[doc. web n. 10252167]

Provvedimento del 17 aprile 2026

Registro dei provvedimenti
n. 292 del 17 aprile 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica, pubblicate in G.U. il 4 gennaio 2019, n. 3, doc. web n. 9067692 (di seguito “Regole deontologiche”); 

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000; 

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA 

Con il reclamo presentato ai sensi dell’art. 77 del Regolamento in data 28 dicembre 2023, integrato il successivo 3 aprile 2024, il signor XX - rappresentato e difeso dagli avvocati XX, XX e XX- ha lamentato la reperibilità in rete, in associazione al proprio nominativo, di articoli relativi a vicende giudiziarie connesse allo scandalo dei rifiuti della Regione Sicilia rispetto alle quali il medesimo è risultato estraneo “[…] non essendo stato mai sottoposto alle indagini né tantomeno iscritto nel registro degli indagati”. In particolare, nella prospettazione dei fatti offerta dall’interessato, le condotte illecite narrate negli articoli lamentati fanno riferimento ad una società – la XX, già XX – nella quale il reclamante ha rivestito il ruolo di consigliere e presidente del consiglio di amministrazione “solamente nel marzo 2020 […]”, quindi successivamente ai “fatti […] oggetto di contestazione da parte dell’Autorità Giudiziaria” perpetrati sino al 2019. Il reclamante ha, altresì, sottolineato che dal 19 agosto 2020 non riveste più “alcun ruolo sociale che potrebbe potenzialmente giustificare un’ingerenza del pubblico interesse ad avere accesso alle informazioni a lui riferibili”.

Pertanto, con il reclamo in parola, l’interessato - nel ritenere le notizie testé diffuse “inattuali, inadeguate e non più pertinenti” tali da ingenerare nei lettori una percezione distorta circa un suo coinvolgimento nelle vicende narrate - ha indicato l’URL rinviante all’articolo pubblicato il 14 ottobre 2020 dal quotidiano d’informazione on-line “giornalistitalia.it” (di seguito, anche “sito internet”), chiedendone la deindicizzazione nonché la cancellazione dei propri dati personali ivi riportati (https://...). Lo stesso ha, altresì, lamentato il mancato riscontro all’istanza di cancellazione e di deindicizzazione formulata il 17 aprile 2023 all’indirizzo e-mail indicato nella pagina dei “Contatti” del citato sito internet (XX).

Con nota del 19 aprile 2024 (rif. prot. n. XX) è stata formulata una prima richiesta di informazioni, ai sensi dell’art. 157 del Codice, inviata a mezzo raccomandata A/R all’indirizzo indicato nel reclamo e presente nel sito internet https://www.giornalistitalia.it/ (“XX”) al fine di ricevere osservazioni rispetto a quanto in esso rappresentato nonché “di offrire un riscontro anche in relazione alle istanze preliminarmente avanzate dal reclamante, producendo copia dell’eventuale risposta fornita”. Tale richiesta di informazioni – che risulta essere stata regolarmente consegnata - è rimasta priva di riscontro. L’Ufficio ha, quindi, proceduto a inoltrare, in data 11 dicembre 2024 (rif. prot. n. XX), una nota di sollecito agli indirizzi di posta elettronica ordinaria anch’essi rinvenuti nel citato sito internet (XX; XX), senza ricevere alcuna risposta.  

Tale circostanza ha indotto l’Ufficio a effettuare ulteriori verifiche in ordine alla titolarità del richiamato sito internet – avvalendosi del portale “Who is” e rendendosi altresì necessario il coinvolgimento del Nucleo speciale privacy della Guardia di Finanza - dalle quali è emerso che l’indirizzo fisico a cui è stata inviata la prima richiesta di informazioni (“XX”) è risultato corrispondere alla sede legale della XX che non si occupa della gestione del sito internet in esame. Diversamente, il gestore del dominio, nonché il direttore responsabile del quotidiano on-line “Giornalisti Italia”, è apparso riconducibile al signor Carlo Maria Parisi (di seguito “titolare”), di cui sono stati forniti ulteriori dati di contatto utili alla notifica di una nuova richiesta di informazioni.  

A seguito di colloqui telefonici intercorsi in data 11 febbraio 2025 con il titolare, quest’ultimo ha fornito il proprio indirizzo pec al quale è stata inoltrata una nuova richiesta di informazioni, ai sensi dell’art. 157 del Codice, in ordine al reclamo in questione. Il titolare ha reso riscontro tardivamente (in data 10 marzo 2025), oltre il termine di 20 giorni indicato nella menzionata richiesta, dando contezza esclusivamente dell’avvenuta rimozione dell’articolo lamentato; nessuna spiegazione è stata, invece, fornita dal titolare in ordine alla mancata risposta all’istanza di deindicizzazione dell’articolo avanzata dall’interessato in data 17 aprile 2023 e oggetto di reclamo. 

2. LA CONTESTAZIONE DELLE PRESUNTE VIOLAZIONI

Con nota del 12 marzo 2025 (rif. prot. n. XX) è stato adottato l’atto di avvio del procedimento nei confronti del citato titolare con il quale sono state contestate le seguenti presunte violazioni del Regolamento:

- artt. 12, parr. 1, 2, e 3, nonché 13 del Regolamento per l’assenza di una “privacy policy” nel sito internet lamentato e per il mancato riscontro all’istanza di esercizio dei diritti dell’interessato nel previsto termine di trenta giorni dalla ricezione della stessa;

- artt. 5, par. 2, 24 e 25 del Regolamento per non aver adottato misure tecniche e organizzative adeguate a garantire e a comprovare che il trattamento sia effettuato conformemente alla normativa in materia di protezione dei dati personali.

3. OSSERVAZIONI DIFENSIVE E VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ

Il titolare ha presentato, in data 10 aprile 2025, una nota in replica all’atto di avvio del procedimento con la quale ha fornito le proprie argomentazioni difensive rispetto alle presunte violazioni ivi contestate, chiedendo in tale sede di essere audito dall’Autorità. In occasione dell’audizione, svoltasi presso la sede dell’Autorità in data 13 maggio 2025, il titolare ha confermato quanto precedentemente rappresentato, fornendo elementi integrativi utili alla valutazione della condotta contestata. In particolare, il titolare ha chiarito la natura non commerciale del quotidiano di informazione on-line, inquadrabile come “giornale di servizio” funzionale a supportare i giornalisti nell’esercizio della relativa professione. Tenuto conto della gestione meramente personale ad esclusivo carico del signor Parisi, è stata confermata l’assenza di un’informativa privacy rilevata dall’Ufficio, benché la stessa fosse presente nelle fasi iniziali di attività del sito internet. Invero, nel corso delle numerose “operazioni di re-styling” che hanno interessato il citato sito internet, non sono stati più monitorati gli aspetti legati alla relativa compliance privacy, anche in ragione dei problemi personali che hanno coinvolto il titolare. Soltanto a seguito dell’intervento dell’Autorità con la richiesta di informazioni dell’11 febbraio 2025, il signor Parisi ha dichiarato di aver nuovamente inserito un’informativa privacy aggiornata all’interno del richiamato sito internet, indicando nella stessa un indirizzo e-mail dedicato alla gestione delle istanze di esercizio dei diritti degli interessati. Sul punto, il titolare, su richiesta dell’Autorità, ha precisato che, negli undici anni di vita del quotidiano in parola, sono state ricevute circa 10 istanze di esercizio dei diritti prevalentemente aventi ad oggetto la deindicizzazione di articoli giornalistici, poi soddisfatte dallo stesso, come nel caso di cui al reclamo in esame. 

Alla luce di quanto testé rappresentato, nel prendere atto dell’avvenuta rimozione dell’articolo lamentato, come già affermato dal titolare in sede istruttoria (nota del 10 marzo 2025), si osserva che, da una verifica del sito internet di cui al link https://www.giornalistitalia.it/, la lacuna informativa emersa durante l’istruttoria è risultata essere stata sanata; infatti è possibile visualizzare il testo dell’informativa privacy mediante apposito link disponibile nella home page. Tuttavia, pur prendendo atto delle misure correttive adottate a seguito dell’avvio della richiamata istruttoria, non può escludersi una responsabilità in capo al titolare per aver precluso agli interessati di avere informazioni in merito al trattamento dei propri dati personali per un periodo di tempo potenzialmente più ampio. Infatti, tale lacuna informativa è emersa già ad aprile 2023, in sede di interpello preventivo, ed è stata successivamente accertata dall’Autorità al momento della proposizione del reclamo. In particolare, il sito internet in esame recava soltanto il link a un’informativa in materia di cookie che, a parte una generica indicazione della titolarità, non conteneva i dati di contatto e gli indirizzi e-mail preposti all’esercizio dei diritti degli interessati, né le informazioni sul trattamento realizzato anche attraverso la compilazione del form on-line dedicato ai commenti degli utenti destinati alla pubblicazione. Informazioni sul direttore responsabile e sui recapiti della redazione risultavano presenti in una diversa sezione – denominata “Gerenza” – anch’essa collocata nella home page del sito internet. 

Al riguardo, secondo un consolidato orientamento dell’Autorità, l’assenza di una privacy policy non può ritenersi superata dal fatto che i dati possano essere conosciuti aliunde, né può considerarsi idoneo, e quindi legittimo, un meccanismo che costringa l’interessato a effettuare ricerche nel sito internet in questione per poter acquisire tutte le informazioni obbligatoriamente previste dall’art. 13 del Regolamento, contravvenendo, così, anche al requisito di facile accessibilità e fruibilità previsto dall’art. 12 del Regolamento, nel più ampio contesto del basilare principio di trasparenza. In tal senso, anche il Gruppo di lavoro ex Articolo 29 che, nella versione emendata delle Linee guida sulla trasparenza adottata l’11 aprile 2018 (in www.garanteprivacy.it, rinvenibile al link https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227), ha chiarito dapprima che “l’elemento della facile accessibilità implica che l’interessato non sia costretto a cercare le informazioni, ma che anzi gli sia immediatamente chiaro dove e come queste siano accessibili” e poi, nel promuovere un approccio stratificato dell’informativa, ha sottolineato che “[…] tutte le informazioni rivolte agli interessati siano messe a loro disposizione in un unico luogo o in un unico documento completo […] cui si possa accedere facilmente per consultarle nella loro interezza”.

L’approccio stratificato dell’informativa, quindi, non può prescindere dalla sua completezza, con riguardo a tutti gli elementi codificati dall’art. 13 del Regolamento, favorendo un livello di intellegibilità e di trasparenza sotteso al fondamentale principio di autodeterminazione dell’interessato in ordine al trattamento dei suoi dati personali. Nel caso di specie, la descritta lacuna ha costituito un limite sostanziale al basilare principio di trasparenza e di autodeterminazione degli interessati che, per l’effetto, è risultato notevolmente compromesso; tant’è che al fine di vedere soddisfatte le proprie richieste il reclamante è stato costretto a rivolgersi al Garante. La mera rimozione del contenuto editoriale lamentato, come comunicato nelle memorie difensive, non esaurisce l’obbligo del titolare di fornire agli interessati tutte le informazioni sul trattamento dei loro dati personali, obbligatoriamente previste dal citato art. 13 del Regolamento, nonché di dare riscontro alle relative istanze. Infatti, la risposta alla richiesta dell’interessato non è stata resa dal titolare nei termini individuati dall’art. 12, par. 2, del Regolamento che richiede a quest’ultimo di agevolare l’esercizio dei diritti e, in base al successivo par. 3, di darvi riscontro entro un termine ragionevole e, al più tardi, entro 30 giorni dalla ricezione della relativa istanza. 

Pertanto, essendo tali lacune emerse in sede istruttoria, per i trattamenti già realizzati, si ritiene di confermare la violazione delle disposizioni contenute negli artt. 5, par. 2, 12, parr. 1, 2 e 3, 13, 24 e 25 del Regolamento. 

4. CONCLUSIONI

Per quanto sopra esposto, si ritiene accertata la responsabilità del titolare in ordine alle seguenti violazioni: 

- art. 5 par. 2, del Regolamento;

- art. 12, parr. 1, 2 e 3, del Regolamento;

- art. 13 del Regolamento;

- art. 24 del Regolamento;

- art. 25 del Regolamento. 

Accertata l’illiceità delle sopra descritte condotte del titolare: 

a) si prende atto dell’avvenuta rimozione dell’articolo lamentato - benché tale misura abbia ampiamente superato le richieste del reclamante di deindicizzazione e di cancellazione dei dati personali - non sussistendo, pertanto, gli estremi per l’adozione di ulteriori interventi da parte dell’Autorità;  

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, si rende necessario ingiungere di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze (artt. 15 e 17 del Regolamento); 

c) con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, par. 5, del Regolamento. 

5.  ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2, da valutare all’atto di quantificarne il relativo importo.

Quali circostanze da prendere in considerazione, nel caso di specie, devono essere valutati, sotto il profilo delle aggravanti:

- la gravità delle violazioni rilevate con particolare riferimento all’assenza, per un lungo periodo di tempo, di un’informativa sul trattamento dei dati personali e di canali di comunicazione dedicati alla gestione delle istanze di esercizio dei diritti degli interessati; tali inadempimenti hanno fatto emergere “condotte di sistema” interrotte soltanto a seguito dell’intervento dell’Autorità e che hanno comportato una rilevante dilazione dei termini istruttori nonché un considerevole impiego di strumenti e risorse dell’Ufficio, anche con riferimento al reperimento di informazioni di natura reddituale già richieste in sede di contestazione (art. 83, par. 2, lett. a, del Regolamento); 

- il carattere negligente della condotta, tenuto conto che il titolare ha agito con noncuranza rispetto agli obblighi derivanti dalla normativa in materia di protezione dei dati personali, con particolare riferimento ai doveri di trasparenza e all’evasione delle istanze di esercizio dei diritti degli interessati (art. 83, par. 2, lett. b, del Regolamento).

Quali elementi attenuanti, si ritiene di dover tener conto:

- della natura isolata della condotta dal momento che il procedimento in parola è scaturito da un solo reclamo (art. 83, par. 2, lett. a, del Regolamento);
- delle finalità perseguite dal titolare, riconducibili all’esercizio del diritto di cronaca e alla libertà di informazione, secondo quanto stabilito dal Regolamento (art. 85) e dal Codice (artt. 136 e ss.) (art. 83, par. 2, lett. a, del Regolamento);

- dell’avvenuta rimozione dell’articolo lamentato – benché tale misura abbia ampiamente superato le richieste del reclamante di deindicizzazione e di cancellazione dei dati personali – oltreché dell’adozione di misure correttive avviate subito dopo l’intervento dell’Autorità (art. 83, par. 2, lett. c, del Regolamento); 

- dell’assenza di precedenti procedimenti avviati a carico del titolare (art. 83, par. 2, lett. e del Regolamento);

- della complessiva valutazione sulla capacità economica del titolare, con particolare riferimento al reddito imponibile percepito per il periodo di imposta 2024, nonché della gestione meramente personale del quotidiano d’informazione on-line, riconducibile ad una persona fisica e senza “introiti pubblicitari”, come sostenuto dal titolare nella memoria del 10 aprile 2025 (art. 83, par. 2, lett. k, del Regolamento).  

In base al complesso degli elementi sopra indicati, in applicazione dei richiamati principi di effettività, proporzionalità e dissuasività, di cui all’art. 83, par. 1, del Regolamento, tenuto conto, altresì, del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali del titolare, si ritiene debba applicarsi a Carlo Maria Antonio Parisi, in qualità di titolare del quotidiano d’informazione on-line “giornalistitalia.it”, la sanzione amministrativa del pagamento di una somma di euro 2.500,00 (duemilacinquecento/00), pari a circa lo 0,0125% della sanzione edittale massima di 20 milioni di euro.  

Nel caso in argomento, si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito internet del Garante del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e dall’art. 16 del Regolamento del Garante n. 1/2019.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare proporzionata in ragione della gravità e del particolare disvalore della condotta oggetto di censura, con specifico riferimento agli obblighi di trasparenza e di evasione delle istanze di esercizio dei diritti degli interessati avendovi il titolare provveduto soltanto dopo l’intervento dell’Autorità. 

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Carlo Maria Antonio Parisi, in qualità di titolare del quotidiano d’informazione on-line “giornalistitalia.it”, con sede in Roma, salita San Nicola da Tolentino, n. 1b, 00187, di conseguenza:  

a) prende atto dell’avvenuta rimozione dell’articolo lamentato - benché tale misura abbia ampiamente superato le richieste del reclamante di deindicizzazione e di cancellazione dei dati personali - non sussistendo, pertanto, gli estremi per l’adozione di ulteriori interventi da parte dell’Autorità; 

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze (artt. 15 e 17 del Regolamento); 

c) ai sensi dell’art. 157 del Codice, ingiunge al citato titolare di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento;

ORDINA

a signor Carlo Maria Antonio Parisi, in qualità di titolare del quotidiano d’informazione on-line “giornalistitalia.it”, ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 2.500,00 (duemilacinquecento/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;  

INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.500,00 (duemilacinquecento/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;  

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del regolamento n. 1/2019, la pubblicazione del presente provvedimento nonché, ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione della presente ordinanza ingiunzione sul sito web del Garante;

b) ai sensi dell’art. 17 del regolamento n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’Autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 17 aprile 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori