[doc. web n. 10242600]

Provvedimento del 12 marzo 2026

Registro dei provvedimenti
n. 173 del 12 marzo 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia componente, e il dott. Claudio Filippi, Vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le “Regole deontologiche relative al trattamento dei dati personali nell’esercizio dell’attività giornalistica”, allegato A1 al Codice (di seguito “Regole deontologiche”);

VISTA l’edizione del TGLa7 della sera andata in onda il 19 giugno 2025, i cui contenuti sono stati pubblicati anche all’interno del canale YouTube del citato telegiornale;

RILEVATO che durante la predetta edizione, nell’ambito di un servizio giornalistico sul c.d. caso “Paragon”, sono state riprodotte immagini raffiguranti una pluralità di numeri di telefono cellulare, nominativi di persone fisiche e ulteriori dettagli relativi a scambi intercorsi tra alcune utenze telefoniche;

VISTA la nota del 26 giugno 2025 con la quale, ai sensi dell’art. 166, comma 5, del Codice, l’Autorità ha comunicato a La7 S.p.A., in qualità di titolare del trattamento, l’avvio del procedimento per l’eventuale adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento e le presunte violazioni di legge, individuate, nel caso di specie, nella violazione degli artt. 5, par. 1, lett. a) e c), del Regolamento, 137, comma 3, del Codice e 6 delle Regole deontologiche, anche con riguardo ai limiti sanciti dall’art. 2-quater, comma 4, del Codice;

VISTA la memoria difensiva del 23 luglio 2025 con cui La7 S.p.A., per il tramite degli avv.ti XX e XX, ha rappresentato che:

- il servizio giornalistico intendeva fornire un aggiornamento sul noto caso di cybersorveglianza “Paragon” che ha suscitato grande interesse mediatico e istituzionale, concentrandosi in particolar modo sull’annuncio da parte delle Procure di Roma e Napoli dell’avvio di un’indagine sull’utilizzo del software “Graphite”;

- in tale contesto sono state trasmesse, per pochi secondi, alcune immagini di repertorio – raffiguranti, tra gli altri, dispositivi elettronici, smartphone, analisi di tabulati e strumenti di intercettazioni – che sono state inserite con finalità meramente illustrativa e al solo scopo di dare coerenza visiva al contenuto informativo del servizio, senza che le stesse presentassero qualsivoglia attinenza diretta all’evento oggetto di cronaca e ai soggetti nel medesimo coinvolti;

- stante la velocità di scorrimento delle immagini, i dati ivi riportati potevano essere intravisti solo con l’ausilio di un fermo immagine, non essendo altrimenti percepibili dai telespettatori durante la normale visione del servizio;  

- «l’episodio contestato è stato determinato da una valutazione complessiva del filmato che per l’inquadratura, la velocità di ripresa e la sgranatura dell’immagine di repertorio appariva non idoneo a consentire l’identificazione del dato»;

- la circostanza per cui «le immagini non corrispondessero al contenuto dell’inchiesta oggetto del servizio rende oggettivamente impossibile l’identificazione dei titolari dei numeri di telefono, del tutto estranei alla vicenda»;

- quanto accaduto costituisce un episodio isolato, non doloso e determinato da un mero errore tecnico di valutazione nel processo di montaggio;

- trattandosi di un episodio del tutto accidentale, nel caso di specie non sussiste il carattere doloso o colposo della violazione, ossia l’elemento soggettivo richiesto ai sensi dell’art. 3 della legge 24 novembre 1981 n. 689;

- «non appena pervenuta la notifica da parte del Garante per la protezione dei dati personali dell’avvio dell’odierno procedimento, la redazione del TGLA7 si è prontamente attivata per eliminare ogni possibilità di ulteriore diffusione del contenuto, rimuovendolo dalle piattaforme digitali»;

- in precedenti casi, l’immediata adozione di misure correttive e la breve durata della violazione sono state valutate dall’Autorità come elementi idonei a mitigare la responsabilità del titolare del trattamento;

- all’esito di quanto accaduto, La7 S.p.A. ha implementato i propri controlli interni e ha predisposto una circolare interna volta a richiamare tutte le redazioni e gli operatori al rispetto della normativa in materia di trattamento dei dati personali, con particolare riguardo alle fasi di montaggio;

- La7 S.p.A. è dotata di un Codice Etico nel quale viene disciplinato il rispetto del trattamento dei dati, oltre che la collaborazione con le Autorità di regolazione, come pure di una privacy policy debitamente pubblicata sul proprio sito web e oggetto di costante aggiornamento;

CONSIDERATO che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell’art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”;

CONSIDERATO che:

- la fattispecie in esame deve essere ricondotta ai trattamenti effettuati per finalità giornalistiche con la conseguente applicazione, nella loro integralità, degli artt. 136-139 del Codice e delle Regole deontologiche;

- l’art. 137, comma 3, del Codice e l’art. 6 delle Regole deontologiche individuano come limite alla diffusione dei dati personali per le finalità descritte – fermo restando il rispetto dei diritti, delle libertà fondamentali e della dignità delle persone alle quali si riferiscono i dati trattati – il principio della “essenzialità dell’informazione riguardo a fatti di interesse pubblico”;

- il rispetto delle Regole deontologiche costituisce, peraltro, condizione essenziale per la liceità e la correttezza del trattamento dei dati personali ai sensi dell’art. 2-quater del Codice;

RILEVATO, nel caso in esame, che:

- durante il servizio giornalistico sono state trasmesse immagini di repertorio che raffigurano una pluralità di numeri di telefono cellulare, anche associati a nomi e cognomi di persone fisiche indicate come intestatarie e/o proprietarie di tali numeri e alle quali, in alcuni casi, sono altresì attribuite determinate qualifiche (es. “amante di”, “zia”, “probabile segretaria”) o città;

- talune immagini riportano anche informazioni sugli scambi (es. chiamate o sms) intercorsi tra alcune utenze telefoniche, fornendo al riguardo specifici dettagli quali, il tipo di “Evento”, la data e l’ora dell’evento, la “Direzione”, il numero di origine e quello di destinazione, nonché i codici IMSI e IMEI;

- le informazioni e i dati sopra richiamati sono visibili nonostante la qualità dell’inquadratura e la velocità di ripresa del servizio; talvolta anche senza che risulti a tal fine necessario l’ausilio di un fermo immagine, il quale costituisce in ogni caso una funzionalità di agevole e pronto utilizzo rispetto a quei contenuti che – al pari del servizio in questione, diffuso anche tramite il canale YouTube del TGLa7 – sono caricati all’interno di piattaforme digitali e possono essere fruiti dagli utenti in modalità asincrona, con ampia libertà di mandare indietro o avanti il contenuto, oppure di metterlo in pausa;

- deve ritenersi sussistere, nel caso di specie, l’elemento soggettivo della violazione quantomeno sotto il profilo della colpa, atteso che, come dichiarato dalla stessa La7 S.p.A., la diffusione dei dati personali è stata determinata da un «errore tecnico di valutazione nel processo di montaggio»; errore che poteva essere agevolmente evitato dall’editore con l’ordinaria diligenza, operando le opportune verifiche prima della trasmissione del servizio giornalistico;

- i dati personali contenuti nelle immagini di repertorio non riguardano soggetti o eventi legati al caso “Paragon” e, conseguentemente, come affermato da La7 S.p.A., non hanno alcuna attinenza con la vicenda approfondita nel servizio;

- simile circostanza, diversamente da quanto sostenuto nelle memorie difensive, non determina alcuna oggettiva impossibilità di giungere all’identificazione degli interessati a cui si riferiscono i dati, essendo gli stessi direttamente o indirettamente identificabili in considerazione dei nominativi, dei numeri telefonici e delle ulteriori informazioni riportati all’interno delle immagini;

- i dati personali diffusi, oltre che non pertinenti, risultano altresì eccedenti e non essenziali rispetto alle notizie riportate nel corso del servizio e alla dichiarata “finalità meramente illustrativa” per cui le immagini di repertorio sono state trasmesse; finalità che poteva essere parimenti perseguita senza procedere alla divulgazione di una pluralità di numeri telefonici, nominativi di persone fisiche e ulteriori dettagli a questi riferibili;

RITENUTO pertanto che l’avvenuta diffusione, durante l’edizione serale del TGLa7 del 19 giugno 2025, dei dati personali contenuti nelle immagini di repertorio trasmesse nel corso del servizio giornalistico in questione – quali i numeri di telefono cellulare, i nomi e cognomi di persone fisiche indicate come intestatarie e/o proprietarie di tali numeri, le qualifiche attribuite a tali persone e i dettagli degli scambi intercorsi tra alcune utenze telefoniche – integra una violazione dei principi di liceità e minimizzazione del trattamento (art. 5, par. 1, lett. a) e c), del Regolamento), travalicando il principio di essenzialità dell’informazione di cui agli artt. 137, comma 3, del Codice e 6 delle Regole deontologiche;

PRESO ATTO di quanto affermato da La7 S.p.A. circa l’avvenuta rimozione dalle piattaforme digitali del servizio giornalistico sopra indicato;

RITENUTO in ogni caso, ai sensi degli artt. 57 par. 1, lett. a), del Regolamento e in ragione delle violazioni riscontrate, di dover disporre nei confronti di La7 S.p.A., ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, il divieto di ulteriore diffusione dei suddetti dati personali contenuti nelle immagini di repertorio;

RITENUTO che ricorrano i presupposti per procedere all’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, in ordine alle violazioni e alle misure adottate nel caso di specie nei confronti di La7 S.p.A., in conformità all’art. 58, par. 2, del Regolamento;

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

TUTTO CIÒ PREMESSO IL GARANTE

a) prende atto che La7 S.p.A. – con sede in Roma, Via della Pineta Sacchetti n. 229, Partita IVA 12391010159, in persona del legale rappresentante pro-tempore – ha dichiarato, in qualità di titolare del trattamento, di aver provveduto alla rimozione dalle piattaforme digitali del servizio giornalistico trasmesso durante l’edizione serale del TGLa7 del 19 giugno 2025;

b) ai sensi dell’art. 57, par. 1, lett. a), del Regolamento dichiara, per le ragioni di cui in premessa, l’illiceità del trattamento posto in essere da La7 S.p.A. con riguardo alla diffusione dei dati personali contenuti nelle immagini di repertorio trasmesse nel corso del predetto servizio giornalistico – quali i numeri di telefono cellulare, i nomi e cognomi di persone fisiche indicate come intestatarie e/o proprietarie di tali numeri, le qualifiche attribuite a tali persone e i dettagli degli scambi intercorsi tra alcune utenze telefoniche – in quanto avvenuta in violazione dei principi di liceità e minimizzazione del trattamento (art. 5, par. 1, lett. a) e c), del Regolamento), travalicando il principio di essenzialità dell’informazione di cui agli artt. 137, comma 3, del Codice e 6 delle Regole deontologiche;

c) ai sensi dell’art. 58, par. 2, lett. f), del Regolamento dispone nei confronti di La7 S.p.A. il divieto di ulteriore diffusione dei suddetti dati personali contenuti nelle immagini di repertorio;

d) ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità di cui all’art. 57, par. 1, lett. u), del Regolamento, in ordine alle violazioni e alle misure adottate nei confronti de La7 S.p.A., in conformità all’art. 58, par. 2, del Regolamento.

Ai sensi dell’art. 154-bis, comma 3, del Codice e dell’art. 37 del regolamento del Garante n. 1/2019, si dispone la pubblicazione del presente provvedimento sul sito internet dell’Autorità.

Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

CONSIDERATO inoltre che il mancato rispetto dell’art. 5 del Regolamento è sanzionata dall’art. 83, par. 5, lett. a), del Regolamento e che, parimenti, il mancato rispetto delle Regole deontologiche è sanzionato ai sensi del combinato disposto di cui agli artt. 2-quater, 166, comma 2, del Codice, e 83, par. 5, del Regolamento;

RITENUTO, pertanto:

1. di dover adottare un’ordinanza di ingiunzione, ai sensi degli artt. 166, comma 7, del Codice e 18 della legge n. 689/1981, per l’applicazione nei confronti di La7 S.p.A. della sanzione amministrativa pecuniaria prevista dal combinato disposto di cui agli artt. 2-quater, 166, comma 2, del Codice, e 83, par. 5, del Regolamento, il quale prevede che la violazione delle disposizioni accertate «è soggetta a sanzioni amministrative pecuniarie fino a 20 000000 EUR o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore»;

2. sulla base delle informazioni rinvenibili nell’ultimo bilancio di La7 S.p.A. (registrato al 31 dicembre 2024) che ricorra la prima ipotesi prevista dall’art. 83, par. 5, del Regolamento;

3. di determinare l’ammontare della sanzione pecuniaria, tenendo conto degli elementi indicati nell’art. 83, par. 2, del Regolamento e nel caso di specie prendere in considerazione le seguenti circostanze aggravanti:

- la gravità della violazione (art. 83, par. 2, lett. a), del Regolamento), tenuto conto della pluralità di interessati coinvolti e di dati personali diffusi, anche di dettaglio e in alcuni casi direttamente identificativi, non aventi alcuna attinenza diretta all’evento oggetto del servizio giornalistico;

- sempre in tema di gravità, il possibile pregiudizio a cui sono stati esposti gli interessati, soprattutto ove associati a determinate qualifiche (es. “amante di”);

-  la sussistenza di precedenti violazioni afferenti alle disposizioni relative all’attività giornalistica, commesse dal titolare del trattamento a far data dall’entrata in vigore del Regolamento (art. 83, par. 2, lett. e), del Regolamento);
e, quali fattori attenuanti:

- la circoscritta durata della violazione (art. 83, par. 2, lett. a) del Regolamento);

- le misure correttive prontamente adottate al fine di eliminare le conseguenze della violazione (art. 83, par. 2, lett. c) del Regolamento), avendo dichiarato il titolare del trattamento di avere rimosso il contenuto dalle piattaforme digitali;

- le misure organizzative interne implementate dal titolare per evitare il ripetersi di episodi analoghi, anche mediante la predisposizione di una circolare interna volta a richiamare tutte le redazioni sul rispetto della normativa in materia di protezione dei dati personali con particolare riferimento all’utilizzo di immagini di repertorio (art. 83, par. 2, lett. k) del Regolamento);

- le finalità perseguite dal titolare, riconducibili alla libertà di informazione di cui agli artt. 85 del Regolamento e 136 e ss. del Codice;

4. di applicare, in base al complesso di elementi sopra indicati e dei principi di effettività, proporzionalità e dissuasività indicati nell’art. 83, par. 1, del Regolamento, la sanzione amministrativa pecuniaria nella misura di euro 40.000,00 (quarantamila);

5. di procedere, ai sensi degli artt. 166, comma 7, del Codice, e 16, comma 1, del regolamento del Garante n. 1/2019, alla pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante, a titolo di sanzione accessoria, in considerazione dei seguenti fattori:

- il settore di attività del titolare del trattamento, destinato, per sua natura, alla diffusione di informazioni;

- la particolare capacità diffusiva e la peculiare modalità di fruizione dei contenuti offerte dalla piattaforma digitale – nello specifico YouTube – attraverso cui pure è stato veicolato il servizio giornalistico;

-  l’estraneità dei dati diffusi rispetto all’evento oggetto del menzionato servizio;

ORDINA

ai sensi degli artt. 58, par. 2, lett. i), e 83 del Regolamento a La7 S.p.A., con sede in Roma, Via della Pineta Sacchetti n. 229, Partita IVA 12391010159, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 40.000,00 (quarantamila) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione, rappresentando che il contravventore, ai sensi dell’art. 166, comma 8, del Codice ha facoltà di definire la controversia, mediante il pagamento, entro il termine di trenta giorni, di un importo pari alla metà della sanzione irrogata;

INGIUNGE

a La7 S.p.A., in caso di mancata definizione della controversia ai sensi del citato art. 166, comma 8, del Codice, di pagare la somma di euro 40.000,00 (quarantamila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge n. 689/1981;

DISPONE

a) ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione dell’ordinanza di ingiunzione adottata in conformità all’art. 58, par. 2, del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento;

b) ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito internet del Garante.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell’interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 marzo 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL VICE SEGRETARIO GENERALE
Filippi