Ordinanza ingiunzione o revoca n. 638 del 23/10/2025

Multimedia News Società Cooperativa: mancata trasparenza, omesso riscontro ai diritti e sanzione pecuniaria

Il Garante per la protezione dei dati personali ha dichiarato illecito il trattamento effettuato da Multimedia News Società Cooperativa, editrice della testata on-line "Lombardianews", in relazione alla gestione di una vicenda giornalistica collegata a un soggetto interessato e alla successiva mancata cura degli adempimenti privacy sul sito. Il procedimento è nato da un reclamo dell’interessato, che chiedeva la rimozione/deindicizzazione di un articolo e lamentava l’assenza di risposte alle proprie istanze e di adeguate informazioni privacy sul sito della testata.

Origine del reclamo e oggetto della contestazione

L’interessato ha segnalato la pubblicazione di un articolo riferito a una vicenda giudiziaria nella quale era stato coinvolto. Secondo quanto riportato, la Corte d’Appello aveva riformato in parte la decisione di primo grado, e il ricorso per Cassazione era stato dichiarato inammissibile, con conseguente definitività della sentenza di secondo grado. Il reclamante ha chiesto:

• la rimozione dei dati personali dall’articolo;
• la deindicizzazione del contenuto, reperibile online in associazione al suo nominativo;
• un intervento sul mancato riscontro alla propria richiesta di esercizio dei diritti del 7 agosto 2024.

Ha inoltre denunciato che il sito non rendeva disponibili né un’informativa privacy né recapiti dedicati alle istanze degli interessati.

Attività istruttoria del Garante

Con nota del 13 maggio 2025, l’Autorità ha chiesto alla Società osservazioni sul reclamo e chiarimenti sulla presenza sul sito di un’informativa privacy e di recapiti per l’esercizio dei diritti ex artt. 15-22 GDPR. La richiesta, inviata via PEC, è rimasta senza riscontro.

Successivamente, con atto di avvio del procedimento del 18 giugno 2025, il Garante ha contestato:

• la violazione dell’art. 157 del Codice privacy per omesso riscontro all’Autorità;
• la violazione dell’art. 12, parr. 1, 2 e 3, GDPR per mancanza di informativa/privacy policy sul sito e per mancato riscontro all’istanza dell’interessato entro il termine di 30 giorni.

Valutazioni sulla deindicizzazione e sulla sanatoria della lacuna informativa

Nel corso del procedimento, la Società ha affermato di avere già provveduto alla cancellazione/deindicizzazione della notizia lamentata, senza darne comunicazione per mera dimenticanza. Ha inoltre riconosciuto l’assenza sul sito di un’informativa privacy e di ulteriori informazioni obbligatorie, attribuendo tali carenze a processi riorganizzativi interni e dichiarando l’intenzione di porvi rimedio.

Il Garante ha preso atto dell’avvenuta deindicizzazione dell’articolo e della successiva pubblicazione dell’informativa privacy sul sito, ma ha osservato che la carenza informativa era perdurata ben oltre il momento del reclamo, essendo emersa già nell’agosto 2024 e risultando ancora presente al momento dell’istruttoria. La successiva regolarizzazione non ha quindi escluso la responsabilità per il periodo pregresso.

Violazioni accertate

L’Autorità ha ritenuto integrati i seguenti illeciti:

• art. 12, par. 1, GDPR: assenza di un’informativa/privacy policy accessibile, con conseguente compromissione del principio di trasparenza;
• art. 12, parr. 2 e 3, GDPR: mancato riscontro all’istanza dell’interessato e mancata agevolazione dell’esercizio dei diritti, con risposta resa solo dopo l’intervento dell’Autorità e dell’accertamento ispettivo;
• art. 157 Codice privacy: mancata collaborazione con il Garante, che ha reso necessario l’intervento della Guardia di Finanza per completare l’istruttoria.

Il Garante ha valorizzato il fatto che la sola richiesta gestita dalla Società, pur non evasa, fosse quella dell’Autorità e non quella del reclamante, la quale non risultava in alcun modo trattata.

Misure correttive e ingiunzioni

Pur prendendo atto della deindicizzazione e della sanatoria del sito, il Garante ha disposto, ai sensi dell’art. 58, par. 2, lett. d), GDPR, che la Società adotti misure tecniche e organizzative adeguate per:

• facilitare l’esercizio dei diritti degli interessati;
• soddisfare senza ingiustificato ritardo le istanze relative ai diritti di cui agli artt. 15 e 17 GDPR.

È stato inoltre ingiunto al titolare di comunicare all’Autorità, entro 30 giorni dalla notifica, le iniziative adottate per dare attuazione alla misura.

Sanzione amministrativa pecuniaria e criteri di quantificazione

Per le violazioni contestate, il Garante ha applicato una sanzione amministrativa pecuniaria di 20.000 euro, richiamando l’art. 83, par. 5, GDPR e i criteri di cui al par. 2, nonché i principi di effettività, proporzionalità e dissuasività.

Tra le aggravanti sono stati considerati:

• la gravità delle violazioni e la reiterazione delle condotte omissive;
• la prolungata assenza di informativa e di canali di contatto;
• la natura negligente della condotta;
• il basso livello di cooperazione con l’Autorità.

Tra gli elementi attenuanti sono stati considerati:

• il carattere isolato del caso, scaturito da un solo reclamo;
• l’adozione di misure correttive dopo gli accertamenti;
• l’assenza di precedenti procedimenti a carico del titolare.

Il Garante ha inoltre disposto la pubblicazione del provvedimento sul sito dell’Autorità e l’annotazione nel registro interno delle violazioni.