[doc. web n. 10297334]

Provvedimento del 6 agosto 2026

Registro dei provvedimenti
n. 605 del 6 agosto 2026 

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), (di seguito “Codice”);

VISTO il Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante per la protezione dei dati personali, approvato con deliberazione n. 98 del 4 aprile 2019, pubblicato in G.U. n. 106 dell’8 maggio 2019 e in www.gpdp.it, doc. web n. 9107633 (di seguito “regolamento n. 1/2019”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000 sull’organizzazione e il funzionamento dell’ufficio del Garante per la protezione dei dati personali, adottato con deliberazione del 28 giugno 2000 (doc. web n. 1098801);

RELATORE il prof. Pasquale Stanzione;

1. FATTO E SVOLGIMENTO DELL’ISTRUTTORIA

1.1. Origine dell’istruttoria preliminare

Con il reclamo pervenuto a questa Autorità in data 21 ottobre 2025, la signora XX (di seguito “reclamante” o “interessata”) ha lamentato la permanente indicizzazione sul motore di ricerca Google, in associazione al proprio nominativo, di un articolo pubblicato dalla testata giornalistica on-line “Il Dispaccio” (https://ildispaccio.it/). Tale articolo - rinvenibile all’URL https://... - fa riferimento a una vicenda giudiziaria nella quale la reclamante è rimasta coinvolta nel 2023, venendo poi “assolta con formula piena (per non aver commesso il fatto), con sentenza n. XX del 14 maggio 2024 […] emessa dal Tribunale di XX”. 

In particolare, nella ricostruzione offerta, l’articolo in esame collegava l’interessata a fattispecie criminose (associazione mafiosa, riciclaggio, truffa) rispetto alle quali la stessa è risultata del tutto estranea, essendo stata indagata in relazione alla sola ipotesi di reato di intestazione fittizia di un’autovettura, bene che è poi risultato essere di sua legittima proprietà. Ne consegue che la persistente indicizzazione della notizia riportata nell’articolo oggetto di doglianza, in assenza di qualsiasi aggiornamento circa il favorevole esito del procedimento penale e il definitivo accertamento dell’estraneità della reclamante ai fatti contestati, appare lesiva della reputazione personale e professionale della stessa. 

L’interessata, nel sottolineare “l’estrema difficoltà nel reperire i contatti” utili ai fini dell’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali, ha altresì rappresentato di aver più volte formulato invano una richiesta di deindicizzazione scrivendo agli indirizzi e-mail XX e XX (nelle date del 4 e 18 settembre, 20 ottobre 2025), senza tuttavia ricevere riscontro. 

Pertanto, con l’atto introduttivo del procedimento, la reclamante ha chiesto a questa Autorità di ricevere soddisfazione rispetto a quanto testé rappresentato. 

1.2. Attività svolta

Con la nota del 22 gennaio 2026 (rif. prot. n. 8895/26), è stato chiesto all’Associazione Culturale “Quadrante Sud” (di seguito “titolare” o “Associazione”) - individuata quale soggetto cui è riconducibile il trattamento dei dati personali effettuato mediante il sito internet in esame, come desumibile dalle informazioni riportate nel relativo footer - di fornire osservazioni, ai sensi dell’art. 157 del Codice, riguardo a quanto rappresentato nel reclamo, nonché di comunicare l’eventuale intenzione di aderire alle istanze di deindicizzazione avanzate dell’interessata. Con l’occasione, è stato, altresì, chiesto al titolare di esplicitare le motivazioni alla base del mancato riscontro alle istanze della reclamante. 

La richiesta dell’Ufficio è stata inviata tramite raccomandata A/R all’indirizzo fisico indicato in calce al sito internet in argomento e risulta essere stata regolarmente consegnata in data 5 febbraio 2026, come comprovato dalla relativa ricevuta di avvenuta consegna acquisita agli atti del fascicolo.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI E DIFESE DELLA PARTE 

2.1. Avvio del procedimento (art. 166, comma 5, del Codice)

In base agli elementi acquisiti nel corso delle attività sopra descritte, e in considerazione della documentazione prodotta unitamente all’atto di reclamo, in alcun modo contestata dall’Associazione, con nota del 29 maggio 2026 (prot. n. 83212/26), l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti del titolare del trattamento, invitando lo stesso a produrre al Garante scritti difensivi o documenti, ovvero a chiedere di essere sentito dall’Autorità (art. 166, commi 6 e 7, del Codice, nonché art. 18, comma 1, della l. 24 novembre 1981, n. 689).

Con il citato atto di avvio del procedimento, notificato in data 22 giugno 2026 mediante Nucleo speciale privacy della Guardia di Finanza, sono state contestate le presunte violazioni delle seguenti disposizioni del Codice e del Regolamento: 

1. art. 157 del Codice per il mancato riscontro alla richiesta di informazioni dell’Autorità del 22 gennaio 2026, consegnata a mezzo raccomandata A/R il successivo 5 febbraio 2026;  

2. art. 12, parr. 2 e 3, del Regolamento per non aver fornito riscontro alle istanze avanzate dalla reclamante nelle date del 4 e 18 settembre 2025 nel previsto termine di 30 giorni dalla relativa ricezione; non può, invece, ritenersi integrata la violazione della medesima disposizione con riferimento alla richiesta di deindicizzazione del 20 ottobre 2025, in quanto, al momento della presentazione del reclamo all’Autorità (21 ottobre 2025), il predetto termine di 30 giorni previsto per il riscontro del titolare non risultava ancora decorso; 

3. artt. 5, par. 1, lett. a), 12, par. 1 e 13 del Regolamento per l’assenza di una privacy policy nel sito internet in esame – https://ildispaccio.it/ – e, quindi, di informazioni sul trattamento dei dati personali effettuato per finalità giornalistiche, nonché di recapiti specificatamente dedicati all’esercizio dei diritti degli interessati, rinvenendosi, invece, un indirizzo e-mail nel profilo Facebook del titolare, accessibile mediante apposito link in calce alla home page alla voce “Seguici su Facebook” (come da verifiche effettuate in data 19 gennaio 2026 e formalizzate in un verbale di compiute operazioni, acquisito agli atti del fascicolo – prot. n. 6581/26). 

2.2. Difese della Parte (art. 166, comma 6, del Codice)

Con memoria pervenuta il 22 giugno 2026 - a seguito della notifica avvenuta in pari data, tramite il citato organo accertatore, dell’atto di avvio del procedimento - il signor XX, in qualità di direttore responsabile della testata giornalistica on-line https://ildispaccio.it/, ha rappresentato di aver rimosso già “da tempo” l’articolo lamentato, dichiarandosi “sorpreso” della contestazione sollevata, in considerazione della tempestiva evasione delle istanze avanzate dalla reclamante. Il medesimo ha, altresì, manifestato la disponibilità a rimuovere dal sito internet eventuali ulteriori riferimenti alla reclamante, precisando, tuttavia, che la deindicizzazione del contenuto dai risultati del motore di ricerca Google rientra nell’autonoma attività del relativo gestore e presuppone una specifica richiesta da parte dell’interessata nei confronti quest’ultimo. Con l’occasione, ha precisato che “Google, in questi casi, elimina con grande rapidità il risultato, proprio perché tende a non fornire agli utenti [contenuti] non esistenti”.  

3. VALUTAZIONI DELL’AUTORITÀ

Alla luce di quanto sopra, dalla documentazione prodotta in atti e in base alle dichiarazioni rese ai sensi dell’art. 168 del Codice, si formulano le seguenti valutazioni di ordine giuridico. 

In primo luogo, si osserva che la richiesta di informazioni dell’Autorità, formulata ai sensi dell’art. 157 del Codice, non risulta essere stata riscontrata dal titolare benché correttamente notificata, integrando la violazione dell’art. 157 del Codice. 

Inoltre, nel prendere atto dell’avvenuta rimozione dell’articolo lamentato – già verificata dall’Ufficio in data 26 maggio 2026 (come da verbale di compiute operazioni acquisito agli atti del fascicolo – prot. n. 80998/26) – si rappresenta che il titolare non ha fornito i chiarimenti richiesti in ordine ai profili relativi alla trasparenza del trattamento e alla gestione delle istanze di esercizio dei diritti dell’interessata.

Nella richiamata memoria difensiva il titolare si è limitato, infatti, ad assicurare l’avvenuta rimozione del contenuto editoriale lamentato senza formulare alcuna deduzione in merito ai rilievi concernenti l’assenza, sul sito internet in esame, di un’informativa sul trattamento dei dati personali e di recapiti specificamente dedicati all’esercizio dei diritti degli interessati. Nessuna spiegazione è stata resa in ordine al mancato riscontro alle richieste avanzate dalla reclamante.

La condotta omissiva, connessa alla mancata risposta all’interessata, è proseguita anche dopo la proposizione del reclamo all’Autorità e financo a seguito della ricezione della sopra menzionata richiesta di informazione. L’art. 12, par. 2, del Regolamento richiede al titolare di agevolare l’esercizio dei diritti e, in base al successivo par. 3, di dare riscontro all’interessato entro un termine ragionevole e, al più tardi, entro 30 giorni dalla ricezione della relativa istanza. Tale riscontro, come sopra ampiamente rappresentato, non è stato reso dal titolare, in violazione dell’art. 12, parr. 2 e 3, del Regolamento. 

Inoltre, non può escludersi una responsabilità in capo al titolare per aver precluso agli interessati di avere informazioni in merito al trattamento dei propri dati personali per un periodo di tempo potenzialmente più ampio di quello attenzionato dall’Autorità. L’assenza di una sezione nel sito internet recante informazioni in ordine al trattamento dei dati personali in ambito giornalistico nonché ai canali comunicativi dedicati alle istanze di esercizio dei diritti si pone come limite sostanziale al basilare principio di trasparenza e di autodeterminazione degli interessati. Per tali ragioni, si ritiene integrata la violazione degli artt. 5, par. 1, lett. a), 12, par. 1 e 13 del Regolamento.

Peraltro, da un’ulteriore verifica del sito internet in parola, la lacuna informativa emersa durante l’istruttoria preliminare non è risultata essere stata sanata. Il sito internet continua, infatti, a presentare la medesima configurazione già oggetto di contestazione, permanendo l’assenza di un’informativa sul trattamento dei dati personali e di canali di contatto specificamente dedicati alla gestione delle istanze di esercizio dei diritti degli interessati. 

Deve osservarsi che in calce alla home page del sito internet risulta indicata esclusivamente la denominazione dell’Associazione e un indirizzo fisico alla stessa riconducibile, che sembrerebbe costituire l’unico recapito disponibile per eventuali comunicazioni degli utenti; né la sezione ‘Contatti’, anch’essa presente in calce alla home page, fornisce elementi ulteriori, limitandosi a richiamare la medesima informazione. Una tale modalità di contatto, fondata sulla sola indicazione di un recapito postale, non risulta idonea ad agevolare l’effettivo esercizio dei diritti degli interessati, in quanto comporta il ricorso a forme di comunicazione caratterizzate da maggiori oneri e tempi di trasmissione rispetto all’utilizzo di un indirizzo di posta elettronica. Inoltre, tale recapito, suscettibile di ricevere indistintamente comunicazioni di diversa natura e non specificamente destinato alla gestione delle istanze in materia di protezione dei dati personali, non garantisce una tempestiva ed efficace interlocuzione con il titolare del trattamento, in contrasto con quanto richiesto dall’art. 12, par. 2, del Regolamento. 

Un indirizzo e-mail risulta invece presente nel profilo Facebook riconducibile al titolare, il cui collegamento è inserito nel footer del sito internet (XX). Tale indirizzo e-mail sarebbe stato utilizzato dalla reclamante in sede di interpello preventivo del 4 settembre e del 20 ottobre 2025; circostanza, questa, che conferma come l’interessata abbia dovuto reperire aliunde un recapito utile per esercitare i propri diritti nei confronti del titolare. L’ulteriore indirizzo e-mail indicato nel reclamo, pure utilizzato nella preliminare richiesta del 18 settembre e 20 ottobre 2025 (XX), non è stato invece rinvenuto nel sito internet in esame.

Solo mediante un’autonoma ricerca in rete, utilizzando le chiavi "Il Dispaccio Contatti", è stato possibile rinvenire una pagina riconducibile, con ogni probabilità, a una versione archiviata del sito internet, recante i due indirizzi di posta elettronica coincidenti con quelli utilizzati dall’interessata in sede di interpello. La medesima pagina risulta, tuttavia, recare la data dell’8 febbraio 2012 e costituisce, pertanto, un elemento che può al più far presumere che, in epoca risalente, il titolare avesse predisposto una sezione dedicata ai contatti. Tale circostanza, oltre a non trovare riscontro nell’assetto del sito accertato dall’Ufficio nel periodo rilevante ai fini del presente procedimento, non vale comunque a dimostrare l’adempimento degli obblighi informativi previsti dal Regolamento. Le risultanze istruttorie trovano, peraltro, conferma nelle dichiarazioni rese dalla reclamante, la quale ha rappresentato di avere incontrato obiettive difficoltà nel reperire i recapiti del titolare ai fini dell’esercizio dei diritti riconosciuti dal Regolamento. 

In ogni caso, anche a voler ritenere che in passato il sito internet contenesse una sezione "Contatti" con indirizzi di posta elettronica, tale circostanza non sarebbe idonea a superare i rilievi formulati dall’Ufficio. Nel corso delle verifiche, infatti, come sopra rappresentato, non è stata in alcun modo rinvenuta un’informativa sul trattamento dei dati personali conforme agli artt. 12, par. 1, e 13 del Regolamento, con conseguente permanenza della carenza informativa contestata.

Al riguardo, giova precisare che, secondo un consolidato orientamento dell’Autorità, non può considerarsi idoneo, e quindi legittimo, un meccanismo che costringa l’interessato a effettuare ricerche nel sito internet del titolare per poter acquisire tutte le informazioni obbligatoriamente previste dall’art. 13 del Regolamento, contravvenendo, così, anche al requisito di facile accessibilità e fruibilità previsto dall’art. 12 del medesimo Regolamento. In tal senso, anche il Gruppo di lavoro ex Articolo 29 che, nella versione emendata delle Linee guida sulla trasparenza adottata l’11 aprile 2018 (in www.gpdp.it,  rinvenibile al link https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227), ha sottolineato l’opportunità che “[…] tutte le informazioni rivolte agli interessati siano messe a loro disposizione in un unico luogo o in un unico documento completo […] cui si possa accedere facilmente per consultarle nella loro interezza”.

Ulteriore indice della descritta carenza di trasparenza è rappresentato dalla presenza, in calce al sito internet, di un pop-up denominato “Impostazioni sulla privacy e sui cookie”, il quale, tuttavia, non consente all’utente di accedere ad alcuna effettiva informativa. Infatti, all’esito del relativo percorso di navigazione, l’utente viene reindirizzato alla home page del sito internet, senza ottenere alcuna informazione utile in ordine ai trattamenti effettuati e alle modalità di esercizio dei diritti. Tale configurazione risulta meramente apparente e non idonea ad assicurare un livello minimo di informazione. In ogni caso, anche a voler ritenere che il predetto collegamento fosse destinato a rinviare a un’informativa relativa ai cookie, ciò non varrebbe a superare le criticità riscontrate. Un’informativa di tal genere, infatti, riguarda esclusivamente i trattamenti di dati personali connessi al funzionamento del sito internet, alla navigazione degli utenti e all’eventuale impiego di strumenti di tracciamento, perseguendo finalità del tutto distinte rispetto a quelle proprie dell’attività giornalistica. Essa si riferisce, pertanto, a un diverso trattamento e non può ritenersi idonea ad assolvere gli obblighi informativi relativi ai trattamenti di dati personali effettuati nel settore giornalistico.

Dalle sopra descritte condotte discende una valutazione di complessiva negligenza da parte del titolare non soltanto nella gestione delle istanze di esercizio dei diritti degli interessati ma anche nei rapporti con l’Autorità, in particolare per ciò che concerne gli obblighi di collaborazione e di informazione (di cui agli artt. 31 del Regolamento e 157 del Codice); valutazione che ulteriormente avvalora e comprova il giudizio di responsabilità in relazione al contestato omesso riscontro di cui ai paragrafi precedenti e che ha comportato un’inevitabile dilazione dei termini nello svolgimento dell’istruttoria. La mera rimozione dei contenuti editoriali lamentati, come comunicato dalla parte in data 22 giugno 2026, non esaurisce l’obbligo del titolare di fornire agli interessati tutte le informazioni sul trattamento dei loro dati personali, obbligatoriamente previste dall’art. 13 del Regolamento, nonché di dare riscontro alle relative istanze.

4. CONCLUSIONI

Alla luce di tali considerazioni, si ritiene di confermare i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono idonee a superare i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento n. 1/2019.

Pertanto, con riferimento ai trattamenti già realizzati e considerato che le cause di illiceità riscontrate non risultano essere state rimosse, l’Autorità ritiene che la condotta posta in essere dal titolare sia avvenuta in violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 2 e 3, 13 del Regolamento, nonché 157 del Codice.

5. MISURE CORRETTIVE 

Accertata dunque l’illiceità delle sopra rilevate condotte: 

a) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge di fornire agli interessati una informativa sul trattamento dei dati personali per finalità giornalistiche, con indicazione degli elementi espressamente previsti dagli artt. 12, par. 1, e 13 del Regolamento;

b) ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge al titolare di adottare misure idonee a garantire l’effettivo esercizio dei diritti degli interessati, provvedendo, in particolare, a rendere disponibili recapiti specificamente dedicati alla presentazione delle relative istanze e ad assicurare il riscontro alle stesse senza ingiustificato ritardo e, comunque, nei termini previsti dall’art. 12 del Regolamento;

c) con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, par. 5, del Regolamento.

6. ORDINANZA INGIUNZIONE 

Tenuto conto che la violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 2 e 3, e 13 del Regolamento ha avuto luogo in conseguenza di trattamenti tra loro collegati, limitatamente a tali illeciti, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni sono soggette alla sanzione prevista dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice, l’importo totale della sanzione è da quantificarsi fino a euro 20.000.000.

La violazione dell’art. 157 del Codice costituisce, invece, una condotta distinta imputabile al medesimo titolare da considerarsi separatamente ai fini della quantificazione della sanzione amministrativa, il cui importo è da quantificarsi parimenti fino a euro 20.000.000 ai sensi dall’art. 83, par. 5 del Regolamento, come richiamato anche dall’art. 166, comma 2, del Codice.

L’ammontare della sanzione da comminarsi al titolare del trattamento è quindi quantificato in base alla somma dell’importo corrispondente alle sanzioni considerate effettive proporzionate e dissuasive per le predette violazioni, tra loro collegate e non, secondo quanto di seguito più dettagliatamente motivato.

La sanzione amministrativa pecuniaria va determinata nell’ammontare, in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento.

Quali circostanze da prendere in considerazione, nel caso di specie, devono essere valutati, sotto il profilo delle aggravanti:

1) la gravità delle violazioni rilevate in ragione dell’inosservanza degli obblighi informativi gravanti sul titolare per un lungo periodo di tempo, potenzialmente superiore a quello attenzionato dall’Autorità, con conseguente preclusione, per gli interessati, della possibilità di esercitare i propri diritti (art. 83, par. 2, lett. a, del Regolamento);

2) il carattere gravemente colposo della violazione, atteso che il titolare ha agito con noncuranza degli obblighi derivanti dalla normativa in materia di protezione dei dati personali, con particolare riferimento ai doveri di trasparenza e di riscontro alle istanze presentate dagli interessati; gli illeciti rilevati non risultano, allo stato, essere stati sanati nonostante l’intervento dell’Autorità (art. 83, par. 2, lett. b, del Regolamento);

3) il grado di cooperazione con l’Autorità, risultato non adeguato, dal momento che il titolare non ha tenuto conto delle conseguenze che potevano derivare dal mancato riscontro alla richiesta del Garante, anche sotto il profilo della completa istruzione del procedimento sul reclamo, né ha fornito spiegazioni in merito al suo silenzio; inoltre, in sede di memoria difensiva, il titolare non ha dato conto, in un’ottica collaborativa e proattiva, di risposte analitiche e puntuali in ordine agli ulteriori profili di illiceità oggetto di contestazione, limitandosi a comunicare l’avvenuta rimozione dell’articolo lamentato e rivelando una generale noncuranza degli obblighi derivanti dalla normativa in materia di protezione dei dati personali e dei poteri attribuiti all'Autorità (art. 83, par. 2, lett. f, del Regolamento).

Quali elementi attenuanti, si ritiene di dover tener conto:

1) della natura isolata della condotta, dal momento che il procedimento in parola è scaturito da un solo reclamo (art. 83, par. 2, lett. a, del Regolamento);

2) dell’avvenuta rimozione del contenuto editoriale oggetto di doglianza, la quale, pur determinando un accoglimento solo parziale delle richieste formulate nel reclamo, non è idonea a incidere sui distinti profili di violazione relativi alla trasparenza del trattamento e alla gestione delle istanze di esercizio dei diritti degli interessati (art. 83, par. 2, lett. c, del Regolamento);

3) dell’assenza di precedenti violazioni pertinenti commesse dal titolare del trattamento (art. 83, par. 2, lett. e, del Regolamento);

4) della circostanza relativa alle modalità con cui l’Autorità è venuta a conoscenza della violazione, esclusivamente a seguito della presentazione del reclamo (art. 83, par. 2, lett. h, del Regolamento); 

5) delle condizioni economiche del titolare del trattamento, desumibili dalla documentazione fiscale acquisita nel corso dell’istruttoria e riferita al periodo d’imposta 2024. Dall’esame della predetta documentazione emerge, infatti, la sussistenza di ricavi complessivi di entità contenuta, ulteriormente ridimensionati ove si considerino i costi e le spese sostenute per l’esercizio dell’attività, nonché la natura del titolare, costituito in forma di associazione senza scopo di lucro e volto al perseguimento di finalità di interesse culturale (art. 83, par. 2, lett. k, del Regolamento).

Con riferimento alla violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 2 e 3, e 13 del Regolamento, si ritiene che, nel caso di specie, il livello di gravità delle violazioni commesse dal titolare del trattamento sia medio (cfr. Comitato europeo per la protezione dei dati, “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” del 24 maggio 2023, punto 60). 

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, per la violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 2 e 3, e 13 del Regolamento si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.098,00 (millenovantotto/00).

Con riferimento alla violazione dell’art. 157 del Codice si ritiene che, nel caso di specie, il livello di gravità della violazione commessa dal titolare del trattamento sia medio (cfr. “Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR” cit.). 

In ragione dei suddetti elementi, valutati nel loro complesso, e in base ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, per la violazione dell’art. 157 del Codice, si ritiene di determinare l’ammontare della sanzione pecuniaria nella misura di euro 1.158,00 (millecentocinquantotto/00).

In conclusione, per effetto della somma delle sanzioni sopra quantificate, si ritiene debba applicarsi al titolare - Associazione Culturale “Quadrante Sud” - la sanzione amministrativa del pagamento di una somma di euro 2.256,00 (duemiladuecentocinquantasei/00). 

In conclusione, si ritiene che, ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019, debba applicarsi la sanzione accessoria della pubblicazione del presente provvedimento contenente l’ordinanza ingiunzione sul sito internet del Garante, in ragione del particolare disvalore delle violazioni rilevate, nonché in considerazione dell’inosservanza degli obblighi di trasparenza gravanti sul titolare per un periodo di tempo più ampio di quello attenzionato dall’Autorità nell’ambito della presente istruttoria. 

Ricorrono, infine, i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

PER QUESTI MOTIVI

- ai sensi degli artt. 57 e 83 del Regolamento, si dichiara l’illiceità del trattamento di dati personali effettuato dall’Associazione Culturale “Quadrante Sud” con sede legale in Via Sant’Anna II Tronco 28, 89128 Reggio Calabria, C.F. 92078700801, per la violazione degli artt. 5, par. 1, lett. a), 12, parr. 1, 2 e 3, 13 del Regolamento, nonché 157 del Codice, nei termini di cui in motivazione; 

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge al predetto titolare di fornire agli interessati una informativa sul trattamento dei dati personali per finalità giornalistiche, con indicazione degli elementi espressamente previsti dagli artt. 12, par. 1, e 13 del Regolamento;

- ai sensi dell’art. 58, par. 2, lett. d) del Regolamento, ingiunge al titolare di adottare misure idonee a garantire l’effettivo esercizio dei diritti degli interessati, provvedendo, in particolare, a rendere disponibili recapiti specificamente dedicati alla presentazione delle relative istanze e ad assicurare il riscontro alle stesse senza ingiustificato ritardo e, comunque, nei termini previsti dall’art. 12 del Regolamento;

- ai sensi dell’art. 157 del Codice, ingiunge all’Associazione di comunicare all’Autorità, nel termine di 30 giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alle misure imposte; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento; 

SI ORDINA

ai sensi degli artt. 58, par. 2, lett. i) e 83 del Regolamento, nonché dell’art. 166 del Codice, al predetto titolare di pagare la somma di euro 2.256,00 (duemiladuecentocinquantasei/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; 

SI INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.256,00 (duemiladuecentocinquantasei/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato – di un importo pari alla metà della sanzione irrogata entro il termine di cui all’art. 10, comma 3, del d.lgs. 1° settembre 2011, n. 150 previsto per la proposizione del ricorso come di seguito indicato;

SI DISPONE

- ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento n. 1/2019, la pubblicazione del presente provvedimento sul sito internet del Garante;

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante;

- ai sensi dell’art. 17 del regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 6 agosto 2026
 

IL PRESIDENTE
Stanzione 

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi