Ordinanza ingiunzione o revoca n. 605 del 06/08/2026

Obblighi di trasparenza e riscontro della testata “Il Dispaccio”

Il provvedimento del 6 agosto 2026 riguarda l’Associazione Culturale “Quadrante Sud”, titolare del trattamento relativo al sito della testata giornalistica online “Il Dispaccio”. Il procedimento è stato avviato a seguito del reclamo di un’interessata per la mancata risposta a richieste relative a un articolo indicizzato su Google e per le carenze informative e di contatto riscontrate sul sito.

Fatto e svolgimento dell’istruttoria

Con reclamo pervenuto il 21 ottobre 2025, l’interessata ha lamentato che Google continuasse a mostrare, in associazione al suo nominativo, un articolo relativo a una vicenda giudiziaria del 2023. Secondo quanto rappresentato nel reclamo, l’articolo la collegava a ipotesi criminose dalle quali era estranea; era stata indagata per la sola ipotesi di intestazione fittizia di un’autovettura, risultata di sua legittima proprietà, ed era stata assolta con formula piena con sentenza del 14 maggio 2024. L’articolo non riportava l’esito favorevole del procedimento e, secondo la reclamante, la persistente indicizzazione pregiudicava la sua reputazione personale e professionale.

L’interessata aveva inoltre riferito di avere incontrato difficoltà nel reperire i contatti della testata e di avere inviato richieste il 4 e il 18 settembre e il 20 ottobre 2025 senza ricevere riscontro. Il 22 gennaio 2026 il Garante ha chiesto all’Associazione, ai sensi dell’art. 157 del Codice, informazioni e chiarimenti sul reclamo, sulle istanze di deindicizzazione e sul loro mancato riscontro. La richiesta, inviata con raccomandata A/R, risulta consegnata il 5 febbraio 2026.

Con nota del 29 maggio 2026 è stato avviato il procedimento previsto dall’art. 166, comma 5, del Codice, contestando le violazioni dell’art. 157 del Codice, dell’art. 12, parr. 2 e 3, GDPR, per le istanze del 4 e 18 settembre 2025, e degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR, per l’assenza sul sito di un’informativa e di recapiti specificamente dedicati ai diritti degli interessati. La violazione dell’art. 12 relativa alla richiesta del 20 ottobre 2025 non è stata contestata, poiché il termine di 30 giorni non era ancora scaduto alla data del reclamo. L’atto di avvio è stato notificato il 22 giugno 2026.

Rimozione dell’articolo e difese dell’Associazione

Nella memoria pervenuta il 22 giugno 2026, il direttore responsabile ha dichiarato che l’articolo era stato rimosso “da tempo” e ha sostenuto che la deindicizzazione dai risultati di Google dipende dal gestore del motore di ricerca e da una specifica richiesta dell’interessata. L’Ufficio aveva già verificato la rimozione del contenuto il 26 maggio 2026.

La memoria non ha fornito spiegazioni sul mancato riscontro alle istanze dell’interessata o alla richiesta del Garante, né ha contestato o chiarito i rilievi relativi all’informativa e ai canali di contatto. Il Garante ha quindi ritenuto che la rimozione dell’articolo, pur rilevante, non sanasse le distinte violazioni degli obblighi di trasparenza e di gestione delle richieste degli interessati.

Violazioni degli obblighi di riscontro

Il titolare non ha risposto alle istanze del 4 e del 18 settembre 2025 entro il termine previsto. L’art. 12, par. 2, GDPR richiede al titolare di agevolare l’esercizio dei diritti; il par. 3 impone di fornire riscontro senza ingiustificato ritardo e, al più tardi, entro un mese dalla ricezione della richiesta. Il Garante ha accertato la violazione di entrambi i paragrafi. La condotta omissiva è proseguita anche dopo il reclamo e la richiesta di informazioni dell’Autorità.

È stata inoltre accertata la violazione dell’art. 157 del Codice: la richiesta di informazioni del Garante era stata regolarmente consegnata il 5 febbraio 2026, ma il titolare non vi aveva dato riscontro. L’Autorità ha valutato tale omissione anche alla luce degli obblighi di cooperazione e di informazione richiamati dall’art. 31 GDPR.

Trasparenza e accessibilità dei contatti

Il sito non presentava un’informativa sui trattamenti di dati personali svolti per finalità giornalistiche, né indicava canali di contatto specificamente destinati alla ricezione delle istanze privacy. In calce alla home page comparivano la denominazione dell’Associazione e un recapito postale, ripetuto nella sezione “Contatti”. Il Garante ha ritenuto che il solo recapito postale, utilizzabile per comunicazioni di natura diversa, non agevolasse adeguatamente l’esercizio dei diritti e non assicurasse un’interlocuzione tempestiva ed efficace, come richiesto dall’art. 12, par. 2, GDPR.

Un indirizzo e-mail era reperibile nel profilo Facebook collegato dal sito; l’interessata aveva dovuto individuarlo autonomamente, insieme a un altro indirizzo non presente nel sito. Una pagina rinvenuta tramite ricerca in rete, apparentemente riferibile a una versione archiviata e datata 8 febbraio 2012, non dimostrava che i contatti fossero disponibili nel periodo rilevante e, in ogni caso, non provava l’adempimento degli obblighi informativi.

Il Garante ha rilevato che il pop-up “Impostazioni sulla privacy e sui cookie” rinviava alla home page senza rendere accessibile alcuna informativa. Anche un’eventuale informativa sui cookie non avrebbe sostituito quella sui trattamenti per finalità giornalistiche, trattandosi di trattamenti e finalità distinti. Richiamando le Linee guida sulla trasparenza del Gruppo di lavoro ex Articolo 29, nella versione emendata l’11 aprile 2018, l’Autorità ha ribadito che le informazioni devono essere facilmente accessibili e consultabili, preferibilmente in un unico luogo o documento completo. Sono state quindi accertate le violazioni degli artt. 5, par. 1, lett. a), 12, par. 1, e 13 GDPR.

Misure correttive

Ai sensi dell’art. 58, par. 2, lett. d), GDPR, il Garante ha ingiunto all’Associazione di:

• fornire agli interessati un’informativa sul trattamento dei dati personali per finalità giornalistiche, con gli elementi richiesti dagli artt. 12, par. 1, e 13 GDPR;
• adottare misure idonee a garantire l’effettivo esercizio dei diritti, rendendo disponibili recapiti specificamente dedicati e assicurando riscontro senza ingiustificato ritardo e comunque nei termini dell’art. 12 GDPR.

Ai sensi dell’art. 157 del Codice, l’Associazione deve comunicare al Garante, entro 30 giorni dalla notifica del provvedimento, le iniziative intraprese per attuare le misure. Il mancato adempimento può comportare l’applicazione della sanzione prevista dall’art. 83, par. 5, GDPR.

Sanzione e criteri di quantificazione

Per le violazioni collegate degli artt. 5, 12 e 13 GDPR, il Garante ha applicato il criterio dell’art. 83, par. 3, GDPR, secondo cui l’importo complessivo non supera quello previsto per la violazione più grave. Il quadro sanzionatorio massimo richiamato è quello dell’art. 83, par. 5, GDPR, come richiamato anche dall’art. 166, comma 2, del Codice. La violazione dell’art. 157 del Codice è stata considerata una condotta distinta e sanzionata separatamente.

Nella valutazione ex art. 83, par. 2, GDPR, il Garante ha considerato aggravanti la durata potenzialmente prolungata della carenza informativa e la conseguente limitazione dei diritti degli interessati; il carattere gravemente colposo della condotta e la mancata regolarizzazione nonostante l’intervento dell’Autorità; nonché il livello inadeguato di cooperazione, in particolare il silenzio sulla richiesta di informazioni e la mancata risposta puntuale ai rilievi. Per le violazioni GDPR il livello di gravità è stato qualificato come medio, con richiamo alle Linee guida EDPB 4/2022 sul calcolo delle sanzioni, del 24 maggio 2023, punto 60.

Sono stati considerati attenuanti la natura isolata della vicenda, originata da un solo reclamo; la rimozione dell’articolo, pur non idonea a sanare le altre violazioni; l’assenza di precedenti pertinenti; l’emersione della violazione solo a seguito del reclamo; e le limitate condizioni economiche dell’Associazione, costituita senza scopo di lucro e impegnata in finalità culturali, sulla base della documentazione fiscale relativa al periodo d’imposta 2024.

La sanzione è stata quantificata in 1.098 euro per le violazioni degli artt. 5, par. 1, lett. a), 12, parr. 1, 2 e 3, e 13 GDPR e in 1.158 euro per la violazione dell’art. 157 del Codice, per un totale di 2.256 euro. L’importo è stato determinato secondo i principi di effettività, proporzionalità e dissuasività dell’art. 83, par. 1, GDPR.

Pagamento, pubblicazione e impugnazione

Il titolare è tenuto a pagare 2.256 euro entro 30 giorni dalla notificazione, qualora la controversia non venga definita ai sensi dell’art. 166, comma 8, del Codice; in caso di mancato pagamento possono seguire gli atti esecutivi previsti dall’art. 27 della legge n. 689/1981. Resta salva la possibilità di definire la controversia pagando la metà della sanzione entro il termine previsto dall’art. 10, comma 3, del d.lgs. n. 150/2011 per la proposizione del ricorso.

Il Garante ha disposto la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul proprio sito, ai sensi dell’art. 154-bis, comma 3, e dell’art. 166, comma 7, del Codice e degli artt. 37 e 16, comma 1, del regolamento n. 1/2019. Ha inoltre disposto l’annotazione delle violazioni e delle misure nel registro interno previsto dall’art. 57, par. 1, lett. u), GDPR e dall’art. 17 del regolamento n. 1/2019. Il provvedimento può essere impugnato davanti al giudice ordinario entro 30 giorni dalla comunicazione, oppure entro 60 giorni se il ricorrente risiede all’estero, ai sensi dell’art. 78 GDPR, dell’art. 152 del Codice e dell’art. 10 del d.lgs. n. 150/2011.