[doc. web n. 10232840]

Provvedimento del 26 febbraio 2026

Registro dei provvedimenti
n. 137 del 26 febbraio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica, pubblicate in G.U. il 4 gennaio 2019, n. 3, doc. web n. 9067692;

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il prof. Pasquale Stanzione;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA

Con il reclamo, pervenuto a questa Autorità in data 7 ottobre 2025, il signor XX (di seguito anche «reclamante» o «interessato»), per il tramite del proprio legale di fiducia - Avv. XX -, ha lamentato la permanente reperibilità in rete di un articolo pubblicato il 2 luglio 2016 dalla testata giornalistica on-line “Lunanotizie.it”, edita da Radio Immagine Uno S.r.l. (di seguito anche «titolare» o «Società»). Tale articolo – rinvenibile all’URL https://... - reca la notizia dell’arresto del reclamante, del quale vengono riportate le generalità (nome e cognome), per il furto di un’automobile che ha originato un procedimento penale conclusosi con una sentenza di patteggiamento ex art. 444 c.p.p. emessa dal Tribunale Penale di XX il XX e divenuta irrevocabile il successivo XX.

L’interessato ha, altresì, rappresentato di non aver ricevuto riscontro alla richiesta di esercizio del diritto all’oblio (di cui all’art. 17 del Regolamento) formulata in data 16 dicembre 2023 nei confronti della citata Società agli indirizzi e-mail XX e XX, rinvenuti nelle “Note Legali” in calce al relativo sito internet.

Con l’atto introduttivo del procedimento il reclamante ha, quindi, chiesto un intervento di questa Autorità al fine di vedere soddisfatte le istanze di cancellazione dei dati personali all’interno dell’articolo lamentato nonché di deindicizzazione dello stesso; ciò in ragione del lungo decorso del tempo dall’accadimento dei fatti ivi narrati (risalenti al 2016) e dell’assenza di un interesse pubblico alla relativa notizia stante, peraltro, l’intervenuta definizione della vicenda giudiziaria con sentenza passata in giudicato.   

Con nota del 20 ottobre 2025, è stato chiesto al titolare di fornire le proprie osservazioni, ai sensi dell’art. 157 Codice, riguardo a quanto rappresentato nel reclamo e “di esplicitare le motivazioni alla base del mancato riscontro” all’istanza dell’interessato.

La richiesta di informazioni dell’Autorità, che è risultata correttamente consegnata all’indirizzo pec della Società, è rimasta priva di riscontro.

2. LA CONTESTAZIONE DELLE VIOLAZIONI

Considerato che il mancato riscontro a una richiesta di informazioni dell’Autorità costituisce autonoma violazione amministrativa, ai sensi dell’art. 157 del Codice, con nota del 21 novembre 2025 (rif. prot. n. 154428/25) è stato adottato l’atto di avvio del procedimento nei confronti della Società con il quale è stata contestata, oltre alla richiamata disposizione, anche l’inosservanza dell’art. 12, parr. 2 e 3, del Regolamento, in ragione dell’omessa risposta all’istanza di esercizio dei diritti dell’interessato nel previsto termine di trenta giorni dalla ricezione della stessa.

Tale comunicazione di avvio del procedimento è stata notificata al titolare in data 15 dicembre 2025 con l’ausilio del Nucleo speciale privacy della Guardia di Finanza che, con l’occasione, ha provveduto, altresì, ad acquisire le informazioni originariamente richieste con nota del 20 ottobre 2025.

3. OSSERVAZIONI DIFENSIVE E VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ

Il titolare, in occasione della notifica del citato atto di avvio del procedimento, ha dichiarato di non aver fornito riscontro alla richiesta dell’interessato in quanto ne avrebbe avuto contezza solo al momento dell’accertamento ispettivo. Nello specifico, la e-mail XX – utilizzata dall’interessato per la richiamata richiesta – risulta da anni inattiva e, pertanto, “verrà immediatamente rimossa” dal sito internet e sostituita con un nuovo indirizzo pec - XX – al quale inviare le istanze di esercizio del diritto all’oblio.

Con riferimento, invece, all’ulteriore e-mail (XX), pure utilizzata dal reclamante in sede di interpello preventivo, il titolare ha rappresentato di non poter verificare la ricezione della richiesta in quanto i messaggi ivi pervenuti vengono di norma cancellati “con cadenza semestrale” in ragione dell’elevato volume di comunicazioni inviate a tale indirizzo, relative anche ad “altre attività” della Società; tant’è che “l’ultima e-mail disponibile” - rinvenuta nella citata casella di posta elettronica -  “risale al 30/06/2025”.

Nelle successive argomentazioni difensive, pervenute a questa Autorità il 16 dicembre 2025, la Società ha confermato di aver ricevuto all’indirizzo pec XX la richiesta di informazioni del Garante – di cui ha avuto contezza solo durante l’ispezione – ma di non avervi dato seguito “per un disguido del tutto fortuito”. Ad ogni modo, la stessa ha comunicato “di aver provveduto prontamente”, già nel corso dell’accertamento ispettivo, “alla rimozione dei dati personali” del reclamante dall’articolo lamentato che, per l’effetto, può considerarsi “anonimo”, pur permanendo all’interno del sito internet della testata giornalistica “Lunanotizie.it”.

A integrazione della descritta memoria difensiva, la Società - con comunicazione del 15 gennaio 2026 - ha dichiarato di aver richiesto al motore di ricerca “Google” la deindicizzazione dell’articolo lamentato, in adesione alle istanze del reclamante, producendo, a sostegno di ciò, la relativa documentazione.

Alla luce di quanto sopra rappresentato, sulla base delle dichiarazioni rese ai sensi dell’art. 168 del Codice, si osserva, in primo luogo, che la conservazione dell’articolo lamentato nel sito internet del titolare – ancorché privo di dati personali del reclamante, in adesione alla richiesta di quest’ultimo – appare rispondente alla necessità di preservare memoria del fatto storico ivi narrato, salvaguardando, in tal modo, la legittima finalità di archiviazione nonché di informazione e documentazione giornalistica, in linea con gli artt. 17, par. 3, lett. a) e d), 5, par. 1, lett. b), del Regolamento e con l’art. 89 del Codice.

Inoltre, da una verifica del sito internet della Società, nella pagina dedicata alle “Note Legali”, è presente una sezione rubricata “Diritto all’oblio” che, in base a quanto ivi rappresentato, può essere esercitato dagli interessati scrivendo all’indirizzo pec XX; con ciò, il titolare ha provveduto a sanare la lacuna riscontrata già in sede di interpello preventivo sostituendo la e-mail risultata inattiva (XX) con il citato indirizzo pec.

Tuttavia, pur prendendo atto delle misure correttive adottate a seguito della comunicazione di avvio del procedimento anche in relazione all’avvenuta deindicizzazione del contenuto editoriale lamentato nel reclamo, non può escludersi una responsabilità in capo al titolare per aver precluso agli interessati di esercitare i diritti in materia di protezione di dati personali per un periodo di tempo potenzialmente molto più lungo di quello attenzionato dall’Autorità. Infatti, la e-mail originariamente preposta all’evasione delle richiamate istanze (XX) è risultata non funzionante già in occasione dell’interpello preventivo del 16 dicembre 2023 che, per l’effetto, è rimasto privo di riscontro; lo stesso titolare ha confermato, nella ricostruzione offerta nel corso dell’ispezione, che tale indirizzo e-mail “è inattivo da anni”, non avendo provveduto per tempo a porvi rimedio per mera dimenticanza (v. verbale del 15 dicembre 2025, pag. 3).

L’intervento riparatorio del titolare, che come già rappresentato avrebbe confermato la descritta lacuna, sarebbe avvenuto soltanto a seguito dell’atto di avvio del procedimento del 21 novembre 2025 e dopo l’accertamento ispettivo del successivo 15 dicembre.

La condotta omissiva contestata, connessa alla mancata risposta al reclamante, è proseguita anche con riferimento all’ulteriore indirizzo e-mail utilizzato per richiedere la cancellazione dei dati personali (XX), il quale non appare supportato da adeguate misure organizzative idonee a presidiare correttamente i canali di comunicazione con gli interessati al fine di assicurare un effettivo esercizio dei diritti da parte degli stessi e un puntuale riscontro alle relative istanze, in conformità alle disposizioni del Regolamento e del Codice.

La circostanza descritta, che come detto denota una non adeguata gestione dei canali di comunicazione, ha comportato un appesantimento degli adempimenti istruttori e un rallentamento dell’azione amministrativa ma, soprattutto, non ha garantito l’esercizio dei diritti che il Regolamento attribuisce agli interessati e ha costituito, quindi, un limite sostanziale al basilare principio di autodeterminazione degli stessi che, per l’effetto, è risultato notevolmente compromesso.

Al riguardo, si evidenzia che l’art. 12, par. 2, del Regolamento, richiede al titolare di agevolare l’esercizio dei diritti e, in base al successivo par. 3, di dare riscontro all’interessato entro un termine ragionevole e, al più tardi, entro trenta giorni dalla ricezione della relativa istanza. Tale riscontro, come sopra rappresentato, è stato reso dal titolare soltanto in occasione dell’acquisizione di informazioni da parte del Nucleo speciale privacy della Guardia di Finanza e dopo la comunicazione di avvio del procedimento dinanzi al Garante. Ad ogni modo, dalla documentazione in atti, non risulta che il titolare abbia prontamente informato il reclamante dell’avvenuto intervento operato sul contenuto editoriale oggetto di doglianza neppure dopo il citato accertamento ispettivo. Per le ragioni sopra esposte, si ritiene integrata la violazione dell’art. 12, parr. 2 e 3, del Regolamento.

A ciò si aggiunge il mancato riscontro alla richiesta di informazioni dell’Autorità del 20 ottobre 2025 che ha determinato un aggravamento del procedimento e reso necessario incaricare il Nucleo speciale privacy della Guardia di Finanza per ottenere le informazioni utili a completare l’istruttoria. Peraltro, nella richiamata richiesta di informazioni dell’Ufficio, indirizzata alla Società, era chiaramente evidenziato che, in caso di inottemperanza, si sarebbe resa “applicabile la sanzione amministrativa pecuniaria prevista dall’art. 166, comma 2, del citato d.lgs. n. 196/2003”. Soltanto in sede di accertamento ispettivo la Società ha avuto contezza della citata richiesta, rappresentando le motivazioni del mancato riscontro riconducibili a “un disguido del tutto fortuito”. Dalla decritta condotta discende una valutazione di complessiva negligenza da parte del titolare nei rapporti con l’Autorità, in particolare per ciò che concerne gli obblighi di collaborazione e di informazione, valutazione che ulteriormente avvalora e comprova il giudizio di responsabilità in relazione al contestato omesso riscontro di cui ai paragrafi precedenti. Pertanto, si ritiene di confermare la violazione dell’art. 157 del Codice.

4. CONCLUSIONI

Per quanto sopra esposto, si ritiene accertata la responsabilità del titolare in ordine alle seguenti violazioni:

- art. 12, parr. 2 e 3, del Regolamento;

- art. 157 del Codice.

Accertata l’illiceità delle sopra descritte condotte della Società:

a) si prende atto dell’avvenuta rimozione dei dati personali dall’articolo lamentato nonché della deindicizzazione dello stesso, in adesione alla richiesta del reclamante, non sussistendo, pertanto, gli estremi per l’adozione di ulteriori provvedimenti da parte del titolare;

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, si rende necessario ingiungere al citato titolare di adottare misure tecniche e organizzative adeguate, volte a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e a soddisfare, senza ingiustificato ritardo, le relative istanze, anche mediante il corretto presidio dei canali di comunicazione a tal fine dedicati (artt. 15 e 17 del Regolamento);

c) con riguardo ai trattamenti già realizzati e con finalità dissuasiva, si ritiene sussistano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria ai sensi degli artt. 58, par. 2, lett. i) e 83, par. 5, del Regolamento.

5. ORDINANZA INGIUNZIONE PER L’APPLICAZIONE DELLA SANZIONE AMMINISTRATIVA PECUNIARIA

In base a quanto sopra rappresentato, ai fini della quantificazione della sanzione amministrativa il citato art. 83, par. 5, del Regolamento, nel fissare il massimo edittale nella somma di 20 milioni di euro ovvero, per le imprese, nel 4% del fatturato mondiale annuo dell’esercizio precedente ove superiore, specifica le modalità di quantificazione della predetta sanzione che deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1, del Regolamento), individuando, a tal fine, una serie di elementi, elencati al par. 2, da valutare all’atto di quantificarne il relativo importo.

Quali circostanze da prendere in considerazione, nel caso di specie, devono essere valutati, sotto il profilo delle aggravanti:

la gravità delle violazioni rilevate con particolare riferimento alla reiterazione delle condotte omissive da parte della Società e ad una non adeguata gestione dei canali di comunicazione dedicati alle richieste degli interessati, stante, peraltro, il non funzionamento, per un lungo periodo di tempo, di un indirizzo e-mail a tal fine preposto (art. 83, par. 2, lett. a, del Regolamento);

il carattere negligente della condotta, atteso che la Società ha agito con noncuranza rispetto agli obblighi derivanti dalla normativa in materia di protezione dei dati personali, con particolare riferimento sia all’evasione delle istanze di esercizio dei diritti degli interessati sia al riscontro alle comunicazioni dell’Autorità, in violazione dei doveri di collaborazione e informazione previsti dall’art. 31 del Regolamento e dall’art. 157 del Codice (art. 83, par. 2, lett. b), del Regolamento);

il grado di cooperazione con l’Autorità, atteso che la Società non ha tenuto conto delle conseguenze che potevano derivare dal mancato riscontro alla richiesta di informazioni del Garante, anche sotto il profilo della completa istruzione del procedimento sul reclamo; invero, la Società ha fornito riscontro alla citata richiesta di informazioni dell’Autorità soltanto dopo l’atto di avvio del presente procedimento e in occasione dell’accertamento ispettivo da parte del Nucleo speciale privacy della Guardia di Finanza (art. 83, par. 2, lett. f, del Regolamento).

Quali elementi attenuanti, si ritiene di dover tener conto:

della natura isolata della condotta, dal momento che il procedimento in parola è scaturito da un solo reclamo (art. 83, par. 2, lett. a, del Regolamento);

le finalità perseguite dal titolare, riconducibili all’esercizio del diritto di cronaca e alla libertà di informazione, secondo quanto stabilito dal Regolamento (art. 85) e dal Codice (artt. 136 e ss.) (art. 83, par. 2, lett. a, del Regolamento);

dell’adozione di misure correttive avviate subito dopo la conclusione dell’accertamento ispettivo (art. 83, par. 2, lett. c, del Regolamento);

dell’assenza di precedenti procedimenti avviati a carico del titolare (art. 83, par. 2, lett. e, del Regolamento).

In base al complesso degli elementi sopra indicati, in applicazione dei richiamati principi di effettività, proporzionalità e dissuasività, di cui all’art. 83, par. 1, del Regolamento, tenuto conto, altresì, del necessario bilanciamento fra diritti degli interessati e libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative, funzionali e occupazionali della Società, si ritiene debba applicarsi a Radio Immagine Uno S.r.l. la sanzione amministrativa del pagamento di una somma di euro 10.000,00 (diecimila/00), pari allo 0,05% della sanzione edittale massima di 20 milioni di euro.

Nel caso in argomento, si ritiene che debba applicarsi, altresì, la sanzione accessoria della pubblicazione nel sito internet dell’Autorità del presente provvedimento, prevista dall’art. 166, comma 7, del Codice e dall’art. 16 del regolamento del Garante n. 1/2019.

In attuazione dei principi di cui all’art. 83 del Regolamento, l’irrogazione di tale sanzione accessoria appare proporzionata in ragione della gravità e del particolare disvalore della condotta oggetto di censura con specifico riferimento agli obblighi di evasione delle istanze di esercizio dei diritti degli interessati, avendovi la Società provveduto soltanto dopo l’intervento dell’Autorità; a ciò si aggiunge l’inosservanza dei doveri di collaborazione e di informazione nei rapporti con il Garante.

Ricorrono, infine, i presupposti di cui all’art. 17 del regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante, per l’annotazione delle violazioni qui rilevate nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecito il trattamento descritto nei termini di cui in motivazione effettuato da Radio Immagine Uno S.r.l., con sede legale in XX, XX (XX), P.IVA. 02064050590; di conseguenza:

a) prende atto dell’avvenuta rimozione dei dati personali dall’articolo lamentato nonché della deindicizzazione dello stesso, in adesione alla richiesta del reclamante, non sussistendo, pertanto, gli estremi per l’adozione di ulteriori provvedimenti da parte del titolare;

b) ai sensi dell’art. 58, par. 2, lett. d), del Regolamento, ingiunge di adottare misure tecniche e organizzative adeguate, volte a facilitare l’esercizio dei diritti previsti dalla normativa in materia di protezione dei dati personali e a soddisfare, senza ingiustificato ritardo, le relative istanze, anche mediante il corretto presidio dei canali di comunicazione a tal fine dedicati (artt. 15 e 17 del Regolamento);

c) ai sensi dell’art. 157 del Codice, ingiunge al citato titolare di comunicare all’Autorità, nel termine di trenta giorni dalla notifica del presente provvedimento, le iniziative intraprese al fine di dare attuazione alla misura imposta; l’eventuale mancato adempimento a quanto disposto nel presente punto può comportare l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, del Regolamento;

ORDINA

a Radio Immagine Uno S.r.l. ai sensi dell’art. 58, par. 2, lett. i), del Regolamento, di pagare la somma di euro 10.000 (diecimila/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione; si rappresenta che il contravventore, ai sensi dell’art. 166, comma 8, del Codice, ha facoltà di definire la controversia mediante pagamento, entro il termine di 30 giorni, di un importo pari alla metà della sanzione comminata;

INGIUNGE

alla predetta Società, in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 10.000 (diecimila/00) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981;

DISPONE

a) ai sensi degli artt. 154-bis del Codice e 37 del regolamento del Garante n. 1/2019, la pubblicazione del presente provvedimento nonché, ai sensi dell’art. 166, comma 7, del Codice, la pubblicazione della presente ordinanza ingiunzione sul sito internet dell’Autorità;

b) ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u), del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’Autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati personali, o, in alternativa, al tribunale del luogo di residenza dell’interessato, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 febbraio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori