VEDI ANCHE Newsletter del 15 aprile 2026

[doc. web n. 10238270]

Provvedimento del 26 marzo 2026

Registro dei provvedimenti
n. 207 del 26 marzo 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, e il dott. Agostino Ghiglia, componenti, e il dott. Luigi Montuori segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il d.lgs. del 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, di seguito “Codice”) come novellato dal d.lgs. del 10 agosto 2018, n. 101 recante “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679”;

VISTA la segnalazione dell’Associazione “Greenpeace Onlus”, presentata in data 19 marzo 2024, con cui si lamentavano alcune violazioni della disciplina normativa in materia di protezione dei dati personali relative al trattamento di informazioni, concernenti alcuni interessati, posto in essere da Eni S.p.A. sul proprio sito web;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1. La segnalazione nei confronti della Società e l’attività istruttoria.

Si fa riferimento alla segnalazione dell’Associazione “Greenpeace Onlus”, presentata a questa Autorità in data 19 marzo 2024, recante in allegato le istanze dei Sig.ri XX, XX, XX, XX, XX, XX, XX, XX, XX, XX, XX e XX, con cui Greenpeace Onlus ha lamentato alcune violazioni della disciplina normativa in materia di protezione dei dati personali relative al trattamento di informazioni che li riguardano posto in essere da Eni S.p.A. (di seguito “la Società”).

Invero, nella predetta istanza veniva contestata –a fronte dell’avvenuta pubblicazione, da parte della Società, “sul proprio sito web di una pagina interamente dedicata alla causa” intentata il 9 maggio 2023 presso il Tribunale civile di Roma dalle “organizzazioni Greenpeace Onlus e ReCommon APS e 12 comuni cittadini (..) nei confronti di Eni S.p.A., il Ministero dell’Economia e delle Finanze e della Cassa Depositi e Prestiti S.p.A.”− la specifica circostanza che “in questa pagina, Eni [avesse] pubblicato [il relativo] atto di citazione integrale senza oscurare affatto i dati” identificativi degli interessati, tra i quali il luogo e la data di nascita, il codice fiscale e l’indirizzo di residenza (cfr. nota del 19 marzo 2024, pag. 1).

In ragione di quanto sollevato dagli istanti, il 30 luglio 2024 è stata avviata un’istruttoria, nei confronti di Eni S.p.A. per il tramite di una richiesta di informazioni.

Tutto ciò, al fine di ottenere utili elementi di valutazione rispetto all’applicazione, in merito alla fattispecie oggetto di segnalazione, della disciplina in materia di protezione dei dati personali, con riguardo, in particolare, alle finalità del predetto trattamento e ai presupposti di legittimità dello stesso.

La Società, con nota pervenuta il 23 settembre 2024, ha fornito riscontro a tale richiesta, dall’esame del quale è emerso quanto di seguito rappresentato:

la pubblicazione dei dati personali oggetto di contestazione è avvenuta in conseguenza dell’avvio da parte degli interessati, nei confronti della Società, di un contenzioso −attualmente pendente innanzi all’Autorità giudiziaria− per presunta violazione dell’Accordo sul clima di Parigi. Trattasi di una causa che si inserisce nel più ampio quadro delle c.d. climate litigation, “ossia di azioni legali che hanno lo scopo di imporre a Stati o aziende il rispetto di determinati standard in materia di riduzione di emissioni ai finì della lotta al cambiamento climatico”. Le stesse −sulla base di quanto asserito da Eni S.p.A.− sarebbero spesso accomunate da una strategia, posta in essere dagli attori coinvolti, che si focalizza, in particolare, sulla potenziale rilevanza di tali azioni da un punto di vista di impatto mediatico e si sostanzia, pertanto, nella pubblicizzazione diffusa dei contenziosi in questione attraverso l’utilizzo di vari mezzi di comunicazione. Tutto ciò, nell’ottica, “da un lato, di suscitare clamore e indignazione nell’opinione pubblica [nonché] di [promuovere] le iniziative delle ONG e delle altre parti attrici e, dall’altro, di demonizzare il ruolo della grande impresa” (ossia, nel caso di specie, Eni S.p.A.) rispetto alla causa di riferimento (denominata, nella fattispecie in esame, dagli stessi promotori “La Giusta Causa”, v., in tal senso, nota della Società del 23 settembre 2024, pagg. 3-4);

in tale prospettiva, “la pubblicazione dei [contestati] documenti processuali” in un’apposita sottosezione del sito da parte di Eni S.p.A., in termini generali, “ha, quindi, lo scopo di difendere la posizione [di quest’ultima nell’ambito di tale campagna mediatica] e di consentire l’esposizione corretta dei fatti”, con l’intento, dunque, di “riequilibrare il messaggio comunicativo nei confronti della società civile e di tutelare ENI da false narrazioni” (cfr. nota della società del 23 settembre 2024, pag. 5);

in particolare, la predetta “pubblicazione (..) ha come finalità la difesa della Società, sia sotto il profilo della propria immagine e reputazione sul mercato e nei confronti dei propri stakeholders, sia quello della tutela dei propri diritti”. La Società “ritiene inoltre che la pubblicazione in oggetto sia (..) idonea a perseguire un interesse legittimo ulteriore e diffuso, coincidente da un lato con l’interesse dell’opinione pubblica e della generalità dei consociati alla corretta, veritiera e trasparente informazione circa l’identità e l’operato delle ONG e degli attivisti/promotori, nonché, dall’altro, all’aggiornamento sull’operato della Autorità Giudiziaria in relazione a un tema di estrema attualità e interesse collettivo quale quello del cambiamento climatico”. Inoltre, tenuto conto che, rispetto al trattamento in esame, non “sussistano rischi per i diritti e le libertà degli interessati, sia per la natura dei dati, sia per il fatto che tali dati, in gran parte, sono stati diffusi dai diretti interessati e sono agevolmente reperibili in Rete o sugli organi di stampa”, ne consegue che “la base giuridica del Trattamento è dunque da rinvenirsi nel legittimo interesse ai sensi dell’art. 6, co. 1, lett. (f) del RGDP” (cfr. nota della Società del 23 settembre 2024, pagg. 6 e 7);

rileva, altresì, la circostanza che gli istanti “non hanno mai indirizzato alcuna richiesta preventiva alla Società, che è quindi venuta a conoscenza della loro volontà di contestare il trattamento in questione soltanto a seguito della richiesta d’informazioni trasmessa [dall’Autorità] in data 30 luglio 2024” (v. nota della Società del 23 settembre 2024, pag. 3). Invero, “con riferimento al trattamento di dati personali oggetto di istanza, gli attori privati non hanno mai esercitato nei confronti di ENI i propri diritti ai sensi della normativa in materia di protezione dei dati personali (ivi incluso, a mero titolo di esempio, il diritto alla cancellazione dei propri dati personali ai sensi dell’articolo 17 RGPD)” (v. nota della Società del 23 settembre 2024, pag. 7).

Da ultimo, Eni S.p.A. ha intesto puntualizzare che, ad ogni modo, “non vi era intenzione, da parte della Società, di effettuare un trattamento specifico dei dati personali dei 12 Attori Privati (i cui nomi, infatti, non compaiono mai nei commenti al Contenzioso che ENI ha pubblicato sul proprio sito)” (v. nota della Società del 23 settembre 2024, pag. 8). La stessa ha fatto inoltre presente che, “a riprova della [Sua] buona fede”, la Società “−non appena (..) è stata resa edotta dell’Istanza− ha provveduto a rendere disponibile sul proprio sito una versione dell’Atto di Citazione dalla quale sono state omesse le informazioni relative agli Attori” (v. nota della Società del 23 settembre 2024, pag. 3).

2. La notifica delle violazioni.

Con la nota del 21 gennaio 2025, l’Autorità, nell’avviare un formale procedimento nei confronti della Società, ha contestato a quest’ultima, ai sensi dell’art. 166, comma 5, del Codice, la violazione dell’art. 5, par. 1, lett. a) e dell’art. 6, par. 1, del Regolamento.

Al riguardo, la Società ha presentato le proprie memorie difensive in data 14 febbraio 2025, chiarendo innanzitutto che:

- la finalità del trattamento oggetto di contestazione è strettamente riconducibile alla esigenza “di tutelare la Società dalla campagna mediatica avviata nei propri confronti”. In tale prospettiva, mettere a disposizione del “pubblico la documentazione del processo” recante “non solo i pareri specialistici nei quali si dava atto della correttezza della sua condotta, ma anche [le] ulteriori informazioni [relative al] contesto processuale in essere” era dunque volto a rendere accessibile, a “coloro che fossero stati raggiunti dalla [predetta] campagna mediatica”, gli strumenti “per approfondire la versione di Eni, [anche] in un’ottica di correttezza e trasparenza dei fatti, [nonché al fine] di difender[e la Società] dalle affermazioni (..) lesive della propria reputazione”. Eni S.p.A. ha quindi ritenuto che tutto ciò “potesse rappresentare un interesse legittimo” (v. nota della Società 14 febbraio 2025, pagg. 2-4 e 5);

- a dimostrazione della buona fede della Società, nel caso in esame, debbano essere prese in considerazione le seguenti circostanze: a) “buona parte dei dati personali [in questione] erano già stati resi pubblici dagli [interessati] attraverso il sito web della ONG Greenpeace”. Inoltre gli stessi hanno “contribuito direttamente alla diffusione delle informazioni a loro riferibili attraverso interviste, rilasciate [su alcune testate giornalistiche]”, aventi ad oggetto il contenzioso in essere nei confronti di Eni S.p.A., nonché mediante la loro partecipazione ad eventi pubblici sul tema; b) “gli istanti non si sono mai rivolti ad Eni per ottenere la rimozione dei propri dati personali dal sito Web, bensì esclusivamente e direttamente a codesta Autorità per mezzo della istanza [di cui in premessa] (..) presentata (..) per [il tramite] di Greenpeace”; c) infine, la Società non appena “è venuta a conoscenza dei rilievi degli interessati ha [immediatamente posto] rimedio provvedendo all’oscuramento di tutti i dati personali [dei 12 attori] pubblicati” sul proprio sito web, ponendo in essere anche al suo interno un’attività di “ulteriore sensibilizzazione finalizzata a prevenire il ripetersi [in futuro] di simili situazioni”  (v. nota della Società 14 febbraio 2025, pagg. 3-4 e 10);

- da tutto ciò ne consegue che “l’asserita violazione fosse assolutamente non voluta nelle sue finalità e [il sotteso trattamento] non fosse in alcun modo teso a ledere i diritti [dei predetti] interessati, ma meramente «incidentale» rispetto alla necessità di tutelare la Società dalla campagna mediatica avviata nei propri confronti” (v. nota della Società 14 febbraio 2025, pag. 4).

Fermo restando quanto sopra, Eni S.p.A., con le citate memorie, ha inoltre inteso puntualizzare quanto segue:

- la natura delle informazioni oggetto di contestazione, nel caso di specie, “può essere definita come «comune»”. Inoltre, la loro avvenuta pubblicazione da un parte ha riguardato un numero esiguo di interessati (12 in tutto), limitandosi “ad un paio di record per ciascuno” e dall’altra si riferisce ad informazioni che “in larga parte erano già state rese disponibili [da quest’ultimi]” in quanto rese note anche da “Greenpeace sul proprio sito web mediante la pubblicazione degli atti del processo” ed avendo gli stessi in vari contesti pubblici manifestato la loro adesione alla causa (v. nota della Società 14 febbraio 2025, pagg. 6-7 e 9);

- l’ambito di diffusione del trattamento “ha una portata minima dato che l’atto di citazione de quo, infatti, era raggiungibile solo su una pagina interna del sito web della Società, verosimilmente attraverso una specifica ricerca rintracciabile, quindi, solo ed esclusivamente da coloro che fossero effettivamente interessati ad approfondire l’argomento. Tale sezione, infatti, non era neanche direttamente raggiungibile dalla pagina web principale (..) e non era stata fatta apposita campagna mediatica o social per evidenziarla”. Nella sezione dedicata al contenzioso, peraltro, −in cui sono riportate le ricostruzioni e considerazioni generali della Società al riguardo− “non compare alcun riferimento all’identità e ai dati personali degli interessati, i quali vengono definiti semplicemente «alcuni attori privati»” (v. nota della Società 14 febbraio 2025, pagg. 6 e 9);

- in ordine alla durata della violazione, la stessa “è stata estremamente limitata nel tempo e la Società si è immediatamente attivata per porvi rimedio”, coinvolgendo il proprio Responsabile per la protezione dei dati personali e provvedendo tempestivamente alla rimozione dei dati personali riferibili agli interessati dal proprio sito web una volta venuta a conoscenza della segnalazione presentata; ciò “indipendentemente dalla definizione [di quest’ultima] da parte del Garante o da un esercizio dei diritti degli interessati stessi” (v. nota della Società 14 febbraio 2025, pagg. 7-8).

- per quanto attiene al profilo inerente all’elemento soggettivo della condotta tenuta da Eni S.p.A., “la violazione contestata ha assolutamente carattere colposo. Infatti, Eni non aveva intenzione di effettuare un trattamento specifico dei 12 interessati” (v. nota della Società 14 febbraio 2025, pagg. 7-8).

Da ultimo, la Società ha rappresentato che Eni S.p.a. “è estremamente attenta alle tematiche relative alla protezione dei dati personali” e si è, infatti, “dotata di un articolato framework data protection che comprende policy e procedure interne volte a garantire il rispetto dei principi in materia, da parte dei propri dipendenti” (v. nota della Società 14 febbraio 2025, pagg. 8-9).

3. Le valutazioni dell’Autorità e l’esito del procedimento.

In primis, si rappresenta che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

Fermo restando quanto sopra, si rileva che, all’esito dell’esame della documentazione agli atti e delle dichiarazioni rese dal titolare nel corso del procedimento, è emerso che Eni S.p.A. ha posto in essere un illecito trattamento dei dati personali degli interessati menzionati in premessa.

Tutto ciò, in quanto il suddetto trattamento è stato effettuato in contrasto con i principi generali di liceità di cui all’art. 5, par. 1, lett. a) del Regolamento, nonché all’art. 6, par. 1 del Regolamento.

La condotta illecita nel caso di specie è riferita alla diffusione online dei dati personali degli interessati contenuti nel menzionato atto di citazione; tutto ciò in ragione dell’avvenuta pubblicazione in forma integrale di copia dello stesso ad opera della Società sul proprio sito web, in una specifica sezione dedicata alla causa in questione.

Al riguardo, si rammenta, innanzitutto, che le informazioni ivi riportate recavano il nominativo, così come la data e il luogo di nascita, il codice fiscale e l’indirizzo di residenza degli interessati coinvolti nella vicenda oggetto di segnalazione. Trattasi di informazioni che costituiscono a tutti gli effetti dati personali degli stessi (cfr. art. 4, n. 1 del Regolamento) e che sono state dunque oggetto di diffusione da parte del titolare per il tramite della pubblicazione del succitato atto di citazione (art. 4, n. 2 del Regolamento).

In via preliminare, per quanto concerne la circostanza, più volte sollevata dalla Società, che l’identità degli interessati e il loro sostegno alla causa fossero elementi che già erano stati resi noti a suo tempo dagli stessi in vari contesti pubblici (v. supra par. 2), si rappresenta, seppur in termini generali, che “il fatto che i dati personali siano stati resi manifestamente pubblici non significa automaticamente che possano essere trattati ai sensi dell’articolo 6, paragrafo 1, lettera f), RGPD” (pur costituendo tale aspetto “un fattore da prendere in considerazione quando si esegue il test di bilanciamento”; sul punto v. infra e cfr. Comitato per la protezione dei dati personali, di seguito “EDPB”,  le Linee Guida n. 1/2024 sul trattamento dei dati personali basato su Articolo 6, paragrafo 1, lettera f), RGPD, adottate l’8 ottobre 2024, par. 43).

Fermo restando quanto sopra, ciò che rileva, nel caso di specie, è che il trattamento posto in essere da Eni S.p.A. −per il tramite della contestata pubblicazione online− abbia avuto ad oggetto una pluralità di informazioni personali riconducibili a tutti i 12 attori interessati, tra le quali sono ricompresi, oltre i loro nominativi, anche la data e il luogo di nascita, il codice fiscale e l’indirizzo di residenza degli stessi.

E sul punto, merita evidenziare, tra l’altro, che sebbene “nel mese di ottobre 2023 i 12 attori abbiano dato il loro consenso affinché [il predetto atto di citazione] fosse pubblicato sui siti web delle due organizzazioni Greenpeace Onlus e ReCommon APS”, tale consenso è stato comunque condizionato dalla misura “dell'oscuramento [dei] dati personali dei sottoscritti attori, [quali] il luogo e data di nascita, il codice fiscale e l’indirizzo di residenza” (cfr., in tal senso, quanto riportato nella segnalazione di Greenpeace Onlus del 19 marzo 2024, pag. 1).

Tanto doverosamente premesso, si fa presente che un trattamento di dati personali, deve essere svolto dal titolare in conformità con il Capo II del Regolamento, che impone il rispetto, tra l’altro, dei principi previsti all’art. 5, par. 1, del Regolamento e dei presupposti di liceità di cui all’art. 6, par. 1 del Regolamento.

Più in generale, al titolare compete l’onere di svolgere, all’atto di porre in essere un’operazione di trattamento di informazioni personali −quale ad esempio la pubblicazione di documenti contenenti dati riguardanti un interessato− un’approfondita analisi dei principi e dei presupposti di legittimità sottesi allo stesso (artt. 5 e 6 del Regolamento); ciò al fine di assicurare l’osservanza del Regolamento.

Come noto, infatti, il trattamento dei dati personali deve avvenire nel rispetto dei principi indicati nell’art. 5 del Regolamento, fra cui quello di “liceità, correttezza e trasparenza”, ai sensi del quale i dati personali devono essere “trattati in modo lecito, corretto e trasparente nei confronti dell’interessato”.

Inoltre, affinché sia lecito il trattamento deve sempre trovare fondamento in un’idonea base giuridica, individuata, per i dati c.d. comuni, ai sensi dell’art. 6 del Regolamento, sul consenso dell'interessato “o su altra base legittima prevista per legge dal presente regolamento o dal diritto dell'Unione o degli Stati membri” (cfr. anche Cons. 40 del Regolamento).

Tra queste, è ricompresa l’ipotesi in cui “il trattamento [sia] necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali” (art. 6, par. 1, lett. f) del Regolamento).

Rispetto alla fattispecie in esame, è dunque emersa l’illiceità, ai sensi dell’art. 5, par. 1, lett. a) e dell’art. 6 del Regolamento, del trattamento posto in essere da Eni S.p.A. mediante la pubblicazione del predetto atto di citazione in forma integrale sul proprio sito web; ciò in quanto la stessa ha comportato, in assenza di idonea base giuridica, la diffusione delle informazioni personali relative ai suoi sottoscrittori.

In merito, infatti, non può essere accolto quanto sostenuto dalla Società, in ordine all’applicabilità al caso di specie del presupposto di liceità di cui all’art. 6, par. 1, lett. f) del Regolamento; presupposto riconducibile all’interesse legittimo di Eni S.p.A. di difendere la propria posizione nell’ambito della campagna mediatica connessa alla causa in questione, e in quello ulteriore −anche in capo “all’opinione pubblica e alla generalità dei consociati”− ad una “una corretta, (..) e trasparente informazione [sui fatti anche processuali] in relazione a un tema di estrema attualità e interesse collettivo quale quello del cambiamento climatico” (v. supra paragrafi 1 e 2).

Come noto, invero, al fine di determinare se un trattamento di dati personali possa essere basato sull'articolo 6, paragrafo 1, lettera f), del Regolamento, il titolare deve effettuare una attenta e complessa attività di valutazione giuridica nell’ottica di verificare che tutte le condizioni ivi individuate dal legislatore siano soddisfatte.

In tale contesto, la predetta valutazione deve essere volta, tra l’altro, ad accertare la sussistenza della necessità, in capo al titolare, di trattare i dati personali ai fini degli interessi legittimi perseguiti.

Quest’ultimo, infatti, può avvalersi della base giuridica in esame “solo se ha (..) valutato e concluso che il trattamento previsto è strettamente necessario per perseguire tale interesse legittimo e che gli interessi o i diritti e le libertà fondamentali della persona o delle persone interessate dal trattamento dei dati non prevalgono” sul predetto interesse (cfr. in tal senso EDPB, Linee Guida n.1/2024, cit., par. 13).

In particolare, la valutazione di ciò che è «necessario» comporta la verifica se, nella pratica, gli interessi legittimi portati avanti non possano essere ragionevolmente conseguiti, in modo parimenti efficace, con altri mezzi meno restrittivi dei diritti e delle libertà fondamentali degli interessati. 
Ne consegue che, qualora “esistano alternative ragionevoli, altrettanto efficaci, ma meno intrusive, il trattamento non può essere considerato «necessario»” e, pertanto, quest’ultimo non può essere basato sull'articolo 6, paragrafo 1, lettera f), Regolamento (Così EDPB, Linee Guida n. 1/2024, cit. par. 29).

Invero, la stessa Corte di Giustizia dell’Unione Europea (di seguito “CGUE”) ha, in più occasioni, sottolineato che “un trattamento dovrebbe essere effettuato «solo nella misura strettamente necessaria» ai fini dell'interesse legittimo individuato” (v. in tal senso, CGUE, sentenza del 7 dicembre 2023, cause riunite C-26/22 e C-64/22, SCHUFA Holding (Libération de reliquat de dette), punto 88; CGUE, sentenza del 4 luglio 2023, causa C-252/21, Meta/Bundeskartellamt, punto 126) ed ha al contempo espressamente ribadito “che la condizione relativa alla necessità del trattamento deve essere esaminata in combinato disposto con il principio della minimizzazione dei dati sancito dall'articolo 5, paragrafo 1, lettera c), GDPR, in base al quale i dati personali devono essere «adeguati, pertinenti e limitati a quanto necessario in relazione alle finalità per le quali sono trattati»” (cfr., sul punto, EDPB, Linee Guida n. 1/2024, cit., par. 29 e la giurisprudenza ivi richiamata, ossia CGUE, causa C-252/21, Meta/Bundeskartellamt, cit., punto 109; CGUE, sentenza dell'11 dicembre 2019, causa C‐708/18, Asociaţia de Proprietari bloc M5A-ScaraA, punto 48; CGUE, sentenza del 4 ottobre 2024, causa C-621/22, Koninklijke Nederlandse Lawn Tennisbond, punti 42-43 e 51-52).

Dall’esame della documentazione in atti e degli elementi acquisiti nell’ambito dell’istruttoria, è emerso chiaramente come una corretta analisi, da parte Eni S.p.A., −rispetto al perseguimento dell’interesse che ha asserito di aver posto alla base della diffusione effettuata, sul proprio sito web, dei dati degli interessati− avrebbe dovuto condurre, qualora svolta nei termini sopra esplicitati dal titolare, alla non configurabilità della condizione di necessità del trattamento, oggetto di contestazione.

A riprova di quanto sopra rappresentato, si rileva, infatti, che la stessa Eni S.p.A., nel corso del procedimento, ha puntualizzato come l’avvenuta pubblicazione dell’atto di citazione in forma integrale fosse stata “meramente «incidentale» rispetto alla necessità di tutelare la Società dalla campagna mediatica avviata nei propri confronti” e che “non vi era intenzione, da parte della Società, di effettuare un trattamento specifico dei dati personali dei 12 Attori Privati” (cfr. supra par. 2).

Nella sezione del sito web dedicata alla causa −in cui sono riportate le ricostruzioni e considerazioni della Società in merito al contenzioso in essere− d’altronde, “non compare alcun riferimento all’identità e [agli ulteriori] dati personali degli interessati, i quali vengono definiti semplicemente «alcuni attori privati»” (v. supra paragrafi 1 e 2).

Tutto ciò, proprio perché non sussiste, di fatto, la necessità, da parte della Società, di trattare le informazioni in esame, ben potendo Eni S.p.A., attraverso l’adozione di altre modalità volte a ridurre al minimo l’utilizzazione delle stesse −quale quella consistente, nel caso di specie, nel previo oscuramento dei dati personali relativi agli attori−, soddisfare comunque l’esigenza di difendere la propria posizione, nonché quella più ampia volta ad offrire, anche nell’interesse dell’opinione pubblica, un quadro completo e trasparente dei fatti inerenti all’iter processuale concernente il contenzioso in questione, così da non compromettere i diritti e le libertà fondamentali degli interessati (cfr., in tal senso. anche Provvedimento del Garante del 26 settembre 2024, doc. web n. 10071261).

A ciò si aggiunga che, oltre alla condizione di necessità del trattamento −che, nel caso in esame, per le ragioni sopra esplicitate, non appare dunque dimostrata dalla documentazione in atti−, è altresì, necessario considerare le valutazioni che avrebbe dovuto porre in essere il titolare, nell’ambito del c.d. test comparativo che, come previsto dall’articolo 6, paragrafo 1, lettera f), del Regolamento, quest’ultimo è tenuto a svolgere.

Invero, un'adeguata “ponderazione di interessi e diritti contrapposti” (vale a dire quelli del titolare del trattamento, da un lato, e quelli dell’interessato, dall’altro) in cui si sostanzia il predetto test, dipende dalle circostanze del caso di specie e “richiede [sempre] la piena considerazione di una serie di fattori”, tra i quali sono ricompresi “l’impatto del trattamento sull’interessato” (da valutarsi anche in rapporto alla natura dei dati da trattare e al loro grado di accessibilità e alle conseguenze che il trattamento può avere), nonché “le sue ragionevoli aspettative in merito al trattamento” da porre in essere (così EDPB, Linee Guida n. 1/2024, cit., pag. 2 e paragrafi 31-60; in tal senso, cfr., in particolare, CGUE, causa C-252/21, Meta c. Bundeskartellamt, punti 108 e 116).

In ogni caso, quindi, l'esistenza di un interesse legittimo comporta “un'attenta valutazione [da parte del titolare], compresa la possibilità che l'interessato possa ragionevolmente aspettarsi al momento e nel contesto della raccolta dei dati personali che il trattamento a tal fine possa aver luogo” (cfr. EDPB, Linee Guida n. 1/2024, cit., par. 50-54 e anche Cons. 47 del Regolamento).

Ne consegue che tali «ragionevoli» aspettative svolgono “un ruolo importante nel [succitato] test comparativo”, in quanto volte a “limitare i rischi che gli interessati siano indebitamente sorpresi del trattamento o dalle sue conseguenze o implicazioni” (v. EDPB, Linee Guida n. 1/2024, cit., pag. 2 e par. 52).

Tali fattori non appaiono, invece, essere stati presi in considerazione da Eni S.p.A. nella fattispecie in esame, in particolare con riguardo, quantomeno, alle informazioni ulteriori e diverse rispetto a quelle (alias il loro nominativi) già rese accessibili a suo tempo dagli stessi interessati in vari altri contesti.

Si tratta, nello specifico, dei dati relativi al “luogo e (..) data di nascita, al codice fiscale e all’indirizzo di residenza”; anch’essi, come noto, contenuti nell’atto di citazione in questione.

Ciò, in considerazione del fatto che gli istanti non potevano ragionevolmente attendersi, sulla base del contesto in cui tali informazioni erano state raccolte e delle circostanze specifiche del caso, che le stesse sarebbero state oggetto di un ulteriore trattamento da parte di Eni S.p.A. attraverso la loro pubblicazione sul sito web della Società e per il perseguimento delle descritte finalità.

Trattasi inoltre di dati personali −quelli sopra specificamente indicati− la cui diffusione, stante la loro natura strettamente riservata (ad esempio, l’indirizzo di residenza) e la loro significativa funzione identificativa (come nel caso del codice fiscale, nonché dell’indicazione del luogo e della data di nascita), può avere delle conseguenze negative sui diritti e le libertà delle persone.

La libera accessibilità di tali informazioni, tramite Internet, ad un numero potenzialmente illimitato di soggetti, espone, infatti, gli interessati a possibili rischi per la propria sfera privata sia in termini di sicurezza e tranquillità personale degli stessi, sia in termini di eventuale illecito utilizzo di tali dati anagrafici da parte di terzi (in merito alla natura particolarmente delicata di tali informazioni e ai rischi derivanti dalla loro diffusione, v. EDPB, Linee Guida 1/2024, par. 41; ma, anche, rispetto all’indirizzo di residenza, Provvedimento del Garante del 9 ottobre 2025, doc. web n. 10192784; nonché, con riguardo al codice fiscale, le Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati, adottate dal Garante il 15 maggio 2014, doc. web n. n. 3134436)).

Da tutto ciò, ne consegue che Eni S.p.a. non ha effettuato, nel caso di specie, una effettiva e compiuta ponderazione dei contrapposti interessi in gioco, non avendo tenuto in debito conto le legittime aspettative degli interessati, così come l’impatto che il trattamento in questione avrebbe potuto avere su quest’ultimi.

Per tutte le motivazioni sopra espresse, la base giuridica del legittimo interesse non può trovare applicazione nella fattispecie in esame, non risultando soddisfatte le condizioni, prescritte dall’art. 6, par.1, lett. f) del Regolamento, come richiamate anche dalla stessa CGUE. Quest’ultima ha, infatti, chiarito che “detta disposizione prevede tre condizioni cumulative affinché i trattamenti di dati personali da essa considerati siano leciti, vale a dire, in primo luogo, il perseguimento di un legittimo interesse del titolare del trattamento o di terzi, in secondo luogo, la necessità del trattamento dei dati personali per la realizzazione del legittimo interesse perseguito e, in terzo luogo, la condizione che gli interessi o i diritti e le libertà fondamentali dell’interessato dalla tutela dei dati non prevalgano sul legittimo interesse del responsabile del trattamento o di terzi” (cfr. CGUE, causa C-252/21, Meta c. Bundeskartellamt, punto106).

Pertanto, stante l’inapplicabilità, all’ipotesi in esame, del presupposto di legittimità di cui sopra, e non rinvenendo altra condizione di liceità idonea a giustificare, nel caso di specie, la diffusione dei dati online posta in essere dalla Società, il trattamento dei dati degli interessati indicati in premessa è stato effettuato da Eni S.p.A. in violazione dell’art. 6, par. 1 del Regolamento e in contrasto con i richiamati i principi generali di liceità di cui all’art. 5, par. 1, lett. a) del Regolamento.

4. Conclusioni: dichiarazione di illiceità del trattamento.

Alla luce di quanto rilevato, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento e che non siano pertanto idonei a disporre l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato da Eni S.p.A. risulta infatti illecito, nei termini su esposti, con riferimento alla violazione dell’art. 5, par. 1, lett. a), e dell’art. 6, par. 1, del Regolamento.

Inoltre, preso atto della circostanza che la Società ha provveduto nel corso del procedimento ad interrompere ogni attività di trattamento dei dati degli interessati sul proprio sito web, si ritiene che non ricorrano, allo stato degli atti, i presupposti per l’adozione di ulteriori misure correttive di cui all’art. 58, par. 2 del Regolamento.

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Eni S.p.A., di cui è stata accertata l’illiceità, nei termini esposti.

La violazione delle disposizioni sopra richiamate comporta l’applicazione della sanzione amministrativa prevista dall’art. 83, par. 5, lett. a), del Regolamento.

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente Regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5 del Regolamento.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini dell’applicazione della sanzione amministrativa pecuniaria e della relativa quantificazione, tenuto conto che la sanzione deve essere “in ogni singolo caso effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nell’ipotesi in esame, sono state tenute in considerazione le circostanze sotto riportate:

- ai sensi dell’83, par. 2, lettere a) e g) del Regolamento, la natura della violazione considerato che la pubblicazione dell’atto di citazione in questione ha comportato la diffusione online di dati personali degli attori, in assenza dì un valido presupposto di legittimità, la sua durata (avendo la diffusione avuto luogo in un arco di tempo moderato in quanto verosimilmente non superiore a 6 mesi), il numero di interessati coinvolti (12 in tutto), nonché la tipologia delle informazioni oggetto di violazione, che, sebbene non annoverabili nell’ambito di dati appartenenti alle categorie particolari di cui all’art. 9 del Regolamento, hanno una particolare natura privata come evidenziato al par. 3 della presente decisione (cfr. art. 83, par. 2, lett. g), del Regolamento). In favore del trasgressore, si tiene conto del fatto che, quantomeno i nominativi degli attori sono stati condivisi sui siti web delle due organizzazioni Greenpeace Onlus e ReCommon APS e che larga parte delle identità degli interessati erano state rese note dagli stessi nell’ambito delle varie iniziative assunte da quest’ultimi in vari contesti pubblici, con riferimento alla causa di cui all’atto di citazione oggetto di contestazione;

- la natura colposa della violazione e il moderato grado di responsabilità del titolare (art. 83, par. 2, lettere b) e d) del Regolamento), preso atto in primis che −come significato nelle dichiarazioni acquisite nel corso dell’istruttoria−  la violazione è stata “incidentale” in quanto non vi era una effettiva volontà da parte di Eni S.p.A. di porre in essere uno specifico trattamento dei dati contenuti nell’atto di citazione oggetto di pubblicazione, quanto piuttosto quella di mettere a disposizione del pubblico le informazioni inerenti all’iter processuale in essere, affinché chi fosse stato raggiunto dalla campagna mediatica inerente alla c.d. “Giusta Causa” avesse gli strumenti a disposizione per approfondire anche la posizione della Società e avere un quadro completo dei fatti. Rilevano, inoltre, le modalità con cui è stata posta in essere tale pubblicazione, tenuto conto che la sezione del sito web −in cui sono riportate le ricostruzioni e considerazioni della Società in ordine al contenzioso in questione− non contiene alcun riferimento all’identità e agli altri dati personali degli interessati e che il predetto atto di citazione, recante invece i dati degli istanti, “era raggiungibile solo su una pagina interna dello stesso, verosimilmente attraverso una specifica ricerca rintracciabile” (v. nota della Società 14 febbraio 2025, pagg. 6 e 9);

- le summenzionate azioni, spontaneamente avviate dalla Eni S.p.A. prima della notifica di violazione, per conformare il trattamento al Regolamento e riparare al danno subito dagli interessati, avendo quest’ultima posto tempestivamente e proattivamente rimedio alla violazione sollevata una volta avuto contezza della stessa a seguito della trasmissione da parte dell’Autorità della segnalazione di cui in premessa (cfr. art. 83, par. 2, lett. c) del Regolamento);

- la circostanza che la Società abbia cooperato con l’Autorità nel corso del procedimento (art. 83, par. 2, lett. f) del Regolamento) e l'assenza di precedenti violazioni pertinenti a carico della stessa (art. 83, par. 2, lett. e) del Regolamento).

Da ultimo, si è tenuto conto altresì a favore del trasgressore (art. 83, par. 2, lett. k) del Regolamento), delle iniziative che la Società ha dichiarato di aver intrapreso, in particolare quelle di sensibilizzazione del personale, volte a prevenire il ripetersi di situazioni analoghe a quella oggetto di contestazione (cfr. al riguardo, nota del 14 febbraio 2025, pag. 10).  

Si rileva, inoltre, che assumano rilevanza, nell’ipotesi di specie, in ragione dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), le condizioni economiche del contravventore, determinate in base al volume d’affari della Società, di cui al bilancio d’esercizio per l’anno 2024 (ultimo disponibile).

Alla luce degli elementi sopra indicati e delle valutazioni effettuate nel caso di specie, si applica nei confronti di Eni S.p.A. la sanzione amministrativa del pagamento di una somma pari ad euro 96.000,00 (novantaseimila,00).

Si ritiene, altresì, che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere, nel caso di specie, alla pubblicazione del presente capo contenente l'ordinanza ingiunzione sul sito Internet del Garante. Ciò in considerazione del fatto che, come sopra evidenziato, la pubblicazione ha comportato la diffusione online di dati personali identificativi degli interessati in assenza di una condizione di liceità.

Si rileva, infine, che ricorrono i presupposti di cui all’art. 17 del Regolamento del Garante n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) del Regolamento dichiara l’illiceità del trattamento effettuato da Eni S.p.A. con sede in Roma (RM) p. iva n. 00905811006, nei termini di cui in motivazione, per la violazione dell’art. 5, par. 1, lett. a) e dell’art. 6, par. 1, del Regolamento;

ORDINA

a Eni S.p.A., ai sensi dell’art. 58, par. 2, lett. i) del RGPD, di pagare la somma di euro 96.000,00 (novantaseimila,00), a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento.

INGIUNGE

ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, alla medesima Società, di pagare la somma di euro 96.000,00 (novantaseimila,00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento, secondo le modalità illustrate in allegato, entro trenta giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall'art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8 del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata entro il termine di cui all'art. 10, comma 3, del d. lgs. n. 150 del 1° settembre 2011 previsto per la proposizione del ricorso come sotto indicato;

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del garante n. 1/2019, la pubblicazione del presente provvedimento sul sito Internet del Garante;

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento (UE) 2016/679, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 marzo 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori