[doc. web n. 10199198]

Provvedimento del 23 ottobre 2025

Registro dei provvedimenti
n. 638 del 23 ottobre 2025

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Angelo Fanizza, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica, pubblicate in G.U. il 4 gennaio 2019, n. 3, doc. web n. 9067692 (di seguito “Regole deontologiche”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA

Con il reclamo regolarizzato il 6 maggio 2025, il signor XX (conosciuto come XX) ha lamentato la pubblicazione mediante la testata giornalistica on-line “Lombardianews”, edita da Multimedia News Società Cooperativa (di seguito «Società» o «titolare»), di un articolo del XX afferente a una vicenda giudiziaria nella quale lo stesso è stato coinvolto in qualità di imputato per il reato di “Falso giuramento” (di cui all’art. 371 c.p.). In particolare, con XX la Corte di Appello di XX, in parziale riforma della decisione di primo grado emessa dal Tribunale di XX nel XX (n.XX), ha condannato l’interessato al pagamento in favore della parte civile di 250.000 euro e alla refusione delle spese processuali. Il successivo ricorso in Cassazione, proposto dall’interessato, è stato dichiarato inammissibile dalla Suprema Corte, con sentenza XX, comportando, di fatto, il passaggio in giudicato della decisione assunta nel secondo grado di giudizio (n. XX).

Tanto premesso, con il reclamo in parola l’interessato ha chiesto la rimozione dei dati personali dal richiamato articolo e la deindicizzazione dello stesso, raggiungibile all’URL https://... e rinvenibile in rete in associazione al suo nominativo. Ciò in ragione del lungo decorso del tempo dall’accadimento dei fatti ivi narrati risalenti al XX e definiti con sentenza della Corte d’Appello del XX; inoltre l’articolo lamentato, oltre a riportate notizie “datate e non più attuali”, fornirebbe una rappresentazione “fuorviante” dell’iter processuale della vicenda dal momento che, nella prospettazione offerta, lascerebbe “intendere che la Corte di Cassazione, pronunciandosi nel merito, abbia confermato” la decisione di condanna in capo all’interessato, trattandosi, invece, di valutazioni di natura procedurale a fondamento del rigetto. Secondo il reclamante, la perdurante reperibilità in rete dell’articolo sarebbe idonea a produrre un impatto “sproporzionatamente negativo […] sulla […] vita privata e sociale” dello stesso. Infine, con l’atto di reclamo, l’interessato ha lamentato di non aver ricevuto riscontro all’istanza di esercizio dei diritti avanzata nei confronti della Società il 7 agosto 2024, eccependo, tra l’altro, l’assenza nel relativo sito internet di una informativa privacy e di specifici dati di contatto dedicati alle richieste degli utenti in ordine al trattamento dei dati personali; tant’è che la citata istanza è stata inviata all’indirizzo pec del titolare rinvenuto sul portale on-line dedicato agli indirizzi di posta elettronica certificata di imprese e professionisti (c.d. INI-PEC).

Con nota del 13 maggio 2025, è stato chiesto alla Società di fornire osservazioni, ai sensi dell’art. 157 del Codice, riguardo a quanto rappresentato nel reclamo nonché “di offrire un riscontro anche in relazione alla segnalata circostanza che nel sito internet, di cui al link https://..., non risulterebbe rinvenibile alcun indirizzo di posta elettronica (ordinaria o certificata), né una sezione dedicata all’informativa privacy ai fini dell’esercizio dei diritti degli interessati, di cui agli artt. 15-22 del Regolamento”.  

La richiesta dell’Ufficio, inviata all’indirizzo pec del titolare e correttamente consegnata il 13 maggio 2025, è rimasta inevasa.

2. LA CONTESTAZIONE DELLE VIOLAZIONI

Con nota del 18 giugno 2025 (rif. prot. n. 86907/25) - considerato che il mancato riscontro a una richiesta dell’Autorità costituisce autonoma violazione amministrativa, ai sensi dell’art. 157 del Codice, è stato adottato l’atto di avvio del procedimento nei confronti della Società con il quale è stata contestata, oltre alla richiamata disposizione, anche l’inosservanza dell’art. 12, parr. 1, 2 e 3 del Regolamento in ragione dell’assenza di una “privacy policy” nel sito internet del titolare e del mancato riscontro all’istanza di esercizio dei diritti dell’interessato nel previsto termine di trenta giorni dalla ricezione della stessa.

Tale comunicazione di avvio del procedimento è stata notificata al titolare in data 16 luglio 2025 con l’ausilio del Nucleo speciale privacy della Guardia di Finanza che, con l’occasione, ha provveduto, altresì, ad acquisire le informazioni originariamente richieste con nota del 13 maggio 2025.

3. OSSERVAZIONI DIFENSIVE E VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ

Il titolare, in occasione della notifica mediante l’organo accertatore del citato atto di avvio del procedimento, ha rappresentato di aver “provveduto tempestivamente alla cancellazione/deindicizzazione della notizia” lamentata non appena ricevuta la richiesta di informazioni del 13 maggio 2025 ma di non averne dato comunicazione all’Autorità per mera “dimenticanza”. Per le medesime motivazioni non è stato dato seguito alla richiesta dell’interessato ricevuta il 7 agosto 2024 e rimasta, per l’effetto, inevasa.

Inoltre, al momento dell’accertamento, il titolare ha confermato l’assenza nel sito internet www.lombardianews.it sia di un’informativa privacy (e, quindi, di dati di contatto per l’esercizio dei diritti degli interessati di cui agli artt. 15 – 22 del Regolamento), sia di uno spazio dedicato alle “informazioni obbligatorie relative alla Società, di solito presenti nel footer delle pagine web” riconducendo tali mancanze ai processi riorganizzativi/societari che hanno interessato la testata giornalistica. Il titolare ha espresso l’intenzione di porvi rimedio pubblicando, quanto prima, un’informativa privacy nonché un indirizzo di posta elettronica certificata (XX) “per permettere ai […] lettori, quando lo ritengano opportuno, di potersi rivolgere alla società per qualsiasi motivo".

Alla luce di quanto sopra rappresentato – nel prendere atto dell’avvenuta deindicizzazione dell’articolo lamentato in adesione alla richiesta del reclamante – si osserva che, da una verifica del sito internet della Società, la lacuna informativa emersa durante l’istruttoria è risultata essere stata sanata; infatti, è possibile visualizzare il testo dell’informativa privacy mediante apposito link in calce all’home page.

Tuttavia, pur prendendo atto delle misure correttive adottate a seguito della citata comunicazione di avvio del procedimento, non può escludersi una responsabilità in capo al titolare per aver precluso agli interessati di avere informazioni in merito al trattamento dei propri dati personali per un periodo di tempo potenzialmente molto più lungo di quello attenzionato dall’Autorità. Infatti, tale lacuna informativa è emersa già ad agosto 2024, in sede di interpello preventivo, ed è stata successivamente accertata dall’Autorità al momento della proposizione del reclamo; l’intervento riparatorio del titolare, che come già rappresentato avrebbe confermato tale carenza, sarebbe avvenuto soltanto a seguito dell’atto di avvio del procedimento del 18 giugno 2025 e dopo l’accertamento ispettivo del 16 luglio 2025.

Ne consegue che l’assenza di una “privacy policy” nel sito internet del titolare - e, dunque, di informazioni sul trattamento dei dati personali in ambito giornalistico nonché sui canali comunicativi dedicati alle istanze di esercizio dei diritti – ha costituito un limite sostanziale al basilare principio di trasparenza e di autodeterminazione degli interessati che, per l’effetto, è risultato notevolmente compromesso. Pertanto, si ritiene di confermare la violazione dell’art. 12, par. 1, del Regolamento.

A ciò si aggiunge il mancato riscontro all’interpello preventivo avanzato dall’interessato in data 7 agosto 2024. La condotta omissiva, connessa alla mancata risposta all’interessato, è proseguita anche dopo la proposizione del reclamo all’Autorità e financo a seguito della ricezione della richiesta di informazione del 13 maggio 2025, pure rimasta inevasa. L’art. 12, par. 2, del Regolamento richiede al titolare di agevolare l’esercizio dei diritti e, in base al successivo par. 3, di dare riscontro all’interessato entro un termine ragionevole e, al più tardi, entro trenta giorni dalla ricezione della relativa istanza. Tale riscontro, come sopra rappresentato, è stato reso dal titolare soltanto in occasione dell’acquisizione di informazioni da parte della Guardia di Finanza e dopo la comunicazione di avvio del procedimento dinanzi al Garante. Ad ogni modo, dalla documentazione in atti, non risulta che il titolare abbia prontamente informato il reclamante dell’avvenuta deindicizzazione del contenuto editoriale oggetto di doglianza neppure dopo il citato accertamento ispettivo; né sono state fornite idonee spiegazioni in ordine al mancato riscontro all’interessato posto che, dalle evidenze prodotte a corredo del “verbale di operazioni compiute”, la sola richiesta gestita dal titolare, benché non evasa, è quella dell’Autorità del 13 maggio 2025 e non anche l’istanza avanzata in sede di interpello dal reclamante che non risulta in alcun modo trattata. Pertanto, si ritiene integrata la violazione dell’art. 12, parr. 2 e 3, del Regolamento.

La circostanza descritta, che denota una non adeguata gestione dei canali di comunicazione, ha comportato un appesantimento degli adempimenti istruttori e un rallentamento dell’azione amministrativa ma, soprattutto, non ha garantito l’esercizio dei diritti che il Regolamento attribuisce agli interessati.

Il titolare, inoltre, ha omesso di fornire riscontro alla richiesta del Garante del 13 maggio 2025 determinando un aggravamento del procedimento e rendendo necessario incaricare il Nucleo speciale privacy della Guardia di Finanza per ottenere le informazioni utili a completare l’istruttoria. Peraltro, nella richiamata richiesta di informazioni dell’Ufficio, indirizzata alla Società, era chiaramente evidenziato che, in caso di inottemperanza, si sarebbe resa “applicabile la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 2, del citato d.lgs. n. 196/2003”. Dunque, il titolare avrebbe dovuto in ogni caso fornire un tempestivo e completo riscontro all’Autorità, nell’ottica dei doveri di collaborazione individuati dall’art. 31 del Regolamento e dall’art. 157 del Codice. Soltanto in sede di accertamento ispettivo, la Società ha rappresentato le motivazioni del mancato riscontro riconducibili a una mera “dimenticanza”.

Dalla decritta condotta discende una valutazione di complessiva negligenza da parte del titolare nei rapporti con l’Autorità, in particolare per ciò che concerne gli obblighi di collaborazione e di informazione, valutazione che ulteriormente avvalora e comprova il giudizio di responsabilità in relazione al contestato omesso riscontro di cui ai paragrafi precedenti. Pertanto, si ritiene di confermare la violazione dell’art. 157 del Codice.

4. CONCLUSIONI

Per quanto sopra esposto, si ritiene accertata la responsabilità del titolare in ordine alle seguenti violazioni:

- art. 12, parr. 1, 2 e 3 del Regolamento;

- art. 157 del Codice.

Accertata l’illiceità delle sopra descritte condotte della Società:

a) si prende atto dell’avvenuta deindicizzazione dell’articolo lamentato in adesione alla richiesta del reclamante, non sussistendo, pertanto, gli estremi per l’adozione di ulteriori provvedimenti;

b)ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, si rende necessario ingiungere di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze (artt. 15 e 17 del Regolamento);

c) con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, par. 5 del Regolamento.

5.  ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2, da valutare all’atto di quantificarne il relativo importo.

Quali circostanze da prendere in considerazione, nel caso di specie, devono essere valutati, sotto il profilo delle aggravanti:

la gravità delle violazioni rilevate con particolare riferimento alla reiterazione delle condotte omissive da parte della Società e all’assenza, per un lungo periodo di tempo, di un’informativa sul trattamento dei dati personali e di canali di comunicazione dedicati alla gestione delle istanze di esercizio dei diritti degli interessati; tali inadempimenti hanno fatto emergere “condotte di sistema”, radicate nelle procedure societarie (art. 83, par. 2, lett. a del Regolamento);

il carattere negligente della condotta, tenuto conto che la Società ha agito con noncuranza rispetto agli obblighi derivanti dalla normativa in materia di protezione dei dati personali, con particolare riferimento ai doveri di trasparenza e all’evasione delle istanze di esercizio dei diritti degli interessati (art. 83, par. 2, lett. b del Regolamento);

il grado di cooperazione con l’Autorità poiché la Società non ha tenuto conto delle conseguenze che potevano derivare dal mancato riscontro alla richiesta di informazioni del Garante, anche sotto il profilo della completa istruzione del procedimento sul reclamo; invero, la Società ha fornito riscontro alla citata richiesta di informazioni dell’Autorità soltanto dopo l’atto di avvio del presente procedimento e in occasione dell’accertamento ispettivo da parte della Guardia di Finanza (art. 83, par. 2, lett. f del Regolamento).

Quali elementi attenuanti, si ritiene di dover tener conto:

la natura isolata della condotta dal momento che il procedimento in parola è scaturito da un solo reclamo (art. 83, par. 2, lett. a del Regolamento);

l’adozione di misure correttive avviate subito dopo la conclusione degli accertamenti ispettivi (art. 83, par. 2, lett. c del Regolamento);

l’assenza di precedenti procedimenti avviati a carico del titolare (art. 83, par. 2, lett. e del Regolamento).

In base al complesso degli elementi sopra indicati, in applicazione dei richiamati principi di effettività, proporzionalità e dissuasività, di cui all’art. 83, par. 1, del Regolamento, tenuto conto, altresì, del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali della Società, si ritiene debba applicarsi a Multimedia News Società Cooperativa la sanzione amministrativa del pagamento di una somma di euro 20.000,00 (ventimila/00), pari a circa lo 0,1% della sanzione edittale massima di 20 milioni di euro.

Nel caso in argomento, si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito internet del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e dall’art. 16 del Regolamento del Garante n. 1/2019.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare proporzionata in ragione della gravità e del particolare disvalore della condotta oggetto di censura con specifico riferimento agli obblighi di trasparenza e di evasione delle istanze di esercizio dei diritti degli interessati avendovi la Società provveduto soltanto dopo l’intervento dell’Autorità.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Multimedia News Società Cooperativa, con sede legale in Via Confalonieri 5, 21040 Castronno (VA), P.IVA. 02687380127; di conseguenza:

a) prende atto dell’avvenuta deindicizzazione dell’articolo lamentato in adesione alla richiesta del reclamante, non sussistendo, pertanto, gli estremi per l’adozione di ulteriori provvedimenti;

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze (artt. 15 e 17 del Regolamento);

c) ai sensi dell’art. 157 del Codice, ingiunge al citato titolare di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento;

ORDINA

a Multimedia News Società Cooperativa ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 20.000 (ventimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 20.000 (ventimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento nonché, ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione della presente ordinanza ingiunzione sul sito internet dell'Autorità;

b) ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’Autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 23 ottobre 2025

IL PRESIDENTE
Stazione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Fanizza