Prescrizioni del Garante n. 435 del 11/06/2026

Ammonimento per ripubblicazione illecita di dati sportivi, anche di minori

Il provvedimento riguarda il gestore di un sito internet dedicato a ranking e informazioni sportive, sul quale venivano ripubblicati dati personali di atleti, compresi soggetti minorenni, con aggiornamento quotidiano dei compleanni. L’istruttoria è stata avviata a seguito di una segnalazione e si è conclusa con un ammonimento, dopo la rimozione dei dati e la sospensione del sito.

Origine del procedimento e fatti accertati

L’Autorità ha ricevuto una segnalazione relativa alla pubblicazione online, sul sito gestito dal titolare, di dati riferiti ad atleti iscritti a una disciplina sportiva, tra cui nome, cognome, età e data di nascita. La home page riportava anche l’elenco quotidiano degli atleti che compivano gli anni, inclusi minori. Il sito raccoglieva e rielaborava dati già presenti su siti terzi accessibili al pubblico.

Difese del titolare

Il titolare ha sostenuto che il sito fosse un progetto personale, amatoriale, gratuito e a carattere informativo-divulgativo. Ha affermato di aver operato sulla base del legittimo interesse, ritenendo i dati già pubblici e comunque reperibili in rete. Ha inoltre dichiarato che il sito era privo di informativa privacy e di una sezione dedicata all’esercizio dei diritti, ma ha riferito di aver avviato le necessarie attività correttive. In seguito, ha sospeso la visibilità del sito e ha comunicato la cancellazione dei dati pubblicati.

Valutazioni del Garante sulla base giuridica

Il Garante ha escluso che il trattamento potesse essere ricondotto al diritto di cronaca o all’art. 85 GDPR, poiché il sito non presentava un contesto editoriale o giornalistico idoneo e si limitava a diffondere classifiche e dati sportivi. Ha chiarito che la mera reperibilità online di informazioni non legittima il loro libero riutilizzo o la loro ripubblicazione in un diverso contesto digitale.

L’Autorità ha inoltre osservato che la pubblicazione dei dati sul sito della federazione sportiva poteva essere giustificata nel diverso e specifico contesto del rapporto associativo e di tesseramento, ma che la successiva rielaborazione e ripubblicazione in un sito autonomo costituiva un trattamento distinto, che richiedeva una propria base giuridica. Nel caso concreto, non risultava prestato alcun consenso specifico, nemmeno da parte di chi esercita la responsabilità genitoriale sui minori, e non era configurabile neppure un legittimo interesse adeguatamente bilanciato e documentato.

Violazioni accertate

Il Garante ha ritenuto il trattamento illecito per assenza di idonea base giuridica e ha ravvisato le seguenti violazioni:

• violazione dei principi di liceità, correttezza e minimizzazione, ex art. 5, par. 1, lett. a) e c), GDPR;
• violazione dell’art. 6, par. 1, lett. a), GDPR, per mancanza di consenso;
• violazione dell’art. 8 GDPR e dell’art. 2-quinquies, comma 1, Codice privacy, in relazione ai dati dei minori;
• violazione degli artt. 12, par. 1, e 13 GDPR, per l’assenza di informativa privacy e di una sezione dedicata al trattamento;
• violazione dell’art. 5, par. 1, lett. e), GDPR, per tempi di conservazione definiti in modo incerto e potenzialmente indefinito.

Quanto alla conservazione, l’Autorità ha giudicato inidoneo il criterio basato sulla “attualità” dell’attività sportiva o sulla permanenza dei dati sui siti originari, poiché tale impostazione rinviava a eventi futuri e incerti e non consentiva di determinare in modo chiaro il periodo di conservazione.

Misure adottate e chiusura del procedimento

Nel corso dell’istruttoria il titolare ha sospeso la visibilità del sito e, successivamente, ha rimosso integralmente i dati personali trattati. Il Garante ha verificato che il sito non era più operativo e ha preso atto della cessazione di ogni trattamento riferibile ai dati oggetto di segnalazione. Ha quindi escluso la necessità di ulteriori misure correttive o blocchi.

Provvedimento finale

Pur confermando l’illiceità dei trattamenti già svolti, il Garante ha ritenuto proporzionato rivolgere un ammonimento, ai sensi dell’art. 58, par. 2, lett. b), GDPR. Il titolare viene richiamato a rispettare in futuro i principi di liceità, correttezza e minimizzazione, assicurando che ogni diffusione di dati personali online sia sorretta da un idoneo presupposto giuridico, in particolare dal consenso specifico degli interessati o, per i minori, di chi esercita la responsabilità genitoriale.

Elementi valutati ai fini della proporzionalità

La scelta dell’ammonimento è stata giustificata dal Garante in ragione di più circostanze attenuanti:

• la condotta aveva carattere isolato ed era emersa da un solo reclamo;
• il titolare aveva adottato tempestivamente misure per rimuovere gli effetti del trattamento;
• non risultavano precedenti violazioni pertinenti;
• vi era stata una cooperazione puntuale con l’Autorità;
• il titolare era una persona fisica con limitata capacità reddituale.

Esito complessivo

Il provvedimento non dispone sanzioni pecuniarie, ma accerta l’illiceità del trattamento e formalizza un ammonimento. Resta quindi centrale, per futuri trattamenti analoghi, la necessità di una base giuridica autonoma, di un’informativa completa, di una disciplina chiara della conservazione e di cautele rafforzate quando i dati riguardino minori.