[doc. web n. 10248572]

Provvedimento del 12 marzo 2026

Registro dei provvedimenti
n. 175 del 12 marzo 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Claudio Filippi, Vice segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica, pubblicate in G.U. il 4 gennaio 2019, n. 3, doc. web n. 9067692 (di seguito “Regole deontologiche”); 

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000; 

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA

Con il reclamo presentato ai sensi dell’art. 77 del Regolamento in data 28 dicembre 2023, integrato il successivo 3 aprile 2024, il signor XX - rappresentato e difeso dagli avvocati XX, XX e XX - ha lamentato la reperibilità in rete, in associazione al proprio nominativo, di articoli relativi a vicende giudiziarie connesse allo scandalo dei rifiuti della Regione Sicilia rispetto alle quali il medesimo è risultato estraneo “[…] non essendo stato mai sottoposto alle indagini né tantomeno iscritto nel registro degli indagati”. In particolare, nella prospettazione dei fatti offerta dall’interessato, le condotte illecite narrate negli articoli lamentati fanno riferimento a una società – la XX, già XX – nella quale il reclamante ha rivestito il ruolo di consigliere e presidente del consiglio di amministrazione “solamente nel marzo 2020 […]”, quindi successivamente ai “fatti […] oggetto di contestazione da parte dell’Autorità Giudiziaria” perpetrati sino al 2019. Il reclamante ha, altresì, sottolineato che dal 19 agosto 2020 non riveste più “alcun ruolo sociale che potrebbe potenzialmente giustificare un’ingerenza del pubblico interesse ad avere accesso alle informazioni a lui riferibili”.

Pertanto, con il reclamo in parola, l’interessato - nel ritenere le notizie testé diffuse “inattuali, inadeguate e non più pertinenti” tali da ingenerare nei lettori una percezione distorta circa un suo coinvolgimento nelle vicende narrate - ha indicato gli URL rinvianti agli articoli pubblicati il 4 giugno e 8 luglio 2020 dalla testata giornalistica on-line MeridioNews.it (di cui al sito internet www.meridionews.it), edita da Artemide S.r.l.s. (di seguito “Società” o “titolare”), chiedendone la deindicizzazione nonché la cancellazione dei propri dati personali ivi riportati  (https://... e https://...). Lo stesso ha, altresì, lamentato il mancato riscontro all’istanza di cancellazione e di deindicizzazione avanzata nei confronti del titolare in data 17 aprile 2023 all’indirizzo e-mail indicato in calce al relativo sito internet nonché nella pagina dei “Contatti” (XX).  

Con nota del 19 aprile 2024 è stato chiesto alla Società di fornire le proprie osservazioni, ai sensi dell’art. 157 del Codice, riguardo a quanto rappresentato nel reclamo e “di offrire un riscontro anche in relazione alle istanze preliminarmente avanzate dal reclamante, producendo copia dell’eventuale risposta fornita”. La richiesta di informazioni dell’Autorità, che è risultata correttamente consegnata all’indirizzo pec del titolare, è rimasta priva di riscontro e, per tali ragioni, è stata rinnovata con nota dell’11 dicembre 2024. Anche quest’ultima comunicazione, pur risultando regolarmente consegnata, è rimasta inevasa. 

2. LA CONTESTAZIONE DELLE VIOLAZIONI

Con nota del 22 gennaio 2025 (rif. prot. N. XX) - considerato che il mancato riscontro a una richiesta di informazioni dell’Autorità costituisce autonoma violazione amministrativa, ai sensi dell’art. 157 del Codice, è stato adottato l’atto di avvio del procedimento nei confronti della Società con il quale è stata contestata, oltre alla richiamata disposizione, anche l’inosservanza dell’art. 12, parr. 2 e 3, del Regolamento in ragione del mancato riscontro all’istanza di esercizio dei diritti dell’interessato nel previsto termine di trenta giorni dalla ricezione della stessa. 

3. OSSERVAZIONI DIFENSIVE E VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ

Con comunicazione del 10 febbraio 2025 il titolare ha presentato le proprie memorie difensive dichiarando che il contestato mancato riscontro all’Autorità risulta essere “frutto di circostanze e cause [al medesimo] non [direttamente] imputabili”. Nello specifico, il titolare ha dapprima sostenuto di non aver ricevuto al proprio indirizzo pec le due richieste di informazioni formulate dall’Autorità ai sensi dell’art. 157 del Codice e, per l’effetto, di essersi rivolto in un primo momento “alla società di gestione della casella pec (Aruba) per verificare se vi fossero stati malfunzionamenti […] che potessero giustificare il mancato rinvenimento […]” delle citate note; successivamente, ottenuta da Aruba la conferma dell’avvenuta consegna, il titolare ha quindi sostenuto di aver contattato la società esterna alla quale aveva affidato la gestione della pec, precisando di aver sospeso i rapporti contrattuali con la stessa “nell’attesa di stabilire le specifiche responsabilità”. 

Inoltre, nel riportare i tempi di lettura degli articoli contestati, emersi da “Google Analytics” e ritenuti “insufficienti” per una completa consultazione degli stessi, il titolare non ha rinvenuto “alcun danno derivante all’avv. XX” anche in ragione del fatto che i lamentati contenuti editoriali recavano “oltre ai dati identificativi del reclamante, l’indicazione della funzione svolta all’epoca dei fatti – essenziali ai fini informativi proprio in considerazione del suo ruolo – senza indulgere in alcun modo sulle relative condotte, con evidente rispetto dei principi di essenzialità e continenza espositiva”. Ad ogni modo, il titolare ha rappresentato di essersi “immediatamente attivato per dare riscontro al Garante” non appena “venuto a conoscenza dell’episodio in questione” e di aver proceduto con la deindicizzazione degli articoli in parola, dandone pronta comunicazione al reclamante. 

Alla luce di quanto testé rappresentato, in base alle dichiarazioni rese ai sensi dell’art. 168 del Codice - nel prendere atto dell’avvenuta deindicizzazione degli articoli lamentati in adesione all’istanza del reclamante – non può escludersi una responsabilità della Società in ordine al mancato riscontro alla richiesta di informazioni dell’Autorità. Sotto questo profilo deve rilevarsi, in primo luogo, che le circostanze descritte nella memoria difensiva - oltre a non essere supportate da evidenze probatorie che attestino l’asserita mancata ricezione della pec unitamente agli esiti delle verifiche interne condotte anche mediante il coinvolgimento di terzi nella ricostruzione dell’evento anomalo da cui sarebbe originata la violazione contestata dall’Autorità – non possono giustificare un’abdicazione della Società nel ruolo di titolare del trattamento e, quindi, sollevare la stessa dagli adempimenti in materia di protezione dei dati personali. Invero, le richieste inviate all’indirizzo pec in questione, come le note dell’Autorità del 19 aprile e 11 dicembre 2024, sono risultate dirette esclusivamente al domicilio digitale della Società che, quindi, era la sola tenuta a darvi seguito, non rilevando l’affidamento ad un terzo della relativa gestione tecnica. Peraltro, il fatto di aver affidato la gestione della pec a una società esterna non basta a ridurre il grado di responsabilità in vigilando che il titolare deve costantemente esercitare nel corso delle attività di trattamento; e ciò è ancor più necessario quando l’attività comporti il coinvolgimento di soggetti terzi, in ragione della potenziale elusione delle norme di garanzia attraverso la ripartizione negoziale delle responsabilità. Ne consegue che le giustificazioni alla base del mancato riscontro non sono idonee ad escludere la responsabilità in capo alla Società, dal momento che la stessa risponde, per i profili amministrativi contestati, anche delle condotte poste in essere da soggetti terzi che operano sotto la sua diretta autorità e vigilanza. 

Pertanto, considerato che l’indirizzo di posta elettronica certificata della Società è risultato pienamente funzionante - come peraltro confermato dalla stessa Aruba - deve ritenersi integrata la violazione dell’art. 157 del Codice, da cui discende una valutazione di complessiva negligenza da parte del titolare nei rapporti con l’Autorità, in particolare per ciò che concerne gli obblighi di collaborazione individuati dall’art. 31 del Regolamento.

Nessuna risposta è stata invece fornita dal titolare in ordine al mancato riscontro all’istanza di esercizio dei diritti dell’interessato avanzata il 17 aprile 2023 all’indirizzo e-mail indicato in calce al sito internet nonché nella relativa pagina dei “Contatti”. Tale indirizzo, benché diverso da quelli presenti nella “Privacy Policy” della testata giornalistica coinvolta nel trattamento, risulta essere sempre riferibile alla Società editrice e lo stesso non può di per sé legittimare il mancato riscontro alla citata istanza. Al riguardo preme osservare che, come sancito dall’European Data Protection Board nelle Linee guida n. 1/2022 adottate il 28 marzo 2023 (cfr. https://www.edpb.europa.eu/system/files/2024-04/edpb_guidelines_202201_data_subject_rights_access_v2_it.pdf), nel caso in cui “un interessato presenti una richiesta utilizzando un canale di comunicazione fornito dal titolare del trattamento, diverso da quello indicato come preferibile, tale richiesta, in generale, è considerata valida e il titolare del trattamento dovrebbe gestirla di conseguenza” (v. punto 53). Pertanto, se il richiamato obbligo di riscontro si estende anche alle istanze pervenute tramite canali diversi da quelli segnalati come preferenziali, a fortiori esso si applica alle richieste inviate all’indirizzo e-mail espressamente indicato dal titolare stesso nella pagina dei “Contatti” del sito internet, appositamente dedicata alla ricezione delle comunicazioni degli utenti.

L’inerzia della Società si è infatti rivelata idonea a inficiare l’esercizio dei diritti dell’interessato; tant’è che al fine di vedere soddisfatte le proprie richieste il reclamante è stato costretto a rivolgersi al Garante ricevendo soddisfazione a distanza di quasi due anni dalla proposizione delle citate istanze. L’art. 12, par. 2, del Regolamento richiede al titolare di agevolare l’esercizio dei diritti e, in base al successivo par. 3, di dare riscontro all’interessato entro un termine ragionevole e, al più tardi, entro 30 giorni dalla ricezione della relativa istanza. Tale riscontro, come sopra rappresentato, non è stato reso dal titolare, integrando la violazione dell’art. 12, parr. 2 e 3, del Regolamento.  

4. CONCLUSIONI

Per quanto sopra esposto, si ritiene accertata la responsabilità del titolare in ordine alle seguenti violazioni: 

- art. 12, parr. 2 e 3 del Regolamento;

- art. 157 del Codice.

Accertata l’illiceità delle sopra descritte condotte del titolare:

a) si prende atto dell’avvenuta deindicizzazione degli articoli lamentati in adesione alla richiesta del reclamante, non sussistendo, pertanto, gli estremi per l’adozione di ulteriori interventi;

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, si rende necessario ingiungere di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze (artt. 15 e 17 del Regolamento); ciò anche attraverso il corretto presidio dei canali di comunicazione con gli interessati e l’Autorità;

c) con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, par. 5, del Regolamento. 

5. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al paragrafo 2, da valutare all’atto di quantificarne il relativo importo.

Quali circostanze da prendere in considerazione, nel caso di specie, devono essere valutati, sotto il profilo delle aggravanti:

- la gravità della violazione tenuto conto della reiterazione delle condotte omissive da parte della Società in relazione sia alle richieste avanzate dall’interessato in sede di interpello preventivo, sia alle note inviate dall’Autorità alle quali ha fornito riscontro soltanto dopo l’atto di avvio del presente procedimento (art. 83, par. 2, lett. a, del Regolamento);

- il carattere negligente della condotta, tenuto conto che il titolare ha agito con noncuranza rispetto agli obblighi derivanti dalla normativa in materia di protezione dei dati personali, con particolare riferimento ai doveri di evasione delle istanze di esercizio dei diritti degli interessati, nonché ai profili di collaborazione individuati dall’art. 31 del Regolamento (art. 83, par. 2, lett. b, del Regolamento).

Quali elementi attenuanti, si ritiene di dover tener conto:

- della natura isolata della condotta, dal momento che il procedimento in parola è scaturito da un solo reclamo (art. 83, par. 2, lett. a, del Regolamento);

- delle finalità perseguite dal titolare, riconducibili all’esercizio del diritto di cronaca e alla libertà di informazione, secondo quanto stabilito dal Regolamento (art. 85) e dal Codice (artt. 136 e ss.) (art. 83, par. 2, lett. a, del Regolamento);

- dell’avvenuta deindicizzazione degli articoli contestati tale da far ritenere cessati gli effetti della condotta lamentata (art. 83, par. 2, lett. c, del Regolamento);

- dell’assenza di precedenti procedimenti avviati a carico del titolare (art. 83, par. 2, lett. e del Regolamento). 

In base al complesso degli elementi sopra indicati, in applicazione dei richiamati principi di effettività, proporzionalità e dissuasività, di cui all’art. 83, par. 1, del Regolamento, tenuto conto, altresì, del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali ed occupazionali del titolare, si ritiene debba applicarsi ad Artemide S.r.l.s., in qualità di titolare della testata giornalistica on-line MeridioNews.it, la sanzione amministrativa del pagamento di una somma di euro 10.000,00 (diecimila/00), pari a circa lo 0,05% della sanzione edittale massima di 20 milioni di euro.

Nel caso in argomento si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito del Garante della presente ordinanza ingiunzione, prevista dall’art. 166, comma 7, del Codice e art. 16 del Regolamento del Garante n. 1/2019.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare proporzionata in ragione della reiterata condotta omissiva e dell’aggravamento dei tempi e dei costi del procedimento, da cui consegue una valutazione di significativo disvalore della condotta medesima.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Artemide S.r.l.s., con sede legale in Via Vittorio Emanuele Orlando 38, 95030 Tremestieri Etneo (CT), P.IVA. 05148690877; di conseguenza:

a) prende atto dell’avvenuta deindicizzazione degli articoli lamentati in adesione alla richiesta del reclamante, non sussistendo, pertanto, gli estremi per l’adozione di ulteriori interventi;

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge di adottare misure tecniche e organizzative adeguate a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e di soddisfare, senza ingiustificato ritardo, le relative istanze (artt. 15 e 17 del Regolamento); ciò anche attraverso il corretto presidio dei canali di comunicazione con gli interessati e l’Autorità;

c) ai sensi dell’art. 157 del Codice, ingiunge al citato titolare di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento;

ORDINA

ad Artemide S.r.l.s., in qualità di titolare della testata giornalistica on-line MeridioNews.it, ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 10.000,00 (diecimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

al predetto titolare, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000,00 (diecimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981; 

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del regolamento n. 1/2019, la pubblicazione del presente provvedimento nonché, ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione della presente ordinanza ingiunzione sul sito web del Garante;

b) ai sensi dell’art. 17 del regolamento n. 1/2019, l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’Autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 12 marzo 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL VICE SEGRETARIO GENERALE
Filippi