Ordinanza ingiunzione o revoca n. 174 del 12/03/2026

Sito di informazione online: mancata informativa privacy, mancato riscontro alle istanze e sanzione

Il Garante per la protezione dei dati personali ha accertato l’illiceità del trattamento svolto dalla titolare di un sito di informazione online, in relazione alla gestione di articoli giornalistici associati al nominativo di un interessato e alla mancata predisposizione, per un periodo significativo, di adeguati strumenti informativi e di contatto per l’esercizio dei diritti.

Origine del reclamo e oggetto delle richieste

Il procedimento trae origine da un reclamo presentato ai sensi dell’art. 77 GDPR, integrato successivamente, con cui l’interessato lamentava la reperibilità in rete di articoli relativi a vicende giudiziarie ritenute estranee alla propria posizione. Egli sosteneva di non essere mai stato sottoposto a indagini né iscritto nel registro degli indagati e precisava che i fatti narrati negli articoli riguardavano una società nella quale aveva assunto ruoli societari solo in epoca successiva ai fatti contestati. Ritenendo le notizie inattuali, non pertinenti e idonee a creare una percezione distorta del proprio coinvolgimento, chiedeva la deindicizzazione degli URL indicati e la cancellazione dei propri dati personali.

L’interessato lamentava inoltre l’assenza, nel sito internet, di un’informativa privacy e di recapiti del titolare del trattamento utili a esercitare i diritti di cui agli artt. 15-22 GDPR. Aveva infatti inviato un’istanza di cancellazione e deindicizzazione a un indirizzo e-mail reperito sulla pagina Facebook collegata al sito, senza ottenere riscontro, e aveva poi tentato un ulteriore contatto tramite un indirizzo individuato autonomamente, anche in questo caso senza risposta.

Attività istruttoria e acquisizione dei riscontri

A seguito delle verifiche, è stato coinvolto il Nucleo speciale privacy della Guardia di Finanza per individuare ulteriori dati di contatto utili all’istruttoria. L’Autorità ha quindi inviato una prima richiesta di informazioni ex art. 157 Codice privacy ai recapiti del soggetto individuato quale gestore del sito e, in assenza di risposta, una seconda richiesta indirizzata al medesimo gestore e alla persona indicata come responsabile delle attività di fatturazione e intestazione del sito.

Dai riscontri pervenuti è emerso che la gestione del sito era stata ceduta alla nuova titolare dal 18 gennaio 2021. Quest’ultima ha dichiarato di aver rimosso gli articoli contestati e ha rappresentato che il sito era in fase di ristrutturazione, con imminente pubblicazione dell’informativa privacy e delle sezioni previste dal Regolamento.

Contestazione delle violazioni

Con nota di avvio del procedimento, il Garante ha contestato alla titolare del sito le seguenti violazioni:

• artt. 12, parr. 1, 2 e 3, e 13 GDPR, per l’assenza di una privacy policy sul sito e per il mancato riscontro all’istanza dell’interessato nel termine di trenta giorni;
• artt. 5, par. 2, 24 e 25 GDPR, per non aver adottato misure tecniche e organizzative adeguate a garantire e dimostrare la conformità del trattamento alla normativa.

L’Autorità ha ritenuto che, per effetto della cessione del sito, il soggetto cessionario avesse assunto diritti e obblighi del precedente gestore e che, pertanto, la responsabilità fosse imputabile all’attuale titolare del trattamento.

Valutazioni del Garante

Il titolare non ha presentato memorie difensive né ha chiesto di essere ascoltato. Il Garante ha preso atto della rimozione degli articoli contestati, rilevando tuttavia che tale misura non esauriva gli obblighi informativi del titolare, né suppliva all’obbligo di rispondere alle istanze dell’interessato.

L’Autorità ha sottolineato che la carenza di informativa e di canali di contatto adeguati era emersa già nell’aprile 2023 e risultava ancora presente al momento del reclamo, mentre la regolarizzazione è intervenuta solo dopo l’avvio dell’istruttoria. Ne è derivata una compromissione del principio di trasparenza e del diritto di autodeterminazione dell’interessato, costretto a rivolgersi al Garante per ottenere soddisfazione delle proprie richieste a distanza di quasi due anni.

Il Garante ha quindi confermato la violazione degli artt. 12, parr. 1-3, e 13 GDPR e, in ragione della complessiva negligenza, anche quella degli artt. 5, par. 2, e 24 GDPR, richiamando altresì il principio di privacy by design di cui all’art. 25 GDPR.

Misure adottate e ingiunzioni

Pur prendendo atto della rimozione degli articoli lamentati, il Garante ha ritenuto non necessari ulteriori interventi rispetto ai contenuti editoriali ormai rimossi. Ha però ingiunto alla titolare, ai sensi dell’art. 58, par. 2, lett. d), GDPR, di adottare misure tecniche e organizzative adeguate a:

• facilitare l’esercizio dei diritti degli interessati;
• soddisfare senza ingiustificato ritardo le istanze presentate ai sensi degli artt. 15 e 17 GDPR.

È stato inoltre imposto, ai sensi dell’art. 157 Codice privacy, l’obbligo di comunicare all’Autorità, entro trenta giorni dalla notifica, le iniziative intraprese per dare attuazione alla misura prescritta.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Il Garante ha ritenuto sussistenti i presupposti per l’applicazione della sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i), e 83, par. 5, GDPR. Nel determinare l’importo, ha considerato, tra gli elementi aggravanti:

• la gravità delle violazioni, soprattutto per l’assenza prolungata dell’informativa privacy e di canali di comunicazione dedicati;
• il carattere negligente della condotta.

Tra gli elementi attenuanti, ha valorizzato:

• la natura isolata della condotta, scaturita da un solo reclamo;
• le finalità di esercizio del diritto di cronaca e di libertà di informazione, nel quadro dell’art. 85 GDPR e degli artt. 136 e seguenti del Codice;
• la rimozione degli articoli e l’adozione di misure correttive dopo l’intervento dell’Autorità;
• l’assenza di precedenti procedimenti a carico della titolare;
• la limitata capacità economica della titolare, desunta dal reddito da lavoro dipendente del periodo d’imposta 2024.

All’esito, è stata irrogata la sanzione di euro 2.000,00, ritenuta proporzionata e dissuasiva rispetto al massimo edittale di 20 milioni di euro previsto dall’art. 83, par. 5, GDPR.

Pubblicazione del provvedimento e opposizione

È stata disposta la pubblicazione del provvedimento sul sito del Garante, ai sensi dell’art. 166, comma 7, Codice privacy e dell’art. 16 del regolamento n. 1/2019, nonché l’annotazione nel registro interno dell’Autorità. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria nei termini di legge, ai sensi dell’art. 78 GDPR, dell’art. 152 Codice privacy e dell’art. 10 d.lgs. 150/2011.