[doc. web n. 10313554]

Provvedimento del 7 ottobre 2026

Registro dei provvedimenti
n. 755 del 7 ottobre 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, ed il dott. Luigi Montuori, segretario generale; 

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”); 

VISTO il Codice in materia di protezione dei dati personali, (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101 (recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679), di seguito “Codice”);

VISTA la segnalazione del 3 e il reclamo 10 luglio 2024 avanzati rispettivamente dall'XX e da XX, uno degli assistiti del predetto legale e tra le numerose centinaia di firmatari dell’esposto disciplinare presentato nei confronti di Roberto Burioni (di seguito anche “il titolare del trattamento”) all’Ordine Provinciale dei Medici Chirurghi e Odontoiatri di XX, per iniziativa dell’XX;

CONSIDERATA la complessità della vicenda e l’elevato numero di soggetti coinvolti, in relazione alla quale l’Autorità è stata raggiunta da diverse segnalazioni e reclami e che hanno portato finora al provvedimento dell’Autorità n. 767 del 18 dicembre 2025 (doc. web 10216406), con cui il Garante ha disposto l’ammonimento nei confronti di XX per aver inserito nell’esposto inviato all’Ordine un link di condivisione dei dati personali dei suoi patrocinati “aperto”, per cui chiunque ne fosse stato a conoscenza avrebbe potuto avere accesso ai documenti condivisi;

VISTA la nota del 21 febbraio 2025, rif. prot. n. U. 23394, con cui l’Autorità ha avviato un’istruttoria relativa alla pubblicazione, su alcuni profili social di Roberto Burioni, di dati personali quali generalità ed estratti della carta di identità relativi ad alcuni dei firmatari dell’esposto disciplinare presentato, nei suoi confronti, all’Ordine Provinciale menzionato;

VISTA la successiva nota del 6 giugno 2025, con cui il titolare del trattamento, nel riscontrare le richieste di informazioni dell’Ufficio, ha:

- riferito che i dati personali contenuti nei suoi post sui social non riguardavano l’autore del reclamo, il sig. XX, e per l’effetto, questi non era legittimato a proporlo; 

- ribadito di aver comunque adottato delle misure volte ad oscurare parte delle informazioni presenti nei documenti pubblicati;

- sottolineato, a propria difesa, il diritto di conoscere l’identità di coloro che hanno presentato un esposto nei suoi confronti e anche di rivolgersi a loro per dichiarare pubblicamente le iniziative legali intraprese a sua tutela;

VISTO che seguito di una verifica condotta dall’ Ufficio è poi emerso che i dati personali dei firmatari, originariamente riportati nei post pubblicati dal titolare sulle piattaforme Facebook e X, datati 1° luglio 2024, sono stati rimossi;

VISTA l’ulteriore nota dell’Ufficio del 5 dicembre 2025 (prot. n. 170614/25), in replica alla quale il titolare, con una comunicazione del 10 dicembre 2025, ha confermato la rimozione dei predetti post e ha comunicato di aver intrapreso analoga iniziativa con riferimento ad altro post del 2 luglio 2024 segnalato nel reclamo del 10 luglio 2024, il quale presentava altri dati identificativi di persone terze;

VISTO che per quanto riguarda i dati scaricabili dal link presente nell’esposto dell’XX, il titolare ha aggiunto di aver provveduto alla loro cancellazione, non risultando quindi più nulla in suo possesso;

CONSIDERATO che sulla base degli elementi acquisiti e dei fatti emersi a seguito dell’attività istruttoria svolta, l’Ufficio ha ritenuto che il titolare del trattamento abbia diffuso sui suoi profili social (Facebook e X) dati idonei ad identificare (anche attraverso la riproduzione – seppure parziale – di documenti di identità) alcuni dei firmatari dell’esposto presentato nei suoi confronti dall’XX; ciò nell’ambito di alcuni commenti critici riguardo alle motivazioni dell’esposto e alle reazioni alle sue dichiarazioni pubbliche sul tema dei vaccini.

VISTA la conseguente nota del 13 gennaio 2026 (prot. n. 0003896/26), che qui deve intendersi integralmente richiamata, con cui è stato comunicato al titolare del trattamento l’avvio del procedimento, ai sensi dell’art. 166, comma 5, del Codice, per l’adozione di eventuali provvedimenti di cui all’art. 58, par. 2, del Regolamento, riconoscendo in capo a questi la responsabilità per la violazione de:

- i principi generali di cui all’art. 5 par. 1 del Regolamento UE 679/2016 e, in particolare, i principi di liceità, correttezza (lett. a)), finalità (lett. b)) e minimizzazione dei dati (lett. c));

- l’art. 85 del Regolamento e gli artt. 136 e ss. del Codice che disciplinano il trattamento dei dati per finalità giornalistiche e altre manifestazioni del pensiero; in particolare l’art. 137, comma 3 del Codice e gli artt. 5 e 6 delle relative Regole deontologiche che individuano il principio dell’ “essenzialità dell’informazione riguardo a fatti di interesse pubblico” quale parametro del trattamento dei dati effettuati nell’esercizio dell’attività giornalistica e, più in generale, della libertà di espressione. In particolare, la rivelazione dell’identità di alcuni dei firmatari non appare giustificarsi nei termini di essenzialità dell’informazione, necessarietà e proporzionalità rispetto alla possibile finalità di sollecitare un dibattito critico sull’esposto di cui è stato destinatario, risultando piuttosto un’indicazione esemplificativa dei firmatari a cui rivolgeva personalmente le proprie critiche, stante il numero rilevante degli stessi;

- l’art. 2-quater del Codice che dispone che il rispetto delle Regole deontologiche costituisce “condizione essenziale per la liceità e correttezza del trattamento”;

VISTE le memorie difensive del 12 febbraio 2026, che qui si intendono integralmente richiamate), nelle quali il Prof. Burioni ha affermato: 

- di aver attribuito sempre un valore centrale al rispetto dei diritti fondamentali delle persone, inclusa la protezione dei dati personali, anche in ragione del proprio ruolo pubblico e dell’elevata esposizione mediatica che caratterizza stabilmente la sua attività professionale, didattica, scientifica e divulgativa;

- che proprio la salvaguardia del suo ruolo di divulgatore scientifico è stata alla base della decisione di rimuovere i contenuti segnalati, anche nell’ottica di collaborazione con l’Autorità;

- che la pubblicazione di dati identificativi e documenti di identità di firmatari l’esposto disciplinare a scopo di minacciare azioni legali si colloca nell’ambito dell’esercizio del diritto di difesa, garantito dall’art. 24 della Costituzione – per la parte relativa alla ricezione dei files contenenti copia dei documenti di identità degli esponenti e le relative procure dagli stessi conferiti al legale patrocinante – nonché del diritto di critica, quale espressione della libertà di manifestare il proprio pensiero, tutelata dall’art. 21 della Costituzione, anche pubblicamente e in replica mediante dei post sui social network. La liceità del trattamento, in questo caso, discende dunque dal necessario bilanciamento tra il diritto alla protezione dei dati personali e il diritto di difendersi. Non vi sarebbe ragione di omettere i nomi di soggetti i quali, criticando l’operato del prof. Burioni con denunce ed esposti disciplinari, intenderebbero minare la sua credibilità sul piano scientifico e, pertanto, lo costringerebbero a difendersi pubblicamente e con ogni mezzo, anche dei suoi stessi canali di divulgazione scientifica.

- che i post in questione sarebbero pur sempre stati pubblicati nel rispetto del canone della continenza verbale, idonea a escludere la configurazione del reato di diffamazione. Sul punto è richiamata anche recente giurisprudenza penale (Sentenze nn. 24 luglio 2024, n. 33994 e 13 giugno 2025, sentenza n. 22341);

- che, in ogni caso, le esternazioni oggetto di contestazione non integrano esercizio dell’attività giornalistica in senso tecnico-professionale, in quanto il Prof. Burioni non è un giornalista e neppure un pubblicista. Pertanto le Regole deontologiche relative al trattamento dei dati personali nell’esercizio dell’attività giornalistica, la cui applicazione è mediata dall’art. 2-quater del Codice, non risultano soggettivamente applicabili al caso di specie, trattandosi di norme che presuppongono, quale ambito di operatività, lo svolgimento di attività giornalistica in senso proprio.

- che, “Ciò nondimeno, anche volendo richiamare tali Regole quale parametro orientativo di bilanciamento tra diritti fondamentali, il criterio dell’“essenzialità dell’informazione riguardo a fatti di interesse pubblico”, di cui all’art. 137, comma 3, del Codice e agli artt. 5 e 6 delle Regole deontologiche, non può essere applicato in modo rigido, astratto o avulso dal contesto, ma deve essere interpretato tenendo conto della finalità concreta perseguita, del mezzo utilizzato e della posizione soggettiva di chi comunica. Ed in particolare, a mente dell’art. 6, par. 3, delle Regole deontologiche citate, “commenti e opinioni del giornalista appartengono alla libertà di informazione nonché alla libertà di parola e di pensiero costituzionalmente garantita a tutti” di tal che una censura operata nei confronti del Prof. Burioni apparirebbe quantomeno inconciliabile con la citata disposizione. 

VISTO il verbale dell’audizione svoltasi in data 31 marzo 2026 nella quale il titolare del trattamento ha ribadito il proprio diritto di critica anche funzionale a difendersi da accuse volte a squalificare la propria professionalità, che in ogni caso gli accorgimenti adottati sono stati idonei ad anonimizzare i dati personali dell’interessato cui era riferita la carta di identità pubblicata sul post successivamente cancellato e che, dopotutto, la violazione originaria si era già consumata quando, in sede disciplinare, l’XX aveva creato una cartella liberamente accessibile su cloud contenente carte di identità e procure degli esponenti e, successivamente, l’Ordine di appartenenza del prof. Burioni aveva trasmessogli, per intero e così come ricevuta, ossia non protetta da credenziali di accesso, questa stessa documentazione.

CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”; 

CONSIDERATO che il trattamento oggetto del presente provvedimento debba essere ricondotto a quelli effettuati nell’esercizio della libertà di espressione e che pertanto ad esso trovano certa applicazione gli artt. 136-139 del Codice relative al trattamento di dati nell’ambito dell’attività giornalistica e delle altre forme di manifestazione del pensiero, tra le quali rientra anche il diritto di critica;

RILEVATO che – come più volte sostenuto dall’Autorità – al fine di contemperare i diritti della persona (in particolare il diritto alla riservatezza) con la libertà di manifestazione del pensiero, la disciplina in materia di protezione dei dati personali prevede specifiche garanzie e cautele nel caso di trattamenti effettuati nell’ambito della libertà di manifestazione del pensiero, confermando la loro liceità, anche laddove essi si svolgano senza il consenso degli interessati, purché avvengano nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone alle quali si riferiscono i dati trattati (cfr. artt. 5 e 85 del Regolamento, art. 2-quater del Codice 136 e ss. e del Codice);

RILEVATO che da ciò si discosta l’aver pubblicato i nomi e parte dei documenti identificativi di alcuni firmatari dell’esposto disciplinare de quo inviato all’ordine di appartenenza, in quanto si è trattato di reazione sproporzionata sul piano della richiamata causa di giustificazione ex art. 21 della Costituzione in tema di diritto di critica e, più in generale, di manifestazione del pensiero;

ATTESO che la replica del virologo Burioni al presunto tentativo di abusare dello strumento disciplinare per screditarlo personalmente non giustifica la condotta di diffondere e commentare a mezzo social i dati di taluni esponenti i quali, nell’avvalersi di uno strumento di tutela riconosciuto dalla legge, non rivestono un ruolo o una qualifica tale che ne giustifica l’identificazione nel contesto in esame (art. 6 delle Regole deontologiche);

RITENUTO peraltro che la diffusione di nomi, cognomi e stralci di documenti identificativi dei promotori dell’esposto, corredate da reazioni e commenti personali rivolti ai soggetti menzionati, non appare idonea a fornire un contributo informativo utile sui fatti oggetto dell’esposto disciplinare, rivelandosi a tal fine più pertinente, dal punto di vista del suo destinatario, soffermarsi sulla asserita infondatezza degli argomenti avanzati dalla generalità degli esponenti più che indugiare sui singoli, peraltro menzionati dal titolare solo a scopo esemplificativo, come da lui evidenziato;

RITENUTO che l’avere eliminato i suddetti post non è una condotta in toto idonea a rimuoverne gli effetti lesivi, dal momento che i dati identificativi dei tre firmatari dell’esposto sono rimasti comunque a disposizione dell’ampio seguito social del titolare; 

AVUTO RIGUARDO alle circostanze attenuanti, ossia alla piena collaborazione prestata dal titolare nelle interlocuzioni con il Garante, che hanno portato alla rimozione integrale di entrambi i post;

RITENUTO, alla luce di quanto sopra esposto, che il trattamento descritto configuri la violazione dei principi e delle norme oggetto di contestazione; 

RITENUTO, per quanto riguarda il grado di responsabilità del titolare:

- che la violazione dei dati personali in argomento è stata favorita dalla condotta dell’Ordine professionale (che ha trasmesso al titolare del trattamento l’esposto senza oscurare il link aperto), come riconosciuto dal richiamato precedente del Garante n. 767 del 18 dicembre 2025;

- che è avvenuta rimozione integrale dei post sui social;

- che non risultano eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento;

CONSIDERATO, rispetto alle violazioni accertate, di dover ritenere conseguentemente proporzionata, ai sensi di cui all’art. 58, par. 2, lett. b) del Regolamento, la misura dell’ammonimento, da rivolgere al titolare del trattamento per l’inosservanza dei principi generali di cui all’art. 5, par. 1 lett. a), b) e c) in tema di liceità, correttezza, finalità e minimizzazione dei dati, l’art. 85 del Regolamento e gli artt. 136 e ss. del Codice che disciplinano il trattamento dei dati per finalità giornalistiche e altre manifestazioni del pensiero, in particolare l’art. 137, comma 3 del Codice e gli artt. 5 e 6 delle relative Regole deontologiche” e l’art. 2-quater del Codice che dispone che il rispetto delle Regole deontologiche costituisce “condizione essenziale per la liceità e correttezza del trattamento”.

RITENUTO che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, relativamente alle misure adottate nel caso di specie nei confronti di Roberto Burioni, in conformità all’art. 58, par. 2, del Regolamento medesimo;

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO IL GARANTE

- ai sensi dell’art. 58, par. 2, lett. b), del Regolamento, dispone, con riguardo alle violazioni accertate nel corso del procedimento, la misura dell’ammonimento nei confronti di Roberto Burioni per l’inosservanza dei principi generali di cui all’art. 5, par. 1 lett. a), b) e c) in tema di liceità, correttezza, finalità e minimizzazione dei dati, l’art. 85 del Regolamento e gli artt. 136 e ss. del Codice che disciplinano il trattamento dei dati per finalità giornalistiche e altre manifestazioni del pensiero, in particolare l’art. 137, comma 3 del Codice e gli artt. 5 e 6 delle relative Regole deontologiche” e l’art. 2-quater del Codice che dispone che il rispetto delle Regole deontologiche costituisce “condizione essenziale per la liceità e correttezza del trattamento”;

- ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, delle misure adottate nei confronti di Roberto Burioni in conformità all’art. 58, par. 2, del Regolamento medesimo.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lg. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell'interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 ottobre 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori