[doc. web n. 10242852]

Provvedimento del 26 marzo 2026

Registro dei provvedimenti
n. 215 del 26 marzo 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente, e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali recante disposizioni per l’adeguamento dell’ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica, pubblicate in G.U. il 4 gennaio 2019, n. 3, doc. web n. 9067692 (di seguito “Regole deontologiche”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE il dott. Agostino Ghiglia;

PREMESSO

1. L’ATTIVITÀ ISTRUTTORIA

Con il reclamo presentato ai sensi dell’art. 77 del Regolamento in data 30 luglio 2025, il signor XX (di seguito “interessato” e “reclamante”) ha lamentato la pubblicazione sul profilo Facebook del signor Nicolò Cristaldi (di seguito “titolare”) di un atto giudiziario relativo al procedimento che lo vede coinvolto per il reato di minaccia grave di cui all’art. 612, comma 2, del codice penale. In particolare, il documento lamentato - datato 21 luglio 2025 e rinvenibile al seguente URL https://... – reca la comunicazione al querelante dell’emissione, da parte del Tribunale di XX, di un decreto penale di condanna a carico del reclamante nell’ambito del procedimento n. XX. Secondo il reclamante, la descritta condotta configura “un trattamento illecito di dati giudiziari” avvenuto in assenza della base giuridica del consenso e “potenzialmente lesivo della reputazione” dello stesso. Per tali ragioni, l’interessato ha chiesto un intervento dell’Autorità.

Con nota del 9 settembre 2025 è stato chiesto al titolare di fornire osservazioni, ai sensi dell’art. 157 del Codice, riguardo a quanto rappresentato nel reclamo e di comunicare l’eventuale adesione all’istanza di rimozione avanzata dall’interessato. La richiesta di informazioni, che è risultata correttamente consegnata all’indirizzo pec della XX. - società unipersonale, di cui il titolare risulta essere amministratore unico - è rimasta priva di riscontro.

2. LA CONTESTAZIONE DELLE VIOLAZIONI

Con nota del XX (rif. prot. n. XX) - considerato che il mancato riscontro a una richiesta dell’Autorità costituisce autonoma violazione amministrativa, ai sensi dell’art. 157 del Codice, - è stato adottato l’atto di avvio del procedimento nei confronti del titolare coinvolto nel reclamo in esame. Con tale atto è stata contestata, oltre alla violazione della richiamata disposizione (art. 157 del Codice), anche l’inosservanza degli artt. 5, par. 1, lett. a) e c), del Regolamento, 137 del Codice e 6 delle Regole deontologiche, in quanto la pubblicazione, sul profilo social oggetto di doglianza, della comunicazione al querelante dell’emissione di un decreto penale di condanna nei confronti del reclamante sarebbe stata effettuata in violazione dei principi di liceità, correttezza e minimizzazione dei dati, oltreché dell’essenzialità dell’informazione.

La comunicazione di avvio del procedimento è stata notificata al titolare in data 22 gennaio 2026 con l’ausilio del Nucleo speciale privacy della Guardia di Finanza che, con l’occasione, ha provveduto, altresì, ad acquisire le informazioni originariamente richieste con nota del 9 settembre 2025.

3. OSSERVAZIONI DIFENSIVE E VALUTAZIONI DI ORDINE GIURIDICO DELL’AUTORITÀ

Con comunicazione del 12 febbraio 2026 il titolare ha prodotto le proprie memorie difensive in ordine all’atto di avvio del procedimento, notificato il precedente 22 gennaio a mezzo del Nucleo speciale privacy della Guardia di Finanza, confermando quanto già dichiarato in sede di accertamento ispettivo e rappresentando di “non aver mai preso visione della PEC inviata dal Garante […]”, in quanto la stessa sarebbe stata indirizzata alla società unipersonale XX., soggetto giuridico distinto dalla propria persona.

L’indirizzo pec riconducibile alla XX. – della quale il titolare ha dichiarato essere amministratore unico – risulta gestito dal contabile dello studio commercialista di cui la predetta società unipersonale si avvale; quest’ultimo avrebbe provveduto a “cestinare” la comunicazione dell’Autorità, non avendo chiaramente identificato il mittente della stessa. Tale circostanza non ha, pertanto, consentito al titolare di fornire riscontro alla richiesta di informazioni formulata dall’Autorità che, diversamente, sarebbe stata tempestivamente evasa, come peraltro avvenuto nel corso dell’ispezione.

Il titolare ha infine aggiunto che — come riscontrabile mediante consultazione del registro INI-PEC — l’indirizzo di posta elettronica certificata a lui riferibile avrebbe potuto essere agevolmente individuato inserendo quale chiave di ricerca il relativo codice fiscale (XX).

Con riferimento alla contestazione formulata con il richiamato atto di avvio del procedimento, avente ad oggetto la presunta violazione dei principi di liceità del trattamento, nonché di minimizzazione dei dati e di essenzialità dell’informazione, asseritamente integrata mediante la pubblicazione, sul segnalato profilo Facebook, della comunicazione dell’emissione del decreto penale di condanna a carico del reclamante, il titolare ha rappresentato quanto segue.

La lamentata pubblicazione deve ritenersi lecita in quanto espressione dell’esercizio del diritto di cronaca, posto che la vicenda giudiziaria che ha interessato il reclamante - condannato per il reato di “minaccia grave” di cui all’art. 612, comma 2, c.p. - ha avuto “ampio risalto e diffusione a livello mediatico”, in ragione del ruolo pubblico rivestito dalle parti coinvolte. In particolare, secondo quanto rappresentato nelle memorie difensive, nel 2023 il reclamante – in passato impegnato  nell’attività politica locale -  avrebbe “minacciato di morte” l’attuale consigliere dell’Amministrazione comunale di XX – XX – per aver quest’ultimo denunciato alle competenti Autorità di pubblica sicurezza, “una serie di abusi ed irregolarità” nell’ambito di una procedura selettiva indetta dall’Ente amministrativo “per la nomina a tempo determinato di un Dirigente ex art. 110 TUEL”. Tale procedura sarebbe stata vinta dalla XX del reclamante, già XX dell’attuale vertice politico dell’Amministrazione comunale.

Secondo il titolare, i fatti testé descritti — portati all’attenzione mediatica dalla persona offesa dalle asserite “minacce di morte” (signor XX) — hanno rivestito un indubbio interesse pubblico alla loro conoscibilità da parte della comunità locale, in considerazione del ruolo ricoperto dai soggetti coinvolti e del contesto amministrativo in cui la vicenda si è sviluppata.

Dalla prospettazione offerta, ne consegue che la pubblicazione oggetto di doglianza – in quanto riconducibile ai trattamenti effettuati per “scopi giornalistici o di espressione accademica, artistica o letteraria”, ai sensi dell’art. 136 del Codice, - risulta assoggettata alle specifiche “deroghe ed eccezioni” previste dall’art. 85 del Regolamento. In tale prospettiva, il trattamento dei dati sensibili o giudiziari non richiederebbe il consenso dell’interessato, purché effettuato nel rispetto delle regole deontologiche applicabili e del principio di essenzialità dell’informazione di cui all’art. 137 del Codice. Invero, la lamentata pubblicazione “non solo non richiedeva il consenso dell’interessato […]” ma è stata realizzata nel rispetto dei principi di verità e continenza verbale, oltreché di pertinenza, “intesa quale oggettivo interesse per l’opinione pubblica”.

Nello specifico, il titolare ha dichiarato che l’atto giudiziario in argomento pubblicato sul proprio profilo Facebook – previa autorizzazione asseritamente concessa dal soggetto coinvolto nel procedimento penale per il quale il reclamante sarebbe stato condannato – non corrisponderebbe “al decreto penale di condanna tout court”, bensì costituirebbe “una mera comunicazione di cancelleria indirizzata alla persona offesa” dai reati contestati. Peraltro, i dati personali riportati nel predetto atto giudiziario farebbero riferimento al solo nominativo del reclamante e non consentirebbero, di per sé, un’identificazione certa dello stesso, diversamente dal decreto penale di condanna recante ulteriori elementi identificativi, quali la data di nascita e l’indirizzo di residenza.

Inoltre, “il fatto che il decreto penale di condanna è assistito dal beneficio della non menzione nel casellario giudiziario non esclude di per sé la pubblicazione del relativo contenuto nell’esercizio del diritto di cronaca quando questo, come nel caso di specie, è pienamente rispettoso dei limiti della continenza, verità e pubblicità”. Pertanto, “il beneficio della non menzione della condanna nel certificato del casellario giudiziale […] – ha aggiunto - non comporta il divieto per la stampa di pubblicare la notizia della condanna, in quanto il diritto di cronaca trova il suo fondamento nell’art. 21 della Costituzione e la notizia di una condanna penale, ancorché non menzionata, è di per sé di pubblico interesse”.

Ad ogni modo, il titolare, già in sede di accertamento ispettivo, ha “spontaneamente deciso di eliminare dal proprio account facebook il documento contestato” e, alla luce anche delle osservazioni sopra riportate, ha chiesto l’archiviazione del procedimento avviato nei suoi confronti, non ravvisandosi, a suo dire, alcuna violazione della normativa in materia di protezione dei dati personali.

In base alle affermazioni rese dal titolare, di cui il medesimo risponde ai sensi dell’art. 168 del Codice, considerata la documentazione prodotta in sede di memorie difensive, si formulano le seguenti valutazioni di ordine giuridico.

Con riferimento alla dedotta violazione dell’art. 157 del Codice, deve osservarsi che la richiesta dell’Autorità è stata trasmessa all’indirizzo di posta elettronica certificata della società unipersonale XX., della quale il titolare risulta essere amministratore unico.

La sostanziale coincidenza soggettiva ravvisabile nel caso di specie — derivante dal fatto che la medesima persona fisica riveste, come attestato dalla visura camerale estratta dal Registro delle Imprese, sia la qualifica di amministratore unico sia quella di socio unico — determina una significativa sovrapposizione tra centro decisionale societario e sfera personale. In tale contesto, l’Autorità ha maturato un legittimo affidamento che la richiesta di informazioni, trasmessa alla società, pervenisse comunque alla conoscenza del soggetto che ne concentra integralmente la rappresentanza e il potere decisionale. Appariva, dunque, ragionevole attendersi un riscontro alla citata richiesta, anche qualora la risposta fosse consistita in una dichiarazione di estraneità della società rispetto al trattamento contestato.

Ciò nondimeno, considerato che la condotta lamentata nel reclamo attiene alla gestione di contenuti pubblicati sul profilo social dell’interessato in qualità di privato cittadino e non invece nell’esercizio dell’attività imprenditoriale, si ritiene di dover disporre l’archiviazione della contestazione relativa alla violazione dell’art. 157 del Codice.

Nel merito della questione oggetto di doglianza, preme ricordare che nella pubblicazione di contenuti informativi tratti da procedimenti penali il Garante è chiamato a effettuare un bilanciamento degli interessi in gioco tenendo in debita considerazione, da un lato, le disposizioni processuali vigenti e il correlato regime di segretezza/pubblicità degli atti, dall’altro, il paramento dell’ “essenzialità dell’informazione” riguardo a fatti di interesse pubblico, esplicitato nel Codice e nelle Regole deontologiche. In particolare, nell’ottica della richiamata operazione di bilanciamento, il Garante è tenuto a considerare, fra l’altro, “il tipo di soggetti coinvolti […], il tipo di reato accertato e la particolare tenuità dello stesso, l’eventualità che si tratti di condanne scontate da diversi anni o assistite da particolari benefici (es. quello della non menzione nel casellario) […]” (cfr. “Privacy e giornalismo. Alcuni chiarimenti in risposta a quesiti dell'Ordine dei giornalisti - 6 maggio 2004”, in www.gpdp.it, doc. web n. 1007634).

Nel caso di specie, il titolare ha proceduto alla pubblicazione sul proprio profilo Facebook dell’avviso al querelante dell’emissione del decreto penale nella sua interezza, comprensivo del nominativo del reclamante, dell’indicazione dell’Autorità giudiziaria procedente, nonché di dati identificativi di soggetti terzi a vario titolo coinvolti nel procedimento. Tale documento afferisce a un procedimento giudiziario di natura “speciale” non soggetto a regime ordinario di pubblicità. Invero, il decreto penale di condanna viene iscritto nel casellario giudiziale ma non compare nel certificato del casellario richiesto dallo stesso interessato, in quanto connesso all’istituto della “non menzione”, disciplinato dall’art. 175 del codice penale; si tratta di un atto che non può essere liberamente visionato da terzi, pur configurandosi come una vera e propria sentenza di condanna (v. d.P.R. del 14 novembre 2002, n. 313, come modificato dal d.lgs. 2 ottobre 2018, n. 122).

L’esimente della natura giornalistica del trattamento effettuato tramite il profilo Facebook del titolare, invocata da quest’ultimo e richiamata in ragione dell’eco mediatica assunta dalla vicenda nel contesto locale e amministrativo di riferimento – anche in considerazione del ruolo pubblico dei soggetti coinvolti -, non può in alcun modo giustificare la pubblicazione integrale del citato avviso al querelante. Quest’ultimo, infatti, presenta un evidente carattere di eccedenza rispetto alle finalità informative perseguite.

L’Autorità ha più volte chiarito che la pubblicazione dei dati identificativi delle persone nei cui confronti è instaurato un procedimento penale non è, di per sé, preclusa dall’ordinamento vigente, dovendo essere ricondotta alle garanzie poste a tutela della trasparenza e del controllo da parte dei cittadini sull’attività di giustizia (cfr., ex multis, provv. 23 febbraio 2023, n. 100, doc. web n. 9890983; provv. 25 febbraio 2021, n. 77, doc. web n. 9568061; provv. 9 aprile 2020, n. 72, doc. web n.  9433221; provv. 7 febbraio 2019, n. 38, doc. web n. 9101651; provv. 12 ottobre 2017, n. 409, doc. web n. 7273804; tutti in www.gpdp.it).

Muovendo da tale assunto, la diffusione dei dati identificativi del reclamante e del querelante, sia nell’ambito di articoli di stampa sia nel contesto di un dibattito sviluppatosi su una pagina social, appare rispondente a un interesse pubblico alla conoscenza della vicenda che li ha coinvolti; per contro, la pubblicazione integrale della comunicazione dell’emissione del decreto penale di condanna non appare necessaria ai fini della formazione di un’opinione consapevole, traducendosi piuttosto in una forma di divulgazione eccedente e non strettamente funzionale a soddisfare l’esigenza informativa.

Pertanto, la diffusione sul lamentato profilo social del titolare della comunicazione al querelante dell’emissione di un decreto penale di condanna a carico del reclamante risulta essere stata realizzata in spregio delle necessarie garanzie di segretezza operanti in base alle disposizioni dell’ordinamento processuale penale e la stessa non appare conforme ai principi di liceità, correttezza e minimizzazione dei dati, di cui all’art. 5, par. 1, lett. a) e c) del Regolamento, oltreché avvenuta in violazione del principio di essenzialità dell’informazione di cui agli artt. 137 del Codice e 6 delle Regole deontologiche. La visualizzazione del citato documento all’interno del profilo Facebook del titolare, oltre a non impedire in radice un’eventuale futura condivisione con altri utenti della rete attraverso le principali piattaforme social, in ragione della natura aperta del gruppo, ha avuto l’effetto di perpetrare e amplificare la condanna inflitta all’interessato nel citato procedimento penale oltre a impedire un’ulteriore condivisione posto, peraltro, che il decreto di condanna penale, per sua peculiarità, attiene a reati di minore entità, sia delitti che contravvenzioni, per i quali è prevista l’applicazione di una sola pena pecuniaria e la non menzione nel casellario giudiziale (artt. 459 e ss. c.p.p.).

4. CONCLUSIONI

Per quanto sopra esposto, si prende atto dell’intervenuta rimozione dalla pagina Facebook dei contenuti oggetto di doglianza effettuata dal titolare contestualmente alla presa di conoscenza della richiesta di informazioni, non rinvenendosi, per l’effetto, i presupposti per l’adozione di ulteriori interventi da parte dell’Autorità.

Con riguardo ai trattamenti già realizzati, si ritiene, tuttavia, accertata la responsabilità del titolare in ordine alle seguenti violazioni:

- art. 5, par. 1, lett. a) e c), del Regolamento;

- artt. 137 del Codice;

- art. 6 delle Regole deontologiche.

Nella valutazione complessiva dei fatti, si deve tener conto: i) della natura episodica della condotta, atteso che il procedimento in parola trae origine da un unico reclamo; ii) dell’assenza di precedenti violazioni pertinenti accertate nei confronti del titolare; iii) della rimozione dei contenuti lamentati operata nel corso dell’accertamento ispettivo; iv) della circostanza che il titolare riveste la qualità di persona fisica.

Per tali ragioni, sebbene si ritenga di dover confermare la violazione delle richiamate disposizioni, le circostanze descritte inducono a qualificare il caso come violazione minore, ai sensi dell’art. 83, par. 2, e del considerando 148 del Regolamento, potendo soprassedere dunque in tale sede dall’applicazione della relativa sanzione, anche in virtù di quanto disposto dall’art. 22, comma 13, del d.lgs. 10 agosto 2018, n. 101.

Pertanto, nel caso di specie, non si ravvisano i presupposti per l’applicazione di una sanzione amministrativa pecuniaria, risultando sufficiente— quale misura necessaria, proporzionata e dissuasiva – rivolgere un ammonimento nei confronti del titolare del trattamento, ai sensi degli artt. 57, par. 1, lett. f), e 58, par. 2, lett. b), del Regolamento. Con tale misura si richiama il titolare al rispetto dei principi di liceità, correttezza e minimizzazione dei dati nell’ambito della libera manifestazione del pensiero, limitando la diffusione ai soli contenuti essenziali alla finalità informativa perseguita.

Ricorrono, infine, i presupposti di cui all’art. 17 del Regolamento n. 1/2019 concernente le procedure interne aventi rilevanza esterna, finalizzate allo svolgimento dei compiti e all’esercizio dei poteri demandati al Garante.

TUTTO CIÒ PREMESSO IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f), del Regolamento, dichiara illecita la condotta tenuta dal titolare del trattamento – il signor Nicolò Cristaldi (C.F. XX) - descritta nei termini di cui in motivazione; di conseguenza:

a) prende atto dell’intervenuta rimozione dalla pagina Facebook dei contenuti oggetto di doglianza, effettuata contestualmente alla presa di conoscenza della richiesta di informazioni, non rinvenendosi, per l’effetto, i presupposti per l’adozione di ulteriori interventi da parte dell’Autorità;

b) ai sensi dell'art. 58, par. 2, lett. b), del Regolamento, rivolge al predetto titolare un ammonimento, richiamando l’importanza di esercitare la libertà di manifestazione del pensiero nel rispetto dei principi di liceità, correttezza e minimizzazione dei dati, limitando la diffusione ai soli contenuti essenziali alla finalità informativa perseguita;

c) ai sensi dell’art. 17 del Regolamento del Garante n. 1/2019, dispone l’annotazione nel registro interno dell’Autorità, previsto dall’art. 57, par. 1, lett. u) del Regolamento, delle violazioni e delle misure adottate.

Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato, alternativamente, presso il tribunale del luogo ove risiede o ha sede il titolare del trattamento ovvero presso quello del luogo di residenza dell’interessato entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 26 marzo 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Ghiglia

IL SEGRETARIO GENERALE
Montuori