetizzazione dei video, dai contenuti riservati agli abbonati e dagli eventuali introiti pubblicitari, ai sensi dell’art. 83, par. 2, lett. k), GDPR.

Sono state considerate attenuanti:

• la rimozione dell’intera puntata, sebbene intervenuta soltanto dopo l’avvio del procedimento;
• la riconducibilità delle finalità perseguite alla libertà di informazione tutelata dall’art. 85 GDPR e dagli artt. 136 e seguenti del Codice;
• l’assenza, dagli accertamenti svolti anche con il supporto del Nucleo Speciale Privacy della Guardia di Finanza, di redditi fiscalmente dichiarati o di attività economiche riconducibili al titolare o a società collegate, nonché la limitata entità degli importi percepiti nel periodo d’imposta 2025.

Misure accessorie, pagamento e impugnazione

Il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul proprio sito, ai sensi dell’art. 166, comma 7, del Codice, dell’art. 154-bis del Codice e dell’art. 37 del regolamento del Garante n. 1/2019. La pubblicazione è stata motivata dal settore di attività del titolare, dalla capacità diffusiva di YouTube e dalla natura intima dei dati trattati.

Il destinatario può definire la controversia pagando, entro trenta giorni, un importo pari alla metà della sanzione irrogata, ai sensi dell’art. 166, comma 8, del Codice. In mancanza, deve pagare l’importo integrale di 4.950 euro entro trenta giorni dalla notificazione del provvedimento; in caso contrario possono essere adottati gli atti esecutivi ai sensi dell’art. 27 della legge n. 689/1981.

Il provvedimento può essere opposto all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011, mediante ricorso al tribunale competente entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all’estero.